Firewallpolicy VICnet/SPITS

Transcriptie

1 Ministerie van Verkeer en Waterstaat opq Rijkswaterstaat Firewallpolicy VICnet/SPITS 16 Februari 2005 Eindverantwoordelijkheid Goedgekeurd Naam Datum Paraaf Security Manager SPITS E.A. van Buuren Geaccepteerd Manager SPITS

2 Ministerie van Verkeer en Waterstaat opq Rijkswaterstaat Firewallpolicy VICnet/SPITS 16 Februari 2005

3 Colofon Uitgegeven door: SPITS Informatie: servicedesk SPITS Telefoon: Fax: Uitgevoerd door: Security manager SPITS Opmaak: Datum: Status: definitief Versienummer: Firewallpolicy VICnet/SPITS

4 Inhoudsopgave Inleiding 5 2. Doel 5 3. Scope 5 4. Policy Verplicht Authenticatie Routering en rule-base Beheer Back-up Beschikbaarheid VPN Documentatie Fysieke beveiliging Logging en incidenten Upgrade Afvoeren hardware Aanmelden firewall Gewenst Optie 8 5. Richtlijnen 9 6. Revisie historie 11 4 Firewallpolicy VICnet/SPITS

5 1. Inleiding Firewalls zijn een essentieel onderdeel voor de beveiliging van het VICnet/SPITS netwerk. Het hoofddoel van een firewall is toegangscontrole. Een firewall is geen losstaand component, maar moet gezien worden als een strategisch middel om informatie te beveiligen. Een firewall fungeert als portier tussen de vertrouwelijke informatiebronnen van VICnet/SPITS en de onbetrouwbaar beschouwde gekoppelde netwerken. 2. Doel Deze policy beschrijft de verplichte, gewenste en optionele maatregelen die genomen moeten worden bij het inrichten en beheren van firewalls binnen VICnet. Het specifieke doel van deze policy is het hebben van richtlijnen voor het inrichten en beheren van een firewallconfiguratie teneinde een zo optimaal mogelijke beveiliging voor het netwerk en haar informatie te bewerkstelligen. Nevendoel is ook om de RWSorganisatie (systeemontwikkeling) duidelijkheid te verschaffen over wat wel en niet mag/kan. 3. Scope De scope van deze policy behelst alle personen en systemen die binnen het VICnet gemachtigd zijn om gebruik te maken van de functionaliteit van de firewalls. Het betreft onder andere de firewalls die gebruikt worden voor koppelingen tussen VICnet met VCNL, TORO/VICTOR en VenWnet. Deze policy is onderdeel van de Security policies VICnet/SPITS en is altijd verbonden met het gelijknamige policyoverzicht document en daarin opgenomen algemene beginselen. 5 Firewallpolicy VICnet/SPITS

6 4. Policy 4.1 Verplicht Authenticatie Personen binnen het VICnet die gebruikmaken van de functionaliteit van de firewall, dienen geauthenticeerd te zijn op het VICnet netwerk. In dit geval gaat het niet om de beheerders (zie hiervoor Beheer ), maar om de gebruikers Routering en rule-base Indien beschikbaar, dient er gebruik te worden gemaakt van een Application Firewall. Dit vanwege de geavanceerdere mogelijkheden van dit type firewall. Er kan echter om technische redenen zijn gekozen voor een Statefull Packet Filter Firewall (indien er voor het gebruikte protocol geen Application Firewall is of het teveel performance kost). De structuur van VICnet dient niet zichtbaar te zijn voor het externe Netwerk. Om dit te bewerkstelligen, is het gebruik van Network Address Translation verplicht. De firewall dient zodanig geconfigureerd te zijn dat alle verkeer tegengehouden wordt met uitzondering van de protocollen die men toe wil staan (zie tabel in bijlage). Gebruikte protocollen binnen VICnet/SPITS dienen geconformeerd te worden aan richtlijnen voor protocollen en de daarbij behorende poortnummers. Deze richtlijnen zijn gedefinieerd in RFC 1700 (Assigned Numbers Alle verbindingen die van en naar het VICnet gelegd worden, dienen volgens de standaard change procedure gerealiseerd te worden. Daarnaast dienen deze goedgekeurd te worden door de informatiebeveiligingsfunctionaris/security officer Beheer Er zullen, volgens het informatie beveiligingsbeleid van de organisatie, een of meerdere personen verantwoordelijk gesteld worden voor het beheer van de firewall. De beheerders dienen gekwalificeerd te zijn om de betreffende firewall te beheren en zullen regelmatig (update) trainingen volgen ten behoeve van de firewalls en netwerkbeveiliging in het algemeen. In een autorisatietabel dient te worden vastgelegd welke netwerkaccounts toegang zullen verkrijgen om de firewall te beheren. Het aantal user accounts op de firewall dient zo laag mogelijk te zijn. Alleen de firewallbeheerders zullen een gebruikersnaam verkrijgen. Voor het aanpassen van de firewallconfiguratie is authenticatie op basis van ACS vereist. De wachtwoorden voor het beheerderaccount dienen 6 Firewallpolicy VICnet/SPITS

7 vastgelegd te worden zoals beschreven in de Wachtwoordpolicy VICnet/SPITS. Elke vorm van beheer dient via een versleutelde verbinding plaats te vinden Back-up De vitale bestanden (configuratie- en systeembestanden) dienen dagelijks en bij wijziging op centrale server gezet te worden. Back-up bestanden dienen bewaard te worden op basis van de standaard backup procedure gehanteerd binnen VICnet/SPITS. Het is niet noodzakelijk om deze bestanden versleuteld op te slaan en te transporteren Beschikbaarheid Er dient een procedure te zijn die er zorg voor draagt dat wanneer een firewall niet meer functioneert er binnen 4 uur een (nood)oplossing is VPN Elke verbinding die over het Internet tussen twee firewalls gelegd wordt, moet gebruikmaken van een versleutelde verbinding. Elke VPN verbinding dient volgens een vaststaande procedure goedgekeurd te worden door de informatiebeveiligingsfunctionionaris/security officer Documentatie Het is van belang dat de firewall configuratie, en elke aanpassing daarop, op een duidelijke en overzichtelijke manier gedocumenteerd wordt. Hierop dient een overzicht van de rule-base en een netwerktekening te staan. Daarnaast is het van belang dat elk changerequest en de bijbehorende wijziging in de rule-base ook vastgelegd wordt Fysieke beveiliging De firewall dient in een afgesloten patchkast of ruimte te verblijven. De ruimte of kast dient met een slot afgesloten te zijn en de sleutel moet in beheer zijn van een van de beheerders Logging en incidenten De firewall dient zo geconfigureerd te worden dat alle data naar een logserver worden weggeschreven. De rapporten die deze genereert, dienen op wekelijkse basis gecontroleerd te worden op afwijkingen op het standaard verkeerspatroon. De firewall dient zo geconfigureerd te worden dat een veiligheidsalarm direct gecommuniceerd wordt naar de beheerder(s). Bij een veiligheidsalarm dient men te denken aan herhaaldelijk ongeautoriseerde aanlogprocedures, Denial of Service attacks, poortscans etc.). 7 Firewallpolicy VICnet/SPITS

8 Upgrade De beheerder dient elke update/release/patch te testen en te beoordelen of een upgrade noodzakelijk is. De beheerder dient zich, wanneer mogelijk, aan te melden bij een mailinglist van de fabrikant teneinde bovengenoemde updates zo spoedig mogelijk te beoordelen. Patches en upgrades dienen te voldoen aan de richtlijnen zoals opgesteld in de Patchmanagement Policy Afvoeren hardware Bij het buiten gebruik stellen van een firewall dient de configuratie gewist te worden alsmede alle wachtwoorden en back-up configuraties van de firewall Aanmelden firewall Bij aanmelden op de firewall dient een welkomsttekst te worden weergeven die er als volgt uitziet: ONGEAUTORISEERDE TOEGANG TOT DIT NETWERKCOMPONENT IS VERBODEN. Alle activiteiten op dit component worden gelogd en inbreuk op de policy voor dit component kan resulteren in maatregelen zoals beschreven in de Firewallpolicy van het VICnet/SPITS. 4.2 Gewenst Niet van toepassing. 4.3 Optie Niet van toepassing. 8 Firewallpolicy VICnet/SPITS

9 5. Richtlijnen Voor service van en naar het VICnet: NB: Services binnen het VICnet zijn beschreven in de IP/LANdienst Aansluitpolicy. Elk protocol en/of service die niet op de lijst staat, is NIET toegestaan. Aantal openstaande poorten dient tot een minimum te worden beperkt. Gebruik van dynamische poorten is niet toegestaan. Service Beschrijving Protocolnaam Poort Protocol Toegestaan Toegestaan Doelgroep 1 Opmerking nr Buiten->binnen Binnen-> buiten FTP File Transfer ftp-data 20 tcp Nee Ja, alleen Beheerders Alleen van VICnet naar Internet. Er is geen FTP service toegestaan die Protocol ftp 21 tcp van Internet benaderbaar is. SSH Secure SHell ssh 22 tcp Ja Alternatief voor telnet en rlogin. Mail Mail protocollen smtp 25 tcp Ja, alleen naar een of meerdere mailhost (s). Ja, alleen een mailhost. Systeem (mailserver) Alle SMTP verkeer zal via 1 (mail)server door de firewall naar buiten herleid worden. Andersom zal alle SMTP verkeer van buiten naar binnen herleid worden naar 1 mailserver, die vervolgens de mail intern distribueert. Telnet Shell telnet 23 Tcp Nee Ja Beheerders, Alleen toegestaan indien er niet met SSH gewerkt kan worden. systemen TACACS Authenticatie tacacs 49 tcp Nee Ja Beheerders Binnen VICnet toegestaan. Buiten firewall niet toegestaan. protocol DNS Name Service domain 53 udp Nee Ja Beheerders, Name resolving vindt alleen plaats binnen VICnet. systemen, gebruikers bootpc 68 udp HTTP http, Webbrowsing http 80 tcp Nee Ja Beheerders, systemen, gebruikers Inkomend webverkeer is naar geselecteerde servers toegestaan. Configuratie van netwerkcomponenten is niet toegestaan. 1 Onder doelgroep wordt een onderverdeling gemaakt tussen gebruikers en beheerders en systemen. Het kan in de praktijk zo zijn dat beheerders meer rechten hebben dan standaard-gebruikers en dat slechts een systeem een connectie door de firewall behoeft. 9 Firewallpolicy VICnet/SPITS

10 https 443 tcp Nee Ja Inkomend webverkeer is naar geselecteerde servers toegestaan. NFS Network File NFS 2049 udp Ja Ja Alleen toegestaan van en naar specifieke servers. System Time Network Time ntp 123 udp Nee Ja Service Protocol Expertdesk 4444 Ja Ja Tijdelijk ook toegestaan van buiten naar binnen. SMB SAMBA SMB Ja Ja Alleen toegestaan van en naar specifieke servers. procesd tcp Ja Ja bb 1984 tcp Ja Ja lockserver tcp Ja Ja top-fep 5111 tcp Ja Ja top-bp 5100 tcp Ja Ja bcg-top 5160 tcp Ja Ja bcg-fep 6700 tcp Ja Ja bcg-fep 5120 tcp Ja Ja bp-memopc 5555 tcp Ja Ja more tcp Ja Ja Simone simone tcp Ja Ja Monica Monitoring? monica tcp Ja Ja monica tcp Ja Ja ks udp Ja Ja downloading tcp Ja Ja downloading udp Ja Ja diagnostiek tcp Ja Ja diagnostiek udp Ja Ja research tcp Ja Ja 10 Firewallpolicy VICnet/SPITS

11 6. Revisie historie Versie Datum Auteur Toelichting E. van Buuren 11 Firewallpolicy VICnet/SPITS