O modelo OSI
O modelo OSI (Open Systems Interconnection) é um modelo conceitual de como o tráfego de rede é estruturado. As sete camadas do modelo OSI incluem:
- Camada física: move dados em um meio físico por meio de elétrons, luz etc.
- Camada de enlace de dados: transfere dados entre nós, gerenciando o meio físico e corrigindo erros. Ethernet é um protocolo de camada 2.
- Camada de rede: Gerencia o endereçamento e o roteamento da rede para mover dados entre as redes. O IP é um protocolo de camada 3.
- Camada de transporte: usa protocolos como TCP e UDP para transmitir dados entre sistemas e pode oferecer correção de erros.
- Camada de sessão: gerencia conexões e sessões entre dois computadores.
- Camada de apresentação: Executa a criptografia, a compactação e a formatação dos dados para garantir que eles sejam traduzidos adequadamente entre a rede e o aplicativo.
- Camada de aplicativo: Permite que o aplicativo de software do usuário final envie e receba dados pela rede.
Importância da camada 7
A camada 7 é a camada mais alta do modelo OSI e trata dos aplicativos que interagem diretamente com o usuário.
Os níveis inferiores do modelo OSI estão preocupados em garantir que os dados cheguem onde precisam chegar e sejam formatados adequadamente. A camada 7 é onde operam os aplicativos que interagem com o usuário. Por exemplo, ao navegar na web, um usuário usará o protocolo HTTPS para se comunicar com o servidor web remoto.
HTTPS é um protocolo de camada 7 cujo tráfego é encapsulado em protocolos de camada inferior, como:
Esses protocolos são responsáveis por garantir que os dados passem de um determinado aplicativo no computador cliente para um determinado aplicativo no servidor, enquanto o HTTPS transporta os dados reais que fazem a sessão de navegação na Web funcionar.
Balanceamento de carga na camada 7
Uma organização pode optar por implementar o balanceamento de carga na camada 7 do modelo OSI. Isso significa que o tráfego legítimo de um único aplicativo é distribuído entre vários servidores diferentes, garantindo que eles não fiquem sobrecarregados.
Portanto, o balanceamento de carga melhora o desempenho geral do aplicativo. Do ponto de vista do usuário, todos os servidores por trás de um balanceador de carga de camada 7 são indistinguíveis, pois teriam o mesmo endereço IP e números de porta voltados para o público. Porém, o balanceador de carga pode rotear o tráfego para os servidores com base na utilização.
Além disso, o balanceador de carga pode usar cookies ou outras informações incluídas nas solicitações para garantir que o tráfego da mesma sessão vá para o mesmo servidor, permitindo o armazenamento em cache e otimizando o serviço.
O balanceamento de carga também pode ocorrer na camada 4, a camada de transporte do modelo OSI. Nesse caso, diferentes servidores upstream usariam portasTCP/UDP diferentes, permitindo que um balanceador de carga enviasse rapidamente tráfego da mesma sessão para o mesmo servidor sem inspecionar seu conteúdo real. No entanto, essa abordagem oferece um controle menos granular sobre as sessões enviadas para cada servidor de back-end.
Proteção contra ataques DDoS
A camada 7 também é relevante no contexto de ataques de Negação distribuída de serviço (DDoS). Nos ataques de camada de aplicativo DDoS, um botnet controlado por um invasor tenta tornar um serviço-alvo indisponível para usuários e clientes. Os ataques de DDoS podem ocorrer em várias camadas diferentes do modelo OSI. Uma abordagem é tentar sobrecarregar um sistema com o grande volume de solicitações.
Esses ataques operam nas camadas 3 (rede) e 4 (transporte) do modelo OSI. Por exemplo, um ataque de inundação SYN esgota o número de sessões TCP que um servidor mantém abertas ao mesmo tempo.
Inundação SYN
Um SYN Flood é um tipo de ataque de DDoS que sobrecarrega um servidor com solicitações de conexão, tornando o servidor indisponível para clientes legítimos.
- Normalmente, um cliente envia uma mensagem SYN (Sincronizar) para um servidor, para solicitar uma conexão com um servidor.
- O servidor confirma essa solicitação enviando uma mensagem SYN-ACK de volta ao cliente.
- Em seguida, o cliente normalmente responde com um ACK (confirmação) e a conexão é estabelecida.
No entanto, no caso de ataques SYN Flood, o atacante de DDoS envia uma enxurrada de solicitações SYN ao servidor, mas propositalmente não responde com um ACK final a nenhuma das mensagens SYN-ACK enviadas pelo servidor. Como resultado, o servidor fica preso esperando por um grande volume de respostas ACK que nunca chegam do cliente.
Esse processo sobrecarrega os recursos computacionais limitados dos servidores, pois eles estão sobrecarregados tentando gerenciar um grande volume de conexões semiabertas. É por isso que os ataques SYN Flood também são conhecidos como “ataques semiabertos”.
Ataque DDoS de camada 7
Os ataques DDoS de camada 7 são projetados para explorar a vulnerabilidade e os gargalos de determinados aplicativos ou serviços. Por exemplo, ataques de inundação HTTP tentam enviar a um servidor web mais solicitações HTTP do que ele pode lidar. Isso pode ser substancialmente menor do que o número de sessões TCP simultâneas que ele pode manipular, tornando esse ataque mais eficiente.
Diferentes tipos de ataques DDoS precisam ser tratados em diferentes camadas OSI. Embora muitos firewalls de aplicativos possam lidar com ataques de Camada 3/4, a proteção contra ataques de Camada 7 exige um firewall de Camada 7 que inspecione e compreenda os dados da camada do aplicativo.
Soluções Check Point e o modelo OSI
As empresas podem sofrer ataques cibernéticos que operam em várias camadas diferentes do modelo OSI. Por exemplo, ataques de DDOS podem ser realizados nas camadas 3, 4 ou 7. Cada um desses tipos de ataque funciona de forma diferente, e uma solução de segurança de rede que ofereça proteção apenas nas camadas 3 e 4 não enxergará os ataques que ocorrem na camada 7.
Check Point Os firewalls de próxima geração (NGFWs) oferecem proteção em várias camadas do modelo OSI, incluindo a capacidade de inspecionar e entender as cargas úteis dos pacotes de rede para oferecer proteção na camada do aplicativo. Saiba mais sobre a proteção de Camada 7 que o Check Point Quantum Force NGFWs oferece, inscrevendo-se para um demo. gratuito.
Opinião