REDES DE COMPUTADORES

Mecanismos de segurança

Será apresentada uma introdução aos principais mecanismos que buscam promover uma

maior segurança das redes. Atenta-se que muitos são os meios que garantem bons níveis

de segurança, porém neste tópico serão abordados apenas os mais críticos.

VLAN (Virtual LAN)

Uma VLAN é, basicamente, uma coleção de nós que são agrupados em um único

domínio broadcast, baseado em outra coisa que não a localização física. Em uma rede

comum, tudo que estiver de um mesmo lado do roteador faz parte do mesmo domínio

broadcast. Um switch com uma VLAN implementada tem múltiplos domínios broadcast e

funciona de maneira semelhante a um roteador.

Seguem algumas vantagens da utilização de VLANS

· Segurança. Separa os sistemas que contêm dados sigilosos do resto da rede,reduzindo

a possibilidade de acesso não autorizado.

· Projetos/aplicativos especiais. As tarefas de gerenciar um projeto ou trabalhar com um

aplicativo podem ser simplificadas pelo uso de uma VLAN que congrega todos os nós

necessários.

· Desempenho/Largura de banda. Um monitoramento cuidadoso da utilização da rede

permite que o administrador crie VLANs que reduzam o número de saltos entre os

roteadores e aumentem a largura de banda aparente para os usuário da rede.

· Broadcasts/Fluxo de tráfego. A característica principal de uma VLAN é que ela não

permite que o tráfego broadcast chegue aos nós quenão fazem parte da VLAN. Isso ajuda

a reduzir o tráfego de broadcasts. As listas de acesso permitem que o administrador da

redecontrole quem vê o tráfego da rede.

· Departamentos/Tipos específicos de cargos. Pode-se configurarVLANs para os

departamentos que utilizam muito a Internet ou VLANs que conectam categorias

específicas de empregados de departamentos diferentes.

IPSec

É Voltado para a encriptação de camada IP e seu padrão define alguns formatos de

pacote novos; Autenticação de Cabeçalho (Authentication Header, AH) para fornecer a

integridade dos pacotes entre origem e destino, e o Encapsulamento Seguro da

Informação (Encapsulating Security Payload, ESP).

O gerenciamento de chaves, associações de segurança (Security Associations, SA) e os

parâmetros para a comunicação IPSec entre dois dispositivos são negociados através do

IKE (Inernet Key Exchange, anteriormente chamado de Internet Security Association Key

Management Protocol ou ISAKMP/Oakley). O IKE utiliza Certificados Digitais (que

garantem a identidade de uma pessoa, evitando a falsificação de identidades) para

autenticação de dispositivos, permitindo a criação de grandes redesseguras. Atualmente,

o protocolo já é encontrado em roteadores, firewalls e na maioria dos sistemas

operacionais.

O IPSec pode ser usado de dois modos:

· Modo de transporte: Neste modo, o cabeçalho IPSec é inserido logo depois do

cabeçalho IP. O campo Protocol no cabeçalho IP é alterado para indicar que um

cabeçalho Ipsec segue o cabeçalho IP normal ( antes do cabeçalho TCP ). O

cabeçalho IPsec contem informações de segurança, principalmente o identificador SA

( security association ), um novo numero de seqüência e, possivelmente, uma verificação

de integridade de carga útil.

· Modo de túnel: Todo o cabeçalho é encapsulado no corpo de um novo pacote IP com

um cabeçalho IP completamente novo.O modo túnel é útil quando o túnel termina em um

local diferente do destino final. Em alguns casos, o fim do túnel é uma maquina de

gateway de segurança, por exemplo, um firewall. Nesse modo, o firewall encapsula e

desencapsula pacotes à medida que eles passam pelo mesmo. Quando o túnel termina

nessa maquina segura, as máquinas da rede não tem de tomar conhecimento do IPsec.

Isso é tarefa do firewall.

O modo túnel também é útil quando um conjunto de conexões TCP é agregado e tratado

como um único fluxo codificado, porque isso evita que um intruso veja quem está

enviando, quem está recebendo e quantos pacotes são enviados.

DMZ (Zona desmilitarizada)

A DMZ é uma pequena rede situada entre uma rede confiável e uma não confiável,

geralmente entre a rede local e a Internet.

A função de uma DMZ é manter todos os serviços que possuem acesso externo (HTTP,

FTP, etc) separados da rede local, limitando o dano em caso de comprometimento de

algum serviço nela presente por algum invasor. Para atingir este objetivo os

computadores presentes em uma DMZ não devem conter nenhuma rota de acesso à rede

local.

A configuração pode ser feita a partir da criação de Redes Virtuais dentro de uma LAN,

também