UNIVERSIDADE ESTÁCIO DE SÁ PÓS-GRADUAÇÃO EM SEGURANÇA DE REDES DE COMPUTADORES

SISTEMAS DE CONTROLE DE ACESSO

Endian Firewall Community Edition

Agosto de 2011

Trabalho apresentado como avaliação para a disciplina de Sistemas de Controle de Acesso.

Bruno Raimundo, Gilmar Esteves, Isaias Calixto,

Maurício Martins, Rafael Rodrigues e William Nascimento.

1. Introdução

O Endian Firewall é uma distribuição Linux especializada em firewall que

possui uma interface WEB de gerenciamento, agregando diversos softwares

livres em um pacote integrado de rápida implementação e configuração.

O pacote tem como características a facilidade de instalação, usabilidade

aprimorada, gerenciamento facilitado e flexibilidade de configurações. O

componentes incluem stateful firewall, proxy de camada 7 (HTTP, FTP, POP3,

SMTP) integrado com solução de antivírus gratuito ClamAV e filtro antispam

para o tráfego de e-mail, controle de conteúdo da Web e solução de VPN.

A instalação do Endian Firewall através de CD Bootável é simples com

particionamento automático, resultando em um sistema com interface Web

estilo Dashboard com opção do idioma português.

A configuração das redes do firewall segue o conceito de Zonas,

designando através de cores quatro diferentes tipos de redes: Verde (rede

local), Vermelho (WAN), Laranja (DMZ), Azul (Wireless).

2. Web Proxy

O sistema de Proxy do Endian Firewall é implementado pelo software Squid

com complementos, como Dansguardian e outros, para controle de conteúdo.

A filtragem de conteúdo pode basear-se em sistema de detecção de palavras

específicas, lista de URL’s ou endereços IP, com a possibilidade de

estabelecer horários para bloqueio ou liberação ou através de grupos de

usuários. Todo o conteúdo pode adicionalmente ser filtrado por antivírus, como

proteção adicional.

2.1 Configurando o Web Proxy

Para habilitar o Web Proxy primeiro deve-se realizar os seguintes passos:

1. Clicar em Proxy na barra de menu horizontal, depois HTTP no menu

lateral esquerdo;

2. Clicar no botão Enable HTTP Proxy;

O administrador poderá configurar um Proxy transparente, ou seja, não

exigindo configurações no software cliente web para acessar o servidor. Para

tal, basta selecionar esta opção na caixa de combinação logo abaixo da

interface Verde. Caso contrário, basta selecionar “Not Transparent”, e realizar a

configuração manual em cada software que acesse o protocolo HTTP.

Nesta mesma tela o administrador poderá alterar a porta em que o Proxy

Web irá escutar por conexões cliente, o idioma usado para apresentar

mensagens de erro aos clientes, email do administrador e tamanho máximo

permitido para download e upload de arquivos.

2.2 Filtragem de Conteúdo

O Endian Firewall possui filtro de conteúdo que funciona analisando o

conteúdo das páginas requisitadas e atribuindo um peso à ocorrência de

palavras incluídas em categorias previamente definidas, que podem ser

selecionadas pelo administrador para bloqueio, bloqueio parcial (baseado em

subcategorias) ou acesso normal.

Para realizar filtragem do conteúdo Web precisamos criar um perfil. Para

fazê-lo o administrador deve clicar em Content Filter na barra de menu

horizontal:

1. Definir o nome do Perfil em Profile Name;

2. Caso deseje verificar com o antivírus ClamAV, marcar o Activate

Antivirus Scan;

3. Habilitar o Platform for Internet Content Selection;

4. Definir um valor médio de sensibilidade para o bloqueio baseado em

ocorrências de frases de categorias bloqueadas.

5. Definir as categorias e subcategorias cujo conteúdo deseja bloquear,

como na figura abaixo.

Adicionalmente ao filtro por análise de conteúdo, o administrador pode

habilitar a filtragem por URL previamente cadastradas que deseje bloquear,

independente da filtragem de conteúdo. Esta filtragem também é baseada em

categorias e subcategorias, como na figura abaixo:

Como recurso adicional, o administrador pode utilizar uma lista

personalizada de URL para bloqueio ou liberação, como visto abaixo:

2.3 Políticas de Acesso

O administrador pode definir políticas de acesso que levem em

consideração filtros de conteúdo, grupos de usuários, horários de acesso e

mesmo o agente (cliente) envolvido no acesso. Para tal, deve clicar em

“Access Policy” e depois em “Add access policy”. Por padrão o Endian Firewall

vem configurado com política de acesso para varredura com antivírus.

1. Em Source Type selecione a origem a que esta regra se aplica. Pode-se

selecionar uma Zona (rede), faixa ou endereço IP e endereço MAC;

2. Em Destination Type selecione o destino da regra;

3. Pode-se estabelecer a necessidade de autenticação para acesso

através da caixa de combinação “Authentication”, que uma vez

selecionada exigirá que se defina o(s) usuário(s) ou grupo(s) permitidos.

4. Pode-se selecionar, ao habilitar a caixa “Enable Time Restrictions”, o

horário e dias de aplicabilidade da política criada;

5. O administrador pode definir regras por software cliente ao selecionar

em “User agents” os clientes aos quais esta regra será aplicada;

3. DNS Proxy

O administrador pode definir o servidor Endian Firewall como um DNS Proxy,

realizando o encaminhamento de requisições DNS e armazenando em cachê

para conexões futuras. Para tal, basta habilitar a caixa “Transparent Proxy on

Green”, como visto abaixo:

4. POP3 Proxy

Para ativar a filtragem de conteúdo de emails recebidos por usuários através

de programas de correio eletrônico, o administrador deve habilitar o Proxy de

POP3 no menu Proxy da barra horizontal e POP3 no menu esquerdo. Nesta

tela habilita-se além do Proxy, a varredura de vírus no conteúdo dos emails.

5. Antivirus

Para que os módulos do antivírus ClamAV funcionem nos diversos serviços

oferecidos pelo Endian Firewall é necessário realizar algumas configurações,

inclusive para otimizar o desempenho do servidor. O administrador deve definir

o tamanho máximo de arquivos escaneados, o máximo de arquivos aninhados

(arquivos dentro de arquivos), o máximo de arquivos dentro de um arquivo

compactado.

A freqüência de atualizações do arquivo de assinaturas de vírus deve

ser definida pelas caixas de seleção à direita, como visto mais abaixo.

Para tal configurar o antivirus, basta selecionar o menu Services na

barra superior e Antivirus Engine no menu esquerdo.

Uma vez definidas estas configurações, o administrador deve atualizar o

arquivo de definições de vírus pela Internet ao clicar no botão “Update

Signatures Now”, como visto abaixo:

6. DHCP Server

O administrador poderá configurar um servidor DHCP usando o Endian

Firewall clicando no menu horizontal em Services e no menu lateral esquerdo

em DHCP Server.

Nesta tela o administrador define se o servidor DHCP estará habilitado

na interface verde. Uma vez habilitado, deverá configurar o escopo do serviço,

como endereços iniciais e finais para leasing, endereços dos servidores DNS,

gatway padrão, servidores de hora NTP e servidores de nome WINS.

7. Firewall

O Endian Firewall fornece uma interface web simples para configuração de

regras do firewall iptables. Para tal, o administrador deve clicar em Firewall no

menu superior.

Para definir regras de saída de tráfego da rede interna em direção à

Internet, o administrador deve selecionar no menu esquerdo a opção “Outgoing

Traffic”.

Na tela de configuração, deve-se selecionar a origem e destino da regra

(Source e Destination), podendo ser escolhidas toda uma Zona do firewall,

endereços ou redes IP, ou endereços MAC específicos.

O próximo passo é selecionar o serviço, protocolo e porta a serem

filtrados, se necessário. Ao selecionar um serviço, automaticamente o protocolo

ou protocolos associados são selecionados. O usuário pode também criar

regras personalizadas para serviços não especificados, simplesmente

selecionando os protocolos desejados e digitando na caixa de texto associada

as portas a serem filtradas.

Na caixa Policy o administrador define a ação a ser tomada pela regra

em questão - entre permitir e mandar para inspeção pelo IPS, permitir,

bloquear ativamente e descartar o pacote - um comentário e a posição na lista

da regra em relação às demais.

O administrador pode configurar um encaminhamento de portas

permitindo que conexões externas sejam redirecionadas para algum

computador da rede interna. Para tal, basta selecionar no menu esquerdo a

opção “Port forwarding / Destination NAT”, obtendo a tela abaixo:

Ao clicar em “Add a new Port forwarding / Destination NAT rule”, será

apresentada a tela abaixo:

Nesta tela o administrador seleciona a origem da requisição, o serviço

e/ou portas associadas e o endereço/porta ao qual a requisição será

redirecionada.