Filtragem de IP: Noções básicas sobre técnicas comuns para filtrar um IP
A filtragem de IP tornou-se uma prática comum na era de hoje. Para o bem ou para o mal, é um processo tedioso e tem várias limitações para empresas que usam essa técnica como solução principal para determinar cada usuário e filtrar comportamentos fraudulentos.
No entanto, o processo de filtragem de endereços IP é apropriado e eficaz em várias situações. Um exemplo comum é que serviços de streaming como o Netflix restringem o acesso do usuário a títulos de conteúdo específicos com base em seus endereços IP.
Isso significa que, se você mora nos Estados Unidos, não pode acessar a Netflix Coreia ou a Netflix Japão devido à filtragem de IP. Da mesma forma, assistir à Netflix americana no Reino Unido, China, Canadá, Rússia e muito mais é igualmente impossível.
Além disso, os profissionais de TI às vezes também desejam bloquear um subconjunto específico de tráfego online em seu site para permitir apenas uma determinada lista de IPs ou devido à localização geográfica.
Embora tudo isso pareça bastante interessante, gostaríamos de falar mais sobre a filtragem de IP. Então, no guia, você aprenderá o que é, suas técnicas comuns, regras e como usá-lo. Vamos começar!
O que é filtragem de IP?
A filtragem de IP permite controlar qual tráfego IP seria permitido dentro e fora de sua rede. Ele permite definir regras e filtrar pacotes IP com base nessas regras definidas.
Em outras palavras, a filtragem de IP é um procedimento que determina os pacotes IP que serão processados e descartados/excluídos. Você pode aplicar vários critérios para especificar quais dados deseja filtrar. Aqui estão alguns exemplos:
- Tipo de datagrama: Solicitação de eco ICMP, SYN/ACK, dados e muito mais.
- Tipo de protocolo: UDP, TCP, ICMP e mais.
- Endereço de origem e destino do datagrama: de onde veio e para onde vai.
- Número do soquete: (para UDP/TCP)
É bastante significativo reconhecer que a filtragem de endereços IP é um recurso da camada de rede. Ele não entende nada sobre o aplicativo usando conexões de rede, mas as próprias conexões.
Técnicas comuns de filtragem de IP
Existem três tipos comuns de técnicas de filtragem de IP. Vamos conferi-los abaixo:
1 Filtragem de rota:
Na filtragem de rotas, algumas rotas não são anunciadas ou consideradas para inclusão no banco de dados local. Os filtros podem ser aplicados em roteadores, antes da filtragem de saída ou após a filtragem de entrada.
Há vários motivos para a filtragem de rotas:
- Esse tipo de filtragem garante que o uso do RFC 1918 (espaço de endereço privado) não vaze para a Internet global. Ambos os prefixos requerem ser bloqueados na filtragem de entrada e saída pela rede.
- Anunciar rotas que não são locais para um vizinho quando um site é multihomed diferente do que era conhecido equivale a anunciar a prontidão para servir para trânsito. Não se pode evitar isso aplicando filtragem de saída em rotas como essas.
- Um provedor de serviços de Internet normalmente realiza filtragem de entrada em rotas descobertas de um consumidor para restringi-las ao IP realmente atribuído a esse consumidor. Dessa forma, o sequestro de endereços IP se torna bastante difícil.
Em alguns casos, há uma quantidade insuficiente de memória principal nos roteadores para transportar toda a tabela BGP global. Por meio da filtragem de entrada no comprimento do prefixo, na contagem de AS ou em uma combinação de ambos, o banco de dados de rota local é confinado a um subconjunto da tabela global. No entanto, esta prática não é recomendada.
Os prefixos IPv4 também estão sendo bloqueados por algumas redes que são mantidas nos Registros Regionais da Internet (RIR) e não são delegados a nenhuma rede. Essa técnica requer uma atualização regular do filtro do roteador. Mas é melhor não realizar esse tipo de filtragem de roteador, a menos que você tenha uma ferramenta confiável e automatizada para verificar os bancos de dados RIR.
2 Filtragem de firewall:
Um firewall é um software, dispositivo ou vários dispositivos, desenvolvido para recusar ou permitir a transmissão de acesso à rede com base em um conjunto de regras para proteger as redes contra acesso não autorizado, permitindo a passagem de tráfego legítimo. Vários roteadores que passam dados entre redes contêm componentes de um firewall e podem executar as funções de roteamento necessárias.
A seguir estão os tipos básicos de firewalls:
- Firewalls de camada de aplicativo: esse tipo de firewall funciona no nível de aplicativo da pilha IP/TCP. Ele intercepta todos os pacotes IP que viajam para um aplicativo ou dele e elimina o tráfego indesejado para fora das máquinas/dispositivos protegidos sem qualquer confirmação ao remetente. Os critérios de inspeção também adicionam latência extra ao encaminhamento de pacotes para seu destino.
- Serviços de proxy: executados em dispositivos de hardware dedicados ou em máquinas de uso geral como software, respondendo aos pacotes de entrada enquanto bloqueia os outros. Um sistema interno comprometido, nesse caso, não resultaria em uma violação de segurança, no entanto, técnicas como falsificação de IP poderiam transferir pacotes para outra rede.
- Filtros de pacotes ou firewalls de camada de rede: Ao operar na pilha de protocolos TCP/IP, esse firewall não permite que pacotes passem por ele, a menos que correspondam às regras definidas por padrão ou administrador. Atualmente, os firewalls podem filtrar o tráfego com base em atributos de pacotes, como porta de origem, endereço IP de origem e destino, etc. Eles também podem filtrar com base em valores de TTL, protocolos e netblock do originador.
- Conversão de endereços de rede (NAT): Conforme definido pela RFC 1918, a NAT permite ocultar os endereços IP dos dispositivos protegidos numerando-os com os endereços presentes no intervalo de endereços privados.
- Sandboxing ou filtragem de controle de acesso obrigatório (MAC): Protege serviços vulneráveis, permitindo ou negando acesso com base nos endereços MAC de dispositivos específicos que estão autorizados a se conectar a uma determinada rede.
3 Filtragem de e-mail:
Esse tipo de filtragem de IP envolve o processamento automático e manual dos e-mails recebidos, organizando-os em critérios predefinidos e removendo vírus e spam. Este filtro permite que apenas as mensagens limpas sejam entregues ao usuário em sua caixa de entrada.
Alguns desses filtros também podem editar mensagens, como desativar os links maliciosos antes que os usuários realmente cliquem neles. Algumas organizações inspecionam todos os e-mails enviados para monitorar se seus funcionários estão cumprindo os requisitos da lei.
Os filtros de email funcionam por meio de vários métodos, como correspondência de uma palavra-chave, expressão típica ou ID de email do remetente. Outras soluções avançadas usam técnicas de classificação de documentos com base em estatísticas, reputação de IP e algoritmos de análise de e-mail para impedir que mensagens cheguem a caixas de correio seguras.
Esse tipo de filtragem pode ser um problema quando um endereço IP na lista negra é transferido para outra rede. A rede pode ter bloqueado o recebimento de tráfego de e-mail de IPs na lista negra e exigiria entrar em contato com vários mantenedores da lista negra para remover o endereço.
Regras de filtro de rota TCP/IP
Para acessar a janela do editor de filtro de rota TCP/IP, clique na caixa de diálogo Main TCP/IP Filtering > escolha o botão de filtros de roteador. As regras de filtragem de rotas são aplicadas no dispositivo globalmente sem serem associadas a nenhuma interface. Mas, eles podem ser restritos a uma interface usando os modificadores to e from na regra.
Como as regras são especificadas antes da aplicação, um dispositivo não reordena os conjuntos de regras. Eles são aplicados na ordem em que são escritos. Usando o VPN 5000 Manager, quando vários conjuntos de filtros são escolhidos, eles serão concatenados do primeiro ao último no dispositivo.
Uma rede não seria incluída na tabela de roteamento na entrada ou saída se não fosse explicitamente permitida pelas regras. Para permitir que todos os outros números de rede não sejam filtrados, a regra final deve ser: permitir 0.0.0.0.
Como as rotas estáticas e diretas não são recebidas por meio de uma interface e são configuradas no dispositivo, elas são sempre instaladas e não podem ser filtradas.
As regras previamente especificadas usando o Manager podem ser examinadas ou editadas por meio de uma interface de linha de comando. As regras baixadas do Gerenciador são criptografadas.
Um conjunto de regras criado usando a janela do editor do Filtro de Rota TCP/IP pode ser aplicado por meio dos menus suspensos na caixa de diálogo.
Sintaxe e regras básicas do filtro de rota IP
Cada linha de comentário e endereço IP deve incluir uma ação no conjunto de filtros, no mínimo. Esses componentes juntos especificam a regra de filtro que a máquina/dispositivo segue posteriormente para enviar e receber pacotes de roteamento de rede.
As linhas no filtro do roteador devem iniciar com ações de permissão/negação e um indicador de comentário: #
- As linhas que começam com permit especificam que as informações dos pacotes de roteamento que atendem a todas as condições devem fazer parte da tabela de roteamento IP.
- As linhas que começam com deny especificam que as informações dos pacotes que atendem a todas as condições não devem fazer parte da tabela de roteamento IP.
- As linhas que começam com # especificam que o texto presente na linha é na verdade um comentário e precisa ser ignorado.
Cada linha que começa com permitir ou negar deve ser seguida por um endereço IP. Este endereço pode ser especificado de várias maneiras.
- Os endereços podem ser indicados em notação decimal com pontos. Se os componentes mais à direita forem 0, eles serão tratados como curingas.
- Um formato fatorado também pode ser utilizado onde conjuntos de componentes são substituídos em endereços IP. Esses endereços IP são formatados como #.#.#.{#,#,…}. Os conjuntos de fatores devem estar no final do endereço. Qualquer componente presente após a posição do conjunto de fatores é assumido como 0.
- Os números hexadecimais também podem ser usados para especificar um endereço IP.
Os endereços podem ter um campo opcional de /bits no final. Isso indica o número de bits, iniciando com o mais importante, que será considerado pelo instrumento/dispositivo quando o endereço for comparado à regra de filtro em um pacote de roteamento.
Opções de regra de filtro de rota IP
As direções são geralmente especificadas por ambos ou por dentro e por fora. Se uma direção não for especificada, a suposição será ambas.
-
As regras de filtro de rota que significam entrada são aplicadas aos pacotes de roteamento que chegam apenas ao dispositivo.
-
As regras de filtro de rota que significam saída são aplicadas aos pacotes de roteamento enviados apenas do dispositivo.
-
Regras de filtro de rota indicando que ambas são aplicadas ao roteamento de pacotes em ambas as direções.
Quando e como usar a filtragem GeoIP
Se você possui uma empresa nos Estados Unidos e não há motivo para aceitar comunicações on-line de outros países do mundo, a filtragem de geoIP em todo o país faz sentido. Mas, se você lida com clientes no exterior, precisa pensar com sabedoria sobre quem precisa bloquear.
Mesmo que a negociação com o cliente não seja o caso, você pode estar usando um serviço ou software online hospedado fora dos EUA, como hospedagem na web ou webmail. Então, você teria que permitir que eles passassem pelo seu firewall também.
No entanto, pode haver muitos países dos quais você não tem motivos reais para aceitar conexões. Por meio da filtragem geoIP, você pode bloquear facilmente nações que tenham um histórico de originar tráfego malicioso na Internet. Cortar IPs de nações parece eficaz e sem complicações, mas ajustar suas configurações de geoIP é uma opção mais inteligente.
Você só pode bloquear o IP ou uma lista de endereços IP que são conhecidos por serem maliciosos. Mas, se você for em frente e bloquear um país inteiro, poderá fazer algumas exceções e criar regras em seu firewall que permitem que IPs da lista branca passem pelo seu sistema.
Esse tipo de ajuste pode ser bastante útil se sua equipe estiver viajando para o exterior para fins comerciais. Você também pode desbloquear temporariamente o país que eles estão visitando ou colocar seus endereços IP na lista de permissões.
Perguntas frequentes – Filtragem de IP
A filtragem de IP é melhor do que não ter nada. No entanto, ele tem dois problemas: IPs podem ser falsificados. Caso algum instrumento/máquina interno seja comprometido, o agente mal-intencionado pode usá-lo como proxy ou host de salto para atacar seu sistema.
IPFilter ou ipf é um pacote de software de código aberto que oferece serviços de NAT e firewall para vários sistemas operacionais como Unix. Darren Reed é o mantenedor e autor do software. IPFilter é um firewall stateful que suporta os protocolos IPv4 e IPv6.
A webopedia da internet.com define a filtragem de pacotes como o exame dos pacotes IP de entrada e saída para controlar o acesso a uma rede, interrompendo ou deixando-os passar com base no endereço IP de origem ou destino.
Conclusão
Isso encerra nosso guia que informou todos os fundamentos que você precisa saber sobre filtragem de IP. Embora possa vir com algumas armadilhas, a filtragem de endereços IP é realmente muito útil na era de hoje.
Ele bloqueia conexões e o salva de agentes e links mal-intencionados usando seus vários tipos e técnicas de filtragem. Ele também impede que endereços IP na lista negra entrem em sua rede e causem danos a você.
No entanto, devemos reiterar que, quando se trata de filtragem de geoIP, é sempre uma opção melhor ajustar suas configurações de filtro em vez de bloquear todas as conexões do exterior.
Esperamos que você tenha gostado do nosso guia de filtragem de IP. Fique à vontade para comentar em caso de dúvidas.