Ao anunciar, em fevereiro de 2011, que os últimos blocos IPv4 haviam sido alocados para os Registros Regionais (Regional Internet Registries - RIRs), o IANA contribuiu não apenas para aumentar o interesse pela migração para IPv6 mas também para um certo “pânico” que se instaurou em torno do assunto.

Apesar de o tema IPv6 estar em voga há algum tempo, há muita incerteza ainda. E é bem comum que qualquer menção a v6 em discussões sobre Redes e Segurança, desperte sentimentos opostos:

• Por um lado, há a expectativa de criar e oferecer uma multiplicidade de novos serviços, viabilizando, por exemplo, a potencial alocação de um sem número de endereços por habitante do planeta.
• Por outro lado, a desconfiança sobre a transição há tanto anunciada finalmente se concretizar. Além do trabalho e esforço envolvidos para que isso seja possível…

É importante lembrar que o IPv6 difere do v4 em áreas que vão além da capacidade de endereçamento (virtualmente ilimitada) e do novo formato do header. Há muitos processos novos (até para executar tarefas básicas) que precisam ser entendidos para que se tenha êxito na migração para o novo protocolo. Há ainda paradigmas a serem quebrados, como a idéia tão arraigada de que acesso de seus hosts internos à Internet pressupõe o uso de Port Address Translation (ou address hiding, numa nomenclatura alternativa).

Bem, há muito o que se estudar… E provavelmente vale a pena investir em cursos específicos para se familiarizar um pouco mais com o assunto. De qualquer forma, numa tentativa de oferecer uma pequena contribuição, resolvi escrever uma série de pequenos artigos sobre IPv6. Boa leitura ! ( E espero que o material seja útil…)

IPv6: Deriving the EUI-64 Interface Identifier

Understanding some tricky IPv6 Addresses

Gaining visibility of your IPv6 traffic with Flexible Netflow

Some IPv6 link-local processes and the associated ICMPv6 messages

Introduction to IOS IPv6 ACLs

How IOS IPv6 ACLs handle ICMPv6 Neighbor Discovery messages

IPv6 Migration: Host and Routing Functions on Cisco Catalyst Switches

Sample Configuration of the Cisco IOS Zone-based Policy Firewall with IPv6

Cisco IOS Zone-based Policy Firewall: L7 inspection for FTP over IPv6

Alexandre Moraes

Popularity: 1% [?]

   Quando ouvem a respeito da possibilidade de implementar soluções de stateful firewall em roteadores, muitos administradores de Segurança demonstram imediata desconfiança.

   Por um lado acho compreensível, dado que os roeteadores são, por excelência, elementos “provedores de conectividade” e não impõem condições de segurança para encaminhamento de pacotes (pois basta que tenham a rota para o destino de interesse). Entendo ainda que em pontos específicos da Rede, tais como Data Center e borda Internet, não é uma prática recomendável apostar todas as fichas em um elemento só.

   Mas o que pensar sobre implementar a funcionalidade de Stateful Firewall em roteadores que atendem localidades remotas e que, tipicamente, não apresentam requisitos elevados de desempenho ? Seria possível ter um firewall de verdade em um tal roteador ?

   Começo a responder tais perguntas, afirmando que a funcionalidade integrada de stateful firewall não é novidade nos roteadores Cisco. O modelo Context Based Access Control (CBAC), também conhecido como Classic IOS Firewall está disponível há mais de dez anos e o seu sucessor, Zone-based Policy Firewall (ZFW) há pelo menos seis…

    A essa altura você pode estar se perguntando:

    - Se já existia o CBAC, por que criar o Zone-based Firewall ? O CBAC não era suficiente ?

    Bem, vamos às respostas:

a)     O CBAC provê um firewall stateful mas as regras de inspeção eram criadas entre pares de interfaces e não havia um conceito de Domínio de Segurança (Security Zone, utilizando a nomenclatura do ZFW). Tal característica dificultava a visualização lógica das relações de confiança entre os elementos da topologia e também trazia desafios em termos de expansibilidade. (Imagine, por exemplo, criar regras entre dez interfaces distintas…)

b)      A linha de raciocínio de construção de políticas adotada pelo ZFW é muito similar à que se usa para configurar Qualidade de Serviço (class-map para classificar pacotes e policy-map para definir as ações a serem tomadas para o tráfego classificado). Uma notável distinção é que no ZFW os policy-maps governam a interconexão entre Security Zones e não se relacionam diretamente com interfaces.

c)       O modelo proposto pelo Zone-based Policy Firewall permite que o roteador seja configurado de modo a negar por default, fato este que o aproxima dos appliances de segurança dedicados. Após tal passo inicial, você pode definir os critérios que os pacotes precisam atender para que sejam encaminhados entre duas dadas interfaces (que agora são membros de Security Zones).

   Alguns fatos adicionais merecem especial menção:

1)       O ZFW é a abordagem que vem recebendo todos os investimentos no que concerne a evolução funcional. Só convém usar o CBAC em roteadores muito antigos cujo IOS não suporte o novo modelo.

2)       O ZFW está disponível nas imagens Security do Cisco IOS, juntamente com as funcionalidades de VPN.

3)       Os roteadores ISR (Integrated Services Routers), os quais já provêem uma miríade de opções de conectividade e serviços (switching, WLAN, Multicast, Telefonia IP/VoIP, backup via GSM/CDMA, etc) podem agora ser configurados como gateways condicionais (tanto em modo roteado como modo transparente), o que os torna ainda mais completos e flexíveis.

Termino este breve post, propondo que você estude mais a respeito do Cisco Zone-based Policy Firewall para que possa contar com tal recurso em seus projetos que envolvem os roteadores Cisco ISR. Para facilitar o acesso a informações sobre o tema, produzi uma série de artigos.  Espero que o material seja útil… Boa Leitura !

From CBAC to the Cisco Zone-based Policy Firewall

Building Blocks for a Cisco Zone-based Firewall policy

Zone Policy Firewall: Understanding the default deny behavior

Building a simple policy with the Cisco Zone-based Firewall

Logging connections in the Cisco Zone-based Policy Firewall

Logging dropped packets with the Cisco Zone-based Policy Firewall

Integrating ACLs with the Cisco Zone-based Policy Firewall

Deploying the Cisco Zone-based Policy Firewall with ACLs and NAT

Basic Configuration of the Cisco Zone-based Policy Firewall in Transparent Mode

FTP Inspection with the Cisco Zone-based Policy Firewall

HTTP Inspection on non-standard ports with the Cisco Zone-based Policy Firewall

Cisco Zone-based Policy Firewall: Understanding the self zone

Cisco Zone-based Policy Firewall: Controlling Intrazone traffic

User-based Access Control with the Cisco IOS Zone-based Policy Firewall

Sample Configuration of the Cisco IOS Zone-based Policy Firewall with IPv6 

Cisco IOS Zone-based Policy Firewall: L7 inspection for FTP over IPv6

Popularity: 1% [?]

CCNA Security

O Curso Cisco CCNA Security Online, foi criado para atender uma crescente demanda por profissionais especializados no tema. Seguindo o mesmo padrão de qualidade dos outros cursos já oferecidos pela empresa, este já é um dos nossos cursos mais procurados.

O curso foi estruturado de modo a cobrir todo o conteúdo necessário à especialização Cisco CCNA Security (exame 640-553). O livro-texto recomendado e utilizado como base para o curso é o “CCNA Security Official Exam Certification Guide“, da Cisco Press.

Instrutores do curso: Marco A. Filippetti e Adilson Florentino

Conteúdo Programático:

• Aula Inaugural
• Aula 01: Modern Network Security Threats
• Aula 02: Securing Network Devices
• Aula 03: Authentication, Authorization, Accounting (AAA)
• Aula 04: Implementing Firewall Technologies
• Aula 05: Implementing Intrusion Prevention
• Aula 06: Securing the Local Area Network
• Aula 07: Cryptographic Systems
• Aula 08: Implementing Virtual Private Networks
• Aula 09: Managing a Secure Network
• Aula de Encerramento

Dinâmica de Aula

A dinâmica dos cursos é bastante simples: Os participantes selecionam qual plano de acesso desejam adquirir (planos variando de 2 à 6 meses de acesso) e procedem com a inscrição – a diferença entre os planos é apenas o tempo de acesso à plataforma e-learning. Uma vez que o acesso ao sistema seja liberado – o que ocorre todas as Segundas-Feiras, mediante aprovação de pagamento pelo PagSeguro – o participante tem à sua disposição um rico repositório de materiais, como PDFs, links para sites externos, animações, laboratórios e as gravações de aula.

Além disso, o participante é constantemente suportado através de fóruns especifícos para cada aula gravada. Ou seja, se no decorrer de seus estudos surgir uma dúvida, basta postá-la no fórum correspondente e a mesma será respondida no prazo máximo de 8 horas.

Simples assim.

Planos disponíveis (os valores são pagos apenas uma vez, não há recorrência / mensalidades)

• Acesso ao ambiente pelo período 2 meses – R$225,00 (ex-aluno: R$180)
• Acesso ao ambiente pelo período 4 meses – R$280,00 (ex-aluno: R$224)
• Acesso ao ambiente pelo período 6 meses – R$320,00 (ex-aluno: R$256)

Pagamentos apenas via PagSeguro, via cartão de crédito (parcelamento possível em até 12x), boleto bancário ou transferência de fundos. Não há outra opção de pagamento, favor não insistir.

Inscrições / Agenda

As inscrições para os cursos online ocorrem em “lotes”, ou turmas. As inscrições para a próxima turma já estão abertas. Acesse a página de inscrições no site da CloudCampus e faça a sua!

Popularity: 2% [?]

Parte dos vídeos relacionados ao Curso CCNA Security que está rolando pela CloudCampus.

Divirtam-se!!

Link para o DL dos arquivos mostrados no vídeo

Marco.

Popularity: 1% [?]