第一篇：數(shù)據(jù)庫防火墻技術(shù)研究

數(shù)據(jù)庫防火墻技術(shù)研究

數(shù)據(jù)庫防火墻是繼防火墻、下一代防火墻等網(wǎng)關(guān)類安全產(chǎn)品之后，專門針對于數(shù)據(jù)存儲的核心介質(zhì)——數(shù)據(jù)庫的一款安全防護產(chǎn)品。

關(guān)于數(shù)據(jù)庫安全可以分為兩個層面，一方面是來自于外部的威脅，比如說來自黑客的攻擊、非法訪問等，第三方運維人員的不當操作和非法入侵；另外一部分是來自于內(nèi)部的威脅。數(shù)據(jù)庫防火墻部署于數(shù)據(jù)庫之前。必須通過該系統(tǒng)才能對數(shù)據(jù)庫進行訪問或管理。數(shù)據(jù)庫防火墻除提供網(wǎng)絡防火墻的基本隔離功能以外，還提供獨立的連接授權(quán)管理、訪問授權(quán)管理、攻擊保護、連接監(jiān)控、審計等功能。部署該產(chǎn)品以達到牢牢控制數(shù)據(jù)庫入口，提高數(shù)據(jù)應用安全性的目的。目前，國內(nèi)首款專業(yè)數(shù)據(jù)庫防火墻產(chǎn)品是安華金和數(shù)據(jù)庫防火墻DBFirwall。

數(shù)據(jù)庫防火墻的產(chǎn)品價值

1、屏蔽直接訪問數(shù)據(jù)庫的通道

數(shù)據(jù)庫防火墻部署介于數(shù)據(jù)庫服務器和應用服務器之間，屏蔽直接訪問的通道，防止數(shù)據(jù)庫隱通道對數(shù)據(jù)庫的攻擊。

2、二次認證

應用程序?qū)?shù)據(jù)庫的訪問，必須經(jīng)過數(shù)據(jù)庫防火墻和數(shù)據(jù)庫自身兩層身份認證。

3、攻擊保護

實時檢測用戶對數(shù)據(jù)庫進行的SQL注入和緩沖區(qū)溢出攻擊。并報警或者阻止攻擊行為，同時詳細的審計下攻擊操作發(fā)生的時間、來源IP、登錄數(shù)據(jù)庫的用戶名、攻擊代碼等詳細信息。

4、安全審計

系統(tǒng)能夠?qū)徲媽?shù)據(jù)庫服務器的訪問情況。包括用戶名、程序名、IP地址、請求的數(shù)據(jù)庫、連接建立的時間、連接斷開的時間、通信量大小、執(zhí)行結(jié)果等等信息。并提供靈活的回放日志查詢分析功能，并可以生存報表。

5、防止外部黑客攻擊威脅

黑客利用Web應用漏洞，進行SQL注入;或以Web應用服務器為跳板，利用數(shù)據(jù)庫自身漏洞攻擊和侵入。通過限定更新和刪除影響行、限定無Where的更新和刪除操作、限定drop、truncate等高危操作避免大規(guī)模損失。數(shù)據(jù)庫防火墻防護能力

數(shù)據(jù)庫防火墻產(chǎn)品具有主動防護能力。針對對數(shù)據(jù)庫的風險行為和違規(guī)操作做相應的防護與告警。分析當前各類數(shù)據(jù)庫所受威脅和防火墻的應對防護能力包括如下幾項功能：

防御數(shù)據(jù)庫漏洞與SQL注入

威脅：外部黑客攻擊，黑客利用Web應用漏洞，進行SQL注入;或以Web應用服務器為跳板，利用數(shù)據(jù)庫自身漏洞攻擊和侵入。

防護：通過虛擬補丁技術(shù)捕獲和阻斷漏洞攻擊行為，通過SQL注入特征庫捕獲和阻斷SQL注入行為。

防止內(nèi)部高危操作

威脅：系統(tǒng)維護人員、外包人員、開發(fā)人員等，擁有直接訪問數(shù)據(jù)庫的權(quán)限，有意無意的高危操作對數(shù)據(jù)造成破壞。

防護：通過限定更新和刪除影響行、限定無Where的更新和刪除操作、限定drop、truncate等高危操作避免大規(guī)模損失。

防止敏感數(shù)據(jù)泄漏

威脅：黑客、開發(fā)人員可以通過應用批量下載敏感數(shù)據(jù)，內(nèi)部維護人員遠程或本地批量導出敏感數(shù)據(jù)。

防護：限定數(shù)據(jù)查詢和下載數(shù)量、限定敏感數(shù)據(jù)訪問的用戶、地點和時間。

審計追蹤非法行為

威脅：業(yè)務人員在利益誘惑下，通過業(yè)務系統(tǒng)提供的功能完成對敏感信息的訪問，進行信息的售賣和數(shù)據(jù)篡改。

防護：提供對所有數(shù)據(jù)訪問行為的記錄，對風險行為進行SysLog、郵件、短信等方式的告警，提供事后追蹤分析工具。

數(shù)據(jù)庫通訊協(xié)議解析

各類數(shù)據(jù)庫防火墻產(chǎn)品，對于數(shù)據(jù)庫風險行為和違規(guī)操作進行安全防護的基礎。都來自于數(shù)據(jù)庫通訊協(xié)議的解析。通訊協(xié)議解析的越精準，數(shù)據(jù)庫的防護工作越周密安全。換言之，數(shù)據(jù)庫通訊協(xié)議解析的強弱是評價一款數(shù)據(jù)庫防火墻產(chǎn)品優(yōu)略的關(guān)鍵。下面就數(shù)據(jù)庫通訊協(xié)議解析原理做一下相關(guān)介紹。

從數(shù)據(jù)通訊交互來講，數(shù)據(jù)是以包（Packet）的形式在網(wǎng)絡中進行傳輸?shù)?。一個包通常由2大部分組成：控制部分（metadata）和數(shù)據(jù)部分。從包的結(jié)構(gòu)中，可以得到數(shù)據(jù)的“源地址（Source Address）”和“目標地址（Destination Address）”，“源端口（Source Port）”和“目標端口（Destination Port）”。防火墻正式基于這些信息對數(shù)據(jù)庫進行防護。當一個包（如來自數(shù)據(jù)庫客戶端）通過防火墻時，防火墻會基于一定的規(guī)則對該包進行檢查，如檢查包的發(fā)送者是不是合法的IP（如合法的數(shù)據(jù)庫客戶端），包的目標是不是特定的數(shù)據(jù)庫服務器？如果檢查通過，包會被允許穿過防火墻。如果檢查未通過，則該包會被丟棄（Drop）（發(fā)送者什么都不知道，猶如石沉大海）,或者會給發(fā)送者返回（反饋）錯誤信息（reject）。我們把前面描述的這種防御方式叫“包過濾”。“包過濾”可工作在OSI模型

（見下圖）的最底下3層或者4層。

“包過濾”又可分為“有連接（stateful）”和“無連接（stateless）”兩種?！坝羞B接（stateful）”是指防火墻會記錄通過的連接狀態(tài)信息，維護相應的連接狀態(tài)數(shù)據(jù)庫，基于同一連接的數(shù)據(jù)包可免于重復檢查，這樣將提高數(shù)據(jù)包傳輸效率，“無連接（stateless）”是對每一個數(shù)據(jù)包進行檢查，通常意義上會導致網(wǎng)絡響應緩慢，這兩種方式各有優(yōu)缺點。

安華金和數(shù)據(jù)庫防火墻（DBFirewall）實現(xiàn)了對主流數(shù)據(jù)庫類型通訊協(xié)議的“雙向、全協(xié)議解析”，重要的解析內(nèi)容包括：SQL語句、參數(shù)化語句句柄、SQL參數(shù)、應答結(jié)果信息、結(jié)果集結(jié)構(gòu)信息、結(jié)果集數(shù)據(jù)等。

SQL語句的解析和表達是實現(xiàn)對SQL語句攻擊行為控制的關(guān)鍵；SQL注入的檢查、應用sql語句的放行，都依賴于sql語句的解析和特征捕獲。傳統(tǒng)的技術(shù)，往往采用正則表達式的方式，但該方式存在巨大的技術(shù)缺陷，一是正則匹配過程性能地下，二是對于復雜的參數(shù)情況容易產(chǎn)生匹配錯誤，三是通過語句的變體容易欺騙。

DBFirewall為了有效撲獲SQL語句的特征，以及為了快速地對SQL語句進行策略判定，以實現(xiàn)數(shù)據(jù)庫防火墻的高效處理，提供了專利性的SQL語法特征技術(shù)，實現(xiàn)了對SQL語句的重寫。

SQL重寫是在不改變原SQL語句的語義的情況下，DBFirewall對捕捉到的SQL語句進行重寫，替換原語句中的參數(shù)值。

SQL重寫是一個抽象的過程，便于管理和操作。SQL重寫包括以下幾個方面： ? 除了單雙引號內(nèi)的內(nèi)容，小寫字母全部變?yōu)榇髮懽帜福?? 準確區(qū)分正負號和加減號；

? 將SQL語句中的數(shù)值、單引號引起的字符串各自重寫為統(tǒng)一的占位符；

? 將注釋、換行重寫為空格，將連續(xù)的空格合并為1個，去掉運算符兩端等不影響語義的空格 以如下SQL語句為例：

Select +0.25 * money,sum(id)From “testdb”.accounts

Where id = ' G1792 ' or name!=‘’/*this message come from Lisa*/ XSeure-DBF在SQL重寫的基礎上，根據(jù)SQL語法，對SQL進行了多級分類。SQL多級分類是將具有相同操作行為的不同語句合并為一類，為SQL信息的查看和策略的定制提供了便利，且SQL分類編碼操作后，易于后續(xù)的計算、操作和存儲。

SQL分類主要分為三級，分類的方向由細到粗，即二級分類是在一級分類的基礎上進行的，三級分類是在二級的基礎上進行的。

? 一級分類

基于目前的SQL重寫，即替換所有的可變“參數(shù)”數(shù)據(jù)為固定的“參數(shù)(例如，#)”，并且將所有謂詞全部大寫化（格式化為大寫字母）等。也就是說，一級分類的輸出是經(jīng)過“重寫”后的SQL語句。? 二級分類

在一級分類的基礎上，對所有的謂詞、函數(shù)、比較運算符進行編碼后，生成摘要的字符串編碼，該編碼就是SQL的二級分類碼。? 三級分類 在二級分類的基礎上，對所有的謂詞比較運算符進行編碼后，生成的摘要字符串編碼，該編碼就是SQL三級分類碼。

根據(jù)SQL分類的原則，假如有如下SQL語句：

1:SELECT salary*1.5 FROM employees WHERE job_id ='PU_CLERK';2:SELECT salary*2 FROM employees WHERE job_id='SA_MAN';3:SELECT employee_id FROM department WHERE department_name = 'HR';4:SELECT department_id FROM employees WHERE salary <5000;5:SELECT sum(salary)FROM employees WHERE job_id ='PU_CLERK';6:SELECT max(salary)FROM employees WHERE job_id='PU_CLERK';那么按照分類碼，DBFirewall看到的分析SQL，由三級到一級如下呈現(xiàn)： ? SELECT FROM WHERE = ? SELECT FROM WHERE = ? SELECT SALARY*0 FROM EMPLOYEES WHERE JOB_ID='#' ? SELECT EMPLOYEE_ID FROM DEPARTMENT WHERE DEPARTMENT_NAME='#' ? SELECT SUM FROM WHERE = ? SELECT SUM(SALARY)FROM EMPLOYEES WHERE JOB_ID='#‘ ? SELECT MIN FROM WHERE = ? SELECT MIN(SALARY)FROM EMPLOYEES WHERE JOB_ID='#‘

? SELECT DEPARTMENT_ID FROM EMPLOYEES WHERE SALARY<0 ? SELECT MIN FROM WHERE < SELECT DEPARTMENT_ID FROM EMPLOYEES WHERE SALARY<0 SQL語句格式化重寫后的結(jié)果為：

SELECT 0*MONEY,SUM(ID)FROM “testdb”.ACCOUNTS WHERE ID=’#’ OR NAME!=’’ 正式基于精準的數(shù)據(jù)庫通訊協(xié)議解析，數(shù)據(jù)庫防火墻才能對數(shù)據(jù)庫進行周密的防護。黑白名單機制

數(shù)據(jù)庫防火墻進行數(shù)據(jù)庫防護的過程中，除了利用數(shù)據(jù)通訊協(xié)議解析的信息設置相應的風險攔截和違規(guī)sql操作預定義策略以外，常用的防護方式也包括通過學習模式以及SQL語法分析構(gòu)建動態(tài)模型，形成SQL白名單和SQL黑名單，對符合SQL白名單語句放行，對符合SQL黑名單特征語句阻斷。

安華金和數(shù)據(jù)庫防火墻除了通過制定黑白名單和相應的策略規(guī)則之外，配合利用禁止，許可以及禁止+許可的混合模式規(guī)則對數(shù)據(jù)庫進行策略設置，從而對數(shù)據(jù)庫進行防護。

許可規(guī)則禁止規(guī)則優(yōu)先禁止規(guī)則放行阻止放行阻止 “禁止規(guī)則”負責定義系統(tǒng)需要阻止的危險數(shù)據(jù)庫訪問行為，所有被“禁止規(guī)則”命中的行為將被阻斷，其余的行為將被放行。

“許可規(guī)則”負責定義應用系統(tǒng)的訪問行為和維護工作的訪問行為，通過“許可規(guī)則”使這些行為在被“禁止規(guī)則”命中前被放行。

“優(yōu)先禁止規(guī)則”負責定義高危的數(shù)據(jù)庫訪問行為，這些策略要先于“許可規(guī)則”被判斷，命中則阻斷。數(shù)據(jù)庫漏洞防護

在數(shù)據(jù)庫的防護過程中，除了對數(shù)據(jù)庫登錄限定，惡意sql操作攔截，以及批量數(shù)據(jù)刪改進行安全防護以外。數(shù)據(jù)庫自身存在的一些漏洞缺陷所引發(fā)的安全隱患，也在數(shù)據(jù)庫防火墻的防護范圍之內(nèi)。對于這些風險行為進行周密而嚴謹?shù)姆雷o也是數(shù)據(jù)庫防火墻價值體現(xiàn)的重點項。

之前在CVE上公開了2000多個數(shù)據(jù)庫安全漏洞，這些漏洞給入侵者敞開了大門。數(shù)據(jù)庫廠商會定期推出數(shù)據(jù)庫漏洞補丁。數(shù)據(jù)庫補丁雖然能在一定程度上彌補數(shù)據(jù)庫漏洞，降低數(shù)據(jù)庫遭受惡意攻擊的風險度。但是數(shù)據(jù)庫補丁也存在許多適用性問題。主要包括以下三點：

? 漏洞補丁針對性高，修補范圍存在局限性。

包發(fā)布周期過長，存在數(shù)據(jù)泄露真空期 ? 補丁修復過程中存在兼容性隱患

? 數(shù)據(jù)庫補丁漏洞修補周期長，風險大，消耗大量資源

區(qū)別于oracle防火墻對虛擬補丁技術(shù)的空白，安華金和數(shù)據(jù)庫防火墻和McAfee數(shù)據(jù)庫防火墻功能點上都添加了數(shù)據(jù)庫漏洞防護技術(shù)，以完善產(chǎn)品，力求達到對數(shù)據(jù)庫的全面防護。

虛擬補丁技術(shù)可以在無需修補DBMS內(nèi)核的情況下保護數(shù)據(jù)庫。它在數(shù)據(jù)庫外創(chuàng)建了一個安全層，從而不用打數(shù)據(jù)庫廠商的補丁，也不需要停止服務和回歸測試。通過監(jiān)控所有數(shù)據(jù)庫活動，并用監(jiān)控數(shù)據(jù)與保護規(guī)則相比較，從而發(fā)現(xiàn)攻擊企圖。當比較結(jié)果與規(guī)則匹配時，就發(fā)出一個警報，并在指定的時間內(nèi)終止可疑會話、操作程序或隔離用戶，直到這個可疑的活動被審查通過。

安華金和數(shù)據(jù)庫防火墻的漏洞防護技術(shù)——虛擬補丁通過控制受影響的應用程序的輸入或輸出，來改變或消除漏洞。是在數(shù)據(jù)庫的前端進行控制或告警的一種技術(shù)。它是一種透明的對數(shù)據(jù)庫進行保護的方法，不需要重啟數(shù)據(jù)庫或進行大范圍應用系統(tǒng)的回歸測試。

本文針對當前數(shù)據(jù)安全領(lǐng)域的現(xiàn)狀與發(fā)展趨勢向大家做了一些簡要的論述，從數(shù)據(jù)庫防火墻的崛起，從國際到國內(nèi)市場，到Oracle，McAfee再到安華金和，有一點我們可以達成共識，數(shù)據(jù)庫安全在信息安全中的整體價值地位逐步凸顯。數(shù)據(jù)庫防火墻作為針對數(shù)據(jù)庫的安全的專項產(chǎn)品，作為維護數(shù)據(jù)庫的堡壘屏障已經(jīng)起到了不可或缺的作用。

第二篇：防火墻論文

防火墻技術(shù)論文

姓 名：王田輝 學 號：2012110438 專 業(yè)：網(wǎng)絡工程

摘要

本文介紹了防火墻的概念、分類、發(fā)展歷程、工作原理、主要技術(shù)及相關(guān)的特性。防火墻是一種訪問控制技術(shù)，它通過在某個機構(gòu)的網(wǎng)絡和不安全的網(wǎng)絡之間設置障礙，阻止信息資源的非法訪問。說明了網(wǎng)絡常見攻擊方式以及防火墻應對策略。分析了防火墻技術(shù)在Internet安全上的重要作用，并提出其不足之處 和解決方案。最后展望了防火墻的反戰(zhàn)前景以及技術(shù)方向。

關(guān)鍵字：防火墻；網(wǎng)絡；網(wǎng)絡安全；功能；Internet；

Abstract The paper introduces the concept, classification and firewall development course, working principle and main technology and related properties.A firewall is a kind of access control technology, it is through the network and in some institutions unsafe network between obstacles, stop the illegal access to information resources.Explain the network attack mode and common firewall strategies.Analysis on the Internet security firewall technology was proposed, and the important role of the deficiencies and solutions.Finally discussed the prospect and the anti-war firewall technology trends.Key words: firewall, Network, Network security, Function, Internet，目錄

一、防火墻是什么.........................................1

二、防火墻的分類.........................................1

三、防火墻的發(fā)展歷程.....................................1

四、防火墻的工作原理.....................................2

五、防火墻應該具備的特性.................................2

六、防火墻主要技術(shù).......................................2

七、常見攻擊方式以及應對策略.............................3

八、防火墻的反戰(zhàn)前景以及技術(shù)方向.........................3

九、結(jié)束語...............................................4

十、參考文獻.............................................4 現(xiàn)在無論是企業(yè)，還是個人，隨著計算機的應用由單機發(fā)展到網(wǎng)絡，網(wǎng)絡面臨著大量的安全威脅，其安全問題日益嚴重，日益成為廣泛關(guān)注的焦點。在這樣一個大環(huán)境下，網(wǎng)絡安全問題凝了人們的注意力，大大小小的企業(yè)紛紛為自己的內(nèi)部網(wǎng)絡“筑墻”，防病毒與防黑客成為確保企業(yè)信息系統(tǒng)安全的基本手段。因此信息安全，網(wǎng)絡安全的問題已經(jīng)引起各國，各部門，各行各業(yè)以及每個計算機用戶的充分重視。

一、防火墻是什么

防火墻就是一個位于計算機和它所連接的網(wǎng)絡之間的軟件。該計算機流入流出的所有網(wǎng)絡通信均要經(jīng)過此防火墻。

二、防火墻的分類

防火墻又大致分為硬件防火墻和軟件防火墻:硬件防火墻是指把防火墻程序做到芯片里面，由硬件執(zhí)行這些功能，能減少CPU的負擔，使路由更穩(wěn)定。硬件防火墻一般都有WAN、LAN和DMZ三個端口，還具有各種安全功能，價格比較高，企業(yè)以及大型網(wǎng)絡使用得比較多。軟件防火墻其實就是安全防護軟件，比如天網(wǎng)防火墻、金山網(wǎng)鏢、藍盾防火墻等等。

三、防火墻的發(fā)展歷程

目前的防火墻無論從技術(shù)上還是產(chǎn)品發(fā)展歷程上，都經(jīng)歷了五個發(fā)展階段。第一代防火墻技術(shù)幾乎與路由器同時出現(xiàn)，采用了包過濾技術(shù)。1989年，貝爾實驗室的Dave Presotto和Howard Trickey推出了第二代防火墻，即電路層防火墻，同時提出了第三代防火墻——應用層防火墻（代理防火墻）的初步結(jié)構(gòu)。第四代防火墻是1992年，USC信息科學院的BobBraden開發(fā)出了基于動態(tài)包過濾技術(shù)的第四代防火墻，后來演變?yōu)槟壳八f的狀態(tài)監(jiān)視技術(shù)。1994年，以色列的CheckPoint公司開發(fā)出了第一個采用這種技術(shù)的商業(yè)化的產(chǎn)品。第五代防火墻是1998年，NAI公司推出了一種自適應代理技術(shù)，并在其產(chǎn)品Gauntlet Firewall for NT中得以實現(xiàn)，給代理類型的防火墻賦予了全新的意義。高級應用代理的研究，克服速度和安全性之間的矛盾，可以稱之為第五代防火墻。前五代防火墻技術(shù)有一個共同的特點，就是采用逐一匹配方法，計算量太大。包過濾是對IP包進行匹配檢查，狀態(tài)檢測包過濾除了對包進行匹配檢查外還要對狀態(tài)信息進行匹配檢查，應用代理對應用協(xié)議和應用數(shù)據(jù)進行匹配檢查。因此，它們都有一個共同的缺陷，安全性越高，檢查的越多，效率越低。用一個定律來描述，就是防火墻的安全性與效率成反比。

四、防火墻的工作原理

天下的防火墻至少都會說兩個詞：Yes或者No。直接說就是接受或者拒絕。最簡單的防火墻是以太網(wǎng)橋。但幾乎沒有人會認為這種原始防火墻能管多大用。大多數(shù)防火墻采用的技術(shù)和標準可謂五花八門。這些防火墻的形式多種多樣：有的取代系統(tǒng)上已經(jīng)裝備的TCP/IP協(xié)議棧；有的在已有的協(xié)議棧上建立自己的軟件模塊；有的干脆就是獨立的一套操作系統(tǒng)。還有一些應用型的防火墻只對特定類型的網(wǎng)絡連接提供保護（比如SMTP或者HTTP協(xié)議等）。還有一些基于硬件的防火墻產(chǎn)品其實應該歸入安全路由器一類。以上的產(chǎn)品都可以叫做防火墻，因為他們的工作方式都是一樣的：分析出入防火墻的數(shù)據(jù)包，決定放行還是把他們?nèi)拥揭贿?。所有的防火墻都具有IP地址過濾功能。這項任務要檢查IP包頭，根據(jù)其IP源地址和目標地址作出放行/丟棄決定。

五、防火墻應該具備的特性

當前的防火墻需要具備如下的技術(shù)、功能、特性，才可以成為企業(yè)用戶歡迎的防火墻產(chǎn)品：

1、安全、成熟、國際領(lǐng)先的特性；

2、具有專有的硬件平臺和操作系統(tǒng)平臺；

3、采用高性能的全狀態(tài)檢測（Stateful Inspection）技術(shù)；

4、具有優(yōu)異的管理功能，提供優(yōu)異的GUI管理界面；

5、支持多種用戶認證類型和多種認證機制；

6、需要支持用戶分組，并支持分組認證和授權(quán)；

7、支持內(nèi)容過濾；

8、支持動態(tài)和靜態(tài)地址翻譯(NAT；

9、支持高可用性，單臺防火墻的故障不能影響系統(tǒng)的正常運行；

10、支持本地管理和遠程管理；

11、支持日志管理和對日志的統(tǒng)計分析；

12、實時告警功能，在不影響性能的情況下，支持較大數(shù)量的連接數(shù)；

13、在保持足夠的性能指標的前提下，能夠提供盡量豐富的功能；

14、可以劃分很多不同安全級別的區(qū)域，相同安全級別可控制是否相互通訊；

15、支持在線升級；

16、支持虛擬防火墻及對虛擬防火墻的資源限制等功能；

17、防火墻能夠與入侵檢測系統(tǒng)互動。

六、防火墻主要技術(shù)

先進的防火墻產(chǎn)品將網(wǎng)關(guān)與安全系統(tǒng)合二為一，具有以下技術(shù)：雙端口或三端口的結(jié)構(gòu)；透明的訪問方式；靈活的代理系統(tǒng)；多級的過濾技術(shù)；網(wǎng)絡地址轉(zhuǎn)換技術(shù)（NAT）；Internet網(wǎng)關(guān)技術(shù)；安全服務器網(wǎng)絡（SSN）；用戶鑒別與加密；用戶定制服務；審計和告警。

七、常見攻擊方式以及應對策略

（一）病毒

策略：設定安全等級，嚴格阻止系統(tǒng)在未經(jīng)安全檢測的情況下執(zhí)行下載程序；或者通過常用的基于主機的安全方法來保護網(wǎng)絡。

（二）口令字

對口令字的攻擊方式有兩種：窮舉和嗅探。窮舉針對來自外部網(wǎng)絡的攻擊，來猜測防火墻管理的口令字。嗅探針對內(nèi)部網(wǎng)絡的攻擊，通過監(jiān)測網(wǎng)絡獲取主機給防火墻的口令字。

策略：設計主機與防火墻通過單獨接口通信（即專用服務器端口）、采用一次性口令或禁止直接登錄防火墻。

（三）郵件

來自于郵件的攻擊方式越來越突出，在這種攻擊中，垃圾郵件制造者將一條消息復制成成千上萬份，并按一個巨大的電子郵件地址清單發(fā)送這條信息，當不經(jīng)意打開郵件時，惡意代碼即可進入。

策略：打開防火墻上的過濾功能，在內(nèi)網(wǎng)主機上采取相應阻止措施。

（四）IP地址

黑客利用一個類似于內(nèi)部網(wǎng)絡的IP地址，以“逃過”服務器檢測，從而進入內(nèi)部網(wǎng)達到攻擊的目的。策略：通過打開內(nèi)核rp_filter功能，丟棄所有來自網(wǎng)絡外部但卻有內(nèi)部地址的數(shù)據(jù)包；同時將特定IP地址與MAC綁定，只有擁有相應MAC地址的用戶才能使用被綁定的IP地址進行網(wǎng)絡訪問。

八、防火墻的反戰(zhàn)前景以及技術(shù)方向

伴隨著Internet的飛速發(fā)展，防火墻技術(shù)與產(chǎn)品的更新步伐必然會加強，而要全面展望防火墻技術(shù)的發(fā)展幾乎是不可能的。但是，從產(chǎn)品及功能上，卻又可以看出一些動向和趨勢。下面諸點可能是下一步的走向和選擇：

（1)防火墻將從目前對子網(wǎng)或內(nèi)部網(wǎng)管理的方式向遠程上網(wǎng)集中管理的方式發(fā)展。

（2)過濾深度會不斷加強，從目前的地址、服務過濾，發(fā)展到URL(頁面)過濾、關(guān)鍵字過濾和對ActiveX、Java等的過濾，并逐漸有病毒掃描功能。

（3)利用防火墻建立專用網(wǎng)是較長一段時間用戶使用的主流，IP的加密需求越來越強，安全協(xié)議的開發(fā)是一大熱點。

（4)單向防火墻(又叫做網(wǎng)絡二極管)將作為一種產(chǎn)品門類而出現(xiàn)。（5)對網(wǎng)絡攻擊的檢測和各種告警將成為防火墻的重要功能。（6)安全管理工具不斷完善，特別是可以活動的日志分析工具等將成為防火墻產(chǎn)品中的一部分。 另外值得一提的是，伴隨著防火墻技術(shù)的不斷發(fā)展，人們選擇防火墻的標準將主要集中在易于管理、應用透明性、鑒別與加密功能、操作環(huán)境和硬件要求、VPN 的功能與CA的功能、接口的數(shù)量、成本等幾個方面。幾乎所有接觸網(wǎng)絡的人都知道網(wǎng)絡中有一些費盡心機闖入他人計算機系統(tǒng)的人，他們利用各種網(wǎng)絡和系統(tǒng)的漏洞，非法獲得未授權(quán)的訪問信息。不幸的是如今攻擊網(wǎng)絡系統(tǒng)和竊取信息已經(jīng)不需要什么高深的技巧。網(wǎng)絡中有大量的攻擊工具和攻擊文章等資源，可以任意使用和共享。不需要去了解那些攻擊程序是如何運行的，只需要簡單的執(zhí)行就可以給網(wǎng)絡造成巨大的威脅。甚至部分程序不需要人為的參與，非常智能化的掃描和破壞整個網(wǎng)絡。這種情況使得近幾年的攻擊頻率和密度顯著增長，給網(wǎng)絡安全帶來越來越多的安全隱患

九、結(jié)束語

隨著Internet/Intranet技術(shù)的飛速發(fā)展，網(wǎng)絡安全問題必將愈來愈引起人們的重視。防火墻技術(shù)作為目前用來實現(xiàn)網(wǎng)絡安全措施的一種主要手段，它主要是用來拒絕未經(jīng)授權(quán)用戶的訪問，阻止未經(jīng)授權(quán)用戶存取敏感數(shù)據(jù)，同時允許合法用戶不受妨礙的訪問網(wǎng)絡資源。如果使用得當，可以在很大程度上提高網(wǎng)絡安全。但是沒有一種技術(shù)可以百分之百地解決網(wǎng)絡上的所有問題，比如防火墻雖然能對來自外部網(wǎng)絡的攻擊進行有效的保護，但對于來自網(wǎng)絡內(nèi)部的攻擊卻無能為力。事實上60%以上的網(wǎng)絡安全問題來自網(wǎng)絡內(nèi)部。因此網(wǎng)絡安全單靠防火墻是不夠的，還需要有其它技術(shù)和非技術(shù)因素的考慮，如信息加密技術(shù)、身份驗證技術(shù)、制定網(wǎng)絡法規(guī)、提高網(wǎng)絡管理人員的安全意識等等。

十、參考文獻

[1] 作者：彭濤.《計算機網(wǎng)絡教程 》 機械工業(yè)出版社 [2] 作者：IBON.Marshield 《網(wǎng)絡安全技術(shù)白皮書》 艾邦公司資料

[3] 作者：楚狂 等 《網(wǎng)絡安全與Firewall技術(shù)》 人民郵電出版社 [4] 作者：聶元銘 丘平《網(wǎng)絡信息安全技術(shù)》 科學出版社

第三篇：防火墻基礎知識

防火墻基礎知識

3.3 包過濾包過濾技術(shù)(Ip Filtering or packet filtering)的原理在于監(jiān)視并過濾網(wǎng)絡上流入流出的Ip包，拒絕發(fā)送可疑的包。由于Internet 與Intranet 的連接多數(shù)都要使用路由器，所以Router成為內(nèi)外通信的必經(jīng)端口，Router的廠商在Router上加入IP Filtering 功能，這樣的Router也就成為Screening Router 或稱為Circuit-level gateway.網(wǎng)絡專家Steven.M.Bellovin認為這種Firewall 應該是足夠安全的，但前提是配置合理。然而一個包過濾規(guī)則是否完全嚴密及必要是很難判定的，因而在安全要求較高的場合，通常還配合使用其它的技術(shù)來加強安全性。

Router 逐一審查每份數(shù)據(jù)包以判定它是否與其它包過濾規(guī)則相匹配。(注：只檢查包頭的內(nèi)容，不理會包內(nèi)的正文信息內(nèi)容)過濾規(guī)則以用于IP順行處理的包頭信息為基礎。包頭信息包括: IP 源地址、IP目的地址、封裝協(xié)議(TCP、UDP、或IP Tunnel)、TCP/UDP源端口、ICMP包類型、包輸入接口和包輸出接口。如果找到一個匹配，且規(guī)則允許這包，這一包則根據(jù)路由表中的信息前行。如果找到一個匹配，且規(guī)則允許拒絕此包，這一包則被舍棄。如果無匹配規(guī)則，一個用戶配置的缺省參數(shù)將決定此包是前行還是被舍棄。

*從屬服務的過濾包過濾規(guī)則允許Router取舍以一個特殊服務為基礎的信息流，因為大多數(shù)服務檢測器駐留于眾所周知的TCP/UDP端口。例如，Telnet Service 為TCP port 23端口等待遠程連接，而SMTP Service為TCP Port 25端口等待輸入連接。如要封鎖輸入Telnet、SMTP的連接，則Router舍棄端口值為23,25的所有的數(shù)據(jù)包。典型的過濾規(guī)則有以下幾種：

.允許特定名單內(nèi)的內(nèi)部主機進行Telnet輸入對話

.只允許特定名單內(nèi)的內(nèi)部主機進行FTP輸入對話

.只允許所有Telnet 輸出對話

.只允許所有FTP 輸出對話

.拒絕來自一些特定外部網(wǎng)絡的所有輸入信息

* 獨立于服務的過濾

有些類型的攻擊很難用基本包頭信息加以鑒別，因為這些獨立于服務。一些Router可以用來防止這類攻擊，但過濾規(guī)則需要增加一些信息，而這些信息只有通過以下方式才能獲悉：研究Router選擇表、檢查特定的IP選項、校驗特殊的片段偏移等。這類攻擊有以下幾種:.源IP地址欺騙攻擊

入侵者從偽裝成源自一臺內(nèi)部主機的一個外部地點傳送一些信息包；這些信息包似乎像包含了一個內(nèi)部系統(tǒng)的源IP地址。如果這些信息包到達Router的外部接口，則舍棄每個含有這個源IP地址的信息包，就可以挫敗這種源欺騙攻擊。

.源路由攻擊源站指定了一個信息包穿越Internet時應采取的路徑，這類攻擊企圖繞過安全措施，并使信息包沿一條意外(疏漏)的路徑到達目的地?？梢酝ㄟ^舍棄所有包含這類源路由選項的信息包方式，來挫敗這類攻擊。

.殘片攻擊入侵者利用Ip殘片特性生成一個極小的片斷并將TCP報頭信息肢解成一個分離的信息包片斷。舍棄所有協(xié)議類型為TCP、IP片斷偏移值等于1的信息包，即可挫敗殘片的攻擊。從以上可看出定義一個完善的安全過濾規(guī)則是非常重要的。通常，過濾規(guī)則以表格的形式表示，其中包括以某種次序排列的條件和動作序列。每當收到一個包時，則按照從前至后的順序與表格中每行的條件比較，直到滿足某一行的條件，然后執(zhí)行相應的動作(轉(zhuǎn)發(fā)或舍棄)。有些數(shù)據(jù)包過濾在實現(xiàn)時，“動作”這一項還詢問，若包被丟棄是否要通知發(fā)送者(通過發(fā)ICMP信息),并能以管理員指定的順序進行條件比較，直至找到滿足的條件。以下是兩個例子: * 例 一

某公司有一個B類地址 123.45.0.0,它不希望Internet上的其他站點對它進行訪問。但是，該公司網(wǎng)中有一個子網(wǎng)123.45.6.0 用于和某大學合作開發(fā)項目，該大學有一個B類地址 135.79.0.0，并希望大學的各個子網(wǎng)都能訪問123.45.6.0 子網(wǎng)。但是，由于135.79.99.0 子網(wǎng)中存在著不安全因素，因此，它除了能訪問123.45.6.0 子網(wǎng)之外，不能訪問公司網(wǎng)中的其它子網(wǎng)。為了簡單起見，假定只有從大學到公司的包，表一中列出了所需的規(guī)則集。

表 一

規(guī) 則

源

地 址

目 的 地 址

動

作

A

135.79.0.0

123.45.6.0

permit

B

135.79.99.0

123.45.0.0

deny

C

0.0.0.0

0.0.0.0

deny

其中0.0.0.0代表任何地址，規(guī)則C是缺省規(guī)則，若沒有其它的規(guī)則可滿足，則應用此規(guī)則。如果還有從公司到大學的包，相對稱的規(guī)則應加入到此表格中，即源地址與目的地址對調(diào)，再定義相應的動作。

現(xiàn)在，我們按照規(guī)則ABC的順序來進行過濾和按照BAC的順序來進行過濾后采取的動作的結(jié)果如表二所示(注意：兩種動作的結(jié)果有不同)

表

二 Packet 源 地 址

目 的 地 址

希望的動作 執(zhí)行ABC后 執(zhí)行BAC后

135.79.99.1

123.45.1.1

deny

deny(B)

deny(B)

* 2

135.79.99.1

123.45.6.1

permit

permit(A)deny(B)3

135.79.1.1

123.45.6.1

permit

permit(A)permit(A)4

135.79.1.1

123.45.1.1

deny

deny(C)

deny(c)

從表二可以看出，以ABC的順序來應用規(guī)則的Router能達到預想的結(jié)果： 從135.79.99.0子網(wǎng)到公司網(wǎng)的包(如包1)都被拒絕(根據(jù)規(guī)則B)，從135.79.99.0子網(wǎng)到123.45.6.0子網(wǎng)的包(如包2)將被轉(zhuǎn)發(fā)(根據(jù)規(guī)則A)，從大學中的其它子網(wǎng)到123.45.6.0的子網(wǎng)包(如包3)也將被轉(zhuǎn)發(fā)(根據(jù)規(guī)則A)，從大學中的其它子網(wǎng)到公司中的其它字網(wǎng)的包(如包4)都被拒絕(根據(jù)規(guī)則C)。若以BAC的順序來應用規(guī)則，則不能達到預計的目的。實際上，在上面的規(guī)則外集中存在著一個小錯誤，正是由于這個錯誤，導致了以ABC的順序和以BAC的順序來應用規(guī)則而出現(xiàn)了不同的結(jié)果。該錯誤就是:規(guī)則B似乎用于限制135.79.99.0子網(wǎng)訪問公司網(wǎng)，但實際上這是多余的。如果將這條規(guī)則去掉，那么順序ABC和BAC都將歸結(jié)為AC順序。以AC的順序進行過濾后的結(jié)果如表三所示。

表

三

Packet

源 地 址

目 的 地 址

希望的動作

AC 動作

135.79.99.1

123.45.1.1

deny

deny(C)

135.79.99.1

123.45.6.1

permit

permit(A)

135.79.1.1

123.45.6.1

permit

permit(A)

135.79.1.1

123.45.1.1

deny

deny(C)

* 例 二如圖一所示的網(wǎng)絡，由包過濾的Router作為在內(nèi)部被保護的網(wǎng)絡與外部不安全的網(wǎng)絡之間的第一道防線。假設網(wǎng)絡的安全策略為:從外部主機來的Internet Mail 在一個指定的網(wǎng)關(guān)上接收，同時你不信任外部網(wǎng)絡上一個名叫HPVC的主機，準備拒絕任何由它發(fā)起的網(wǎng)絡通信。

本例中，關(guān)于使用SMTP的網(wǎng)絡安全策略必須轉(zhuǎn)移為包過濾規(guī)則?？梢詫⒕W(wǎng)絡安全規(guī)則轉(zhuǎn)換成下述用語言表示的規(guī)則：

規(guī)則1: 拒絕從主機HPVC發(fā)起的連接。

規(guī)則2：允許連接到我們的E-Mail網(wǎng)關(guān)。這些規(guī)則可以用下面的表四來表示。星號(*)表示可以匹配該列的任何值。

表

四規(guī)則

動作

本地

本地

遠地主機

遠地

說明

序號

主機

端口號

端口號

Block

*

*

HPVC

*

Block traffic from

HPVC 2

Allow Mail-GW 25

*

*

Allow Connection to Our

Mail gateway

對于表四所示的規(guī)則1而言，在遠地主機欄中填入了HPVC，而其它所有欄的內(nèi)容都是星號；在動作欄填入阻塞。這條規(guī)則的意義可以理解為：阻塞所有從遠地主機HPVC發(fā)起的從它的任意端口到我們本地任意主機的任意端口的連接。對于表四所示的規(guī)則2而言，在本地主機和本地端口號兩欄中都有內(nèi)容，而其它欄都是星號；在動作欄填入允許。這個規(guī)則的意義可以理解為：允許從任意遠地主機的任意端口發(fā)起的到本地主機Mail-GW的25號端口連接(端口25是為SMTP保留的)規(guī)則是按照它們在表中的順序來執(zhí)行的。如果一個分組不符合任何規(guī)則，則它將被拒絕。

在表四中對規(guī)則的描述有一個嚴重的問題，它允許任意外部主機從端口25發(fā)起一個呼叫。端口25是為SMTP保留的，但是一個外部主機有可能利用這個權(quán)利從事其它活動。這條規(guī)則的一個更好的描述方案是允許本地主機發(fā)起呼叫，同遠地主機的端口25進行通信。這使得本地主機可以向遠地站點發(fā)送電子郵件。如果遠地主機不是用端口25執(zhí)行SMTP，則SMTP的發(fā)送進程將不能發(fā)送電子郵件。這等價與遠地主機不支持電子郵件。一個TCP連接是一個全雙工連接，信息雙向流動。在表四所示的包過濾規(guī)則中沒有明確指定被發(fā)送報文分組中信息的傳遞方向，即是從本地主機發(fā)送遠地站點，還是從遠地站點發(fā)送到本地主機。當一個TCP包在某一個方向上傳遞時，它必須被接收方確認。接收方通過設置TCP ACK標志來發(fā)送應答幀。TCP ACK標志也被用來確認TCP建立連接請求，ACK包將在所有TCP連接上發(fā)送。當一個ACK包被發(fā)送后，發(fā)送方向就逆轉(zhuǎn)過來，包過濾規(guī)則應該考慮為響應控制或數(shù)據(jù)包而發(fā)回的ACK包。對于下面的表五中的規(guī)則1,在源主機欄中填入199.245.180.0,在目標主機端口號欄中填入25,其它欄中都填入星號,在動作欄中填入允許.整個規(guī)則的意義為:允許所有從網(wǎng)絡199.245.180.0任意端口發(fā)起的任意目標主機端口號為25的連接(其中199.245.180.0是一個C類網(wǎng)絡地址,主機號字段為0表示網(wǎng)絡上任意一臺主機).基于以上的討論,修改后的包過濾規(guī)則如表五中所示.表

五

SMTP的包過濾規(guī)則規(guī)則 動作

源主機

源端

目標主機

遠地

TCP標識

說明

序號

口號

端口號

/IP選項 Allow 199.245.180.0 *

*

Allow packet

from Network

199.245.180.02 Allow

*

199.245.180.0 *

TCP ACK Allow return

acknowledgement

對于表五中的規(guī)則2,在源端口號欄中填入25,在目標主機欄中填入199.245.180.0,在TCP標志和IP選項欄中填入TCP ACK,其它欄中都填入星號,在動作欄中填入允許.整個規(guī)則的意義為:允許所有從任何外部網(wǎng)絡主機上源端口號25發(fā)起的到任意本地主機(在網(wǎng)絡199.245.180.0上)任意端口號的TCP ACK標志置位的連接.表五中的兩條過濾規(guī)則合并起來的效果是:允許網(wǎng)絡199.245.180上的任意主機同任何外部網(wǎng)絡主機的SMTP端口建立連接.由于包過濾器只工作在OSI模型的第二和第三層(數(shù)據(jù)層和網(wǎng)絡層).它無法絕對保證返回的TCP確認幀中是否屬于同一個連接.在實際應用中,這個策略運行得很好,因為TCP維護連接兩側(cè)的狀態(tài)信息,它們知道將要發(fā)送或接收的序號和確認信息.同時,一些上層應用服務,例如TELNET ,SMTP 和FTP等,只能接受遵循應用層協(xié)議規(guī)則的包,想要偽造包含正確應答信息的包是非常困難的.如想要使安全程度更高,可考慮和應用層網(wǎng)關(guān)一起使用(下節(jié)將會討論).羅羅嗦嗦說了一大通,可以綜述為下面兩點:包過濾路由器的優(yōu)點:

絕大多數(shù)Internet 防火墻系統(tǒng)只用一個包過濾路由器.與設計過濾器和匹配Router不同的是,執(zhí)行PACKET FILTER 所用的時間很少或幾乎不需要什么時間.因為Internet 訪問一般被提供給一個WAN接口.如果通信負載適中且定義的過濾很少的話,則對Router性能沒有多大影響.最后一點,包過濾路由器對終端用戶和應用程序是透明的,因此不需要專門的用戶培訓或在每主機上設置特別的軟件.包過濾路由器的局限性:

定義包過濾器可能是一項復雜的工作,因為網(wǎng)管員需要詳細地了解Internet 各種服務、包頭格式和他們在希望每個域查找的特定的值。如果必須支持復雜的過濾要求的，則過濾規(guī)則集可能會變得很長和很復雜，從而很難管理。存在幾種自動測試軟件，被配置到Router上后即可校驗過濾規(guī)則。這可能對未檢測到的易損部件開放了一個地點。一般來說，一個路由器和信息包吞吐量隨過濾器數(shù)量的增加而減少。Router 被優(yōu)化用來從每個包中提取目的IP地址、查找一個相對簡單的路由表，而后將信息包順向運行到適當轉(zhuǎn)發(fā)接口。如果過濾可執(zhí)行，Router還必須對每個包執(zhí)行所有過濾規(guī)則。這可能消耗CPU的資源，并影響一個完全飽和的系統(tǒng)性能。

3.4 應用網(wǎng)關(guān)

為了克服與包過濾路由器相關(guān)聯(lián)的某些弱點,防火墻需要使用應用軟件來轉(zhuǎn)發(fā)和過濾Telnet和Ftp等服務的連接。這樣一種應用叫做代理服務，而運行代理服務軟件的主系統(tǒng)叫做應用網(wǎng)關(guān)。應用網(wǎng)關(guān)和包過濾路由器可以組合在一起使用，以獲得高于單獨使用的安全性和靈活性。作為一個例子，請考慮一個用包過濾路由器封鎖所有輸入Telnet 和Ftp 連接的網(wǎng)點。路由器允許Telnet和Ftp包只通過一個主系統(tǒng)，即Telnet/Ftp應用網(wǎng)關(guān)，然后再連接到目的主系統(tǒng)，過程如下：

1.用戶首先把Telnet連接到應用網(wǎng)關(guān)，并輸入內(nèi)部主系統(tǒng)的名字；

2.網(wǎng)關(guān)檢驗用戶的源IP地址，并根據(jù)任何合適的訪問準則接受或拒絕；

3.用戶可能需要證明自己的身份（可使用一次性口令裝置）；

4.代理服務軟件在網(wǎng)關(guān)和內(nèi)部主系統(tǒng)之間建立Telnet連接；

5.于是，代理服務軟件在兩個連接之間傳送數(shù)據(jù)；

6.應用網(wǎng)關(guān)記錄連接情況。這一例子指出了使用代理服務軟件的幾個好處。第一，代理服務軟件只允許有代理的服務通過。換句話說，如果應用網(wǎng)關(guān)包含Telnet和Ftp的代理軟件，則只有Ftp和Telnet被允許進入受保護的子網(wǎng)，而其它所有服務都完全被封鎖住。對有些網(wǎng)點來說，這種程度的安全性是很重要的，因為它保證，只有那些被認為“可信賴的”服務才被允許通過防火墻。它還防止其他不可靠的服務不會背著防火墻管理人員實施。使用代理服務的另一好處是可以過濾協(xié)議。例如，有些防火墻可以過濾FTP連接，并拒絕使用FTP 協(xié)議中的 put 命令。如果人們要保證用戶不能寫到匿名FTP服務器軟件，則這一點是很有用的。應用網(wǎng)關(guān)有三種基本的原型，分別適用于不同的網(wǎng)絡規(guī)模。

* 雙穴主機網(wǎng)關(guān)（Dual-Homed Gateway）

* 屏蔽主機網(wǎng)關(guān)（Screened Host Gateway)

* 屏蔽子網(wǎng)網(wǎng)關(guān)（Screened Subnet Gateway）這三種原型有一個共同的特點，就是都需要一臺主機（如上面所述一樣）,通常稱為橋頭堡主機(Bastion Host)。該主機充當應用程序轉(zhuǎn)發(fā)者、通信登記者以及服務提供者的角色。因此，保護該主機的安全性是至關(guān)重要的，建立防火墻時，應將較多的注意力放在該主機上。

* 雙穴主機網(wǎng)關(guān)該原型的結(jié)構(gòu)如下圖所示。其中，橋頭堡主機充當網(wǎng)關(guān)，因此，需要在此主機中裝兩塊網(wǎng)卡，并在其上運行防火墻軟件。受保護網(wǎng)與Internet之間不能直接進行通信，必須經(jīng)過橋頭堡主機，因此，不必顯示地列出受保護網(wǎng)與不受保護網(wǎng)之間的路由，從而達到受保護網(wǎng)除了看到橋頭堡主機之外，不能看到其他任何系統(tǒng)的效果。同時，橋頭堡主機不轉(zhuǎn)發(fā)TCP/IP包，網(wǎng)絡中的所有服務都必須由此主機的相應代理程序支持。

由于雙穴主機網(wǎng)關(guān)容易安裝，所需的硬件設備也較少，且容易驗證其正確性，因此，這是一種使用較多的紡火墻。雙穴主機網(wǎng)關(guān)最致命的弱點是:一旦防火墻被破壞，橋頭堡主機實際上就變成了一臺沒有尋徑功能的路由器，一個有經(jīng)驗的攻擊者就能使它尋徑，從而使受保護網(wǎng)完全開放并受到攻擊。例如，在基于Unix的雙穴主機網(wǎng)關(guān)中，通常是先修改一個名叫IPforwarding的內(nèi)核變量，來禁止橋頭堡主機的尋徑能力，非法攻擊者只要能獲得網(wǎng)關(guān)上的系統(tǒng)特權(quán)，就能修改此變量，使橋頭堡主機恢復尋徑能力，以進行攻擊。

* 屏蔽主機網(wǎng)關(guān)

該原型的結(jié)構(gòu)如下圖所示。其中，橋頭堡主機在受保護網(wǎng)中，將帶有包屏蔽功能的路由器置于保護網(wǎng)和Internet之間，它不允許Internet對保護網(wǎng)的直接訪問，只允許對受保護網(wǎng)中橋頭堡主機的訪問。與雙穴網(wǎng)關(guān)類似，橋頭堡主機運行防火墻軟件。屏蔽主機網(wǎng)關(guān)是一種很靈活的防火墻，它可以有選擇地允許那些值得信任的應用程序通過路由器。但它不像雙穴網(wǎng)關(guān)，只需注意橋頭堡主機的安全性即可，它必須考慮兩方面的安全性，即橋頭堡主機和路由器。如果路由器中的訪問控制列表允許某些服務能夠通過路由器，則防火墻管理員不僅要管理橋頭堡主機中的訪問控制表，還要管理路由器中的訪問控制列表，并使它們互相協(xié)調(diào)。當路由器允許通過的服務數(shù)量逐漸增多時，驗證防火墻的正確性就會變得越來越困難。* 屏蔽子網(wǎng)網(wǎng)關(guān)該原型的結(jié)構(gòu)如下圖所示。其中，一個小型的獨立網(wǎng)絡放在受保護網(wǎng)與Internet之間，對這個網(wǎng)絡的訪問受到路由器中屏蔽規(guī)則的保護。因此，屏蔽子網(wǎng)中的主機是唯一一個受保護網(wǎng)和Internet都能訪問到的系統(tǒng)。從理論上來說，這也是一種雙穴網(wǎng)關(guān)的方法，只是將其應用到了網(wǎng)絡上。防火墻被破壞后，它會出現(xiàn)與雙穴主機網(wǎng)關(guān)同樣的問題。不同的是，在雙穴主機網(wǎng)關(guān)中只需配置橋頭堡主機的尋徑功能，而在屏蔽子網(wǎng)網(wǎng)關(guān)中則需配置三個網(wǎng)絡（受保護網(wǎng)、屏蔽子網(wǎng)和Internet）之間的尋徑功能，即先要闖入橋頭堡主機，再進入受保護網(wǎng)中的某臺主機，然后返回包屏蔽路由器，分別進行配置。這對攻擊者來說顯然是極其困難的。另外，由于Internet很難直接與受保護網(wǎng)進行通信，因此，防火墻管理員不需指出受保護網(wǎng)到Internet之間的路由。這對于保護大型網(wǎng)絡來說是一種很好的方法。應用網(wǎng)關(guān)的一個缺點是，就Telnet 等客戶機--服務器協(xié)議來說，需要采取兩個步驟來連接輸入信息或輸出信息。有些應用網(wǎng)關(guān)需要經(jīng)過修改的客戶機，這一點既可看作是缺點，也可看作是優(yōu)點，視修改的客戶機是否更加容易使用防火墻而定。Telnet應用網(wǎng)關(guān)不一定需要經(jīng)過修改的Telnet客戶機，但是，它需要修改用戶行為：用戶必須連接到防火墻(但不記錄)，而不是直接連接到主系統(tǒng)。但是，經(jīng)過修改的Telnet客戶機可以使防火墻透明，因為它允許用戶用Telnet命令規(guī)定目的系統(tǒng)(不是防火墻)。防火墻起著通向目的系統(tǒng)通道的作用，從而攔截連接，再按需完成其他步驟，如查詢一次性口令。用戶行為仍然是相同的，但其代價是每個系統(tǒng)需要一個經(jīng)過修改的客戶機。除了Telnet 外，應用網(wǎng)關(guān)一般用于Ftp 和電子郵件，同時也用于XWindows和其他某些服務。有些Ftp應用網(wǎng)關(guān)包括拒絕特定主系統(tǒng)的put 和get 命令的能力。例如，一個已同內(nèi)部系統(tǒng)(如匿名Ftp服務器)建立Ftp對話(通過Ftp應用網(wǎng)關(guān))的外部用戶，可能試圖把文件上裝到服務器。應用網(wǎng)關(guān)可以過濾Ftp協(xié)議,并拒絕把所有puts命令發(fā)送給匿名Ftp服務器；這將保證沒有文件能上裝到服務器，而且所提供的確信程度要高于只依賴由設置正確的匿名Ftp服務器進行的文件許可。電子郵件應用網(wǎng)關(guān)可集中收集電子郵件，并把它分發(fā)給內(nèi)部主系統(tǒng)和用戶。對外部用戶來說，所有內(nèi)部用戶都擁有電子郵件地址，其格式為：user@emailhost 其中,emailhost是電子郵件網(wǎng)關(guān)的名字。網(wǎng)關(guān)會接受外部用戶的郵件，然后按需把郵件轉(zhuǎn)發(fā)到其他內(nèi)部系統(tǒng)。從內(nèi)部系統(tǒng)發(fā)送電子郵件的用戶可以從其主系統(tǒng)直接發(fā)送電子郵件，否則在內(nèi)部系統(tǒng)名字只有受保護的子網(wǎng)知道的情況下，郵件會發(fā)送給應用網(wǎng)關(guān)，然后應用網(wǎng)關(guān)著把郵件轉(zhuǎn)發(fā)給目的主系統(tǒng)。有些電子郵件網(wǎng)關(guān)使用更加安全的sendmail程序版本來接收電子郵件

第四篇：防火墻論文

河北大學人民武裝學院

河北大學人民武裝學院2015屆畢業(yè)論文

防火墻安全技術(shù)

河北大學人民武裝學院

中 隊：三十一中隊

專 業(yè)：計算機網(wǎng)絡技術(shù)

班

級：四班

姓 名：馬偉韜

防火墻安全技術(shù)

摘 要

隨著計算機網(wǎng)絡的發(fā)展，上網(wǎng)的人數(shù)不斷地增大，網(wǎng)上的資源也不斷地增加，網(wǎng)絡的開放性、共享性、互連程度也隨著擴大，所以網(wǎng)絡的安全問題也是現(xiàn)在注重考慮的問題。本文介紹網(wǎng)絡安全可行的解決方案——防火墻技術(shù)，防火墻技術(shù)是近年來發(fā)展起來的一種保護計算機網(wǎng)絡安全的技術(shù)性措施，它實際上是一種訪問控制技術(shù)，在某個機構(gòu)的網(wǎng)絡和不安全的網(wǎng)絡之間設置障礙，阻止對信息資源的非法訪問, 也可以使用它阻止保密信息從受保護網(wǎng)絡上被非法輸出。

關(guān)鍵詞：防火墻

網(wǎng)絡安全

包過濾

狀態(tài)監(jiān)視

應用代理

河北大學人民武裝學院

河北大學人民武裝學院

目 錄

引

言..............................................................................................5

一、防火墻的概念..............................................................................6

二、防火墻的分類..............................................................................7

三、防火墻技術(shù)................................................................................10

四、技術(shù)展望....................................................................................13 結(jié)

論...............................................................................................14 謝

辭............................................................................................15 參考文獻............................................................................................16

河北大學人民武裝學院

引

言

隨著科學技術(shù)的快速發(fā)展，網(wǎng)絡技術(shù)的不斷發(fā)展和完善，在當今信息化的社會中，我們生活和工作中的許多數(shù)據(jù)、資源與信息都通過計算機系統(tǒng)來存儲和處理，伴隨著網(wǎng)絡應用的發(fā)展，這些信息都通過網(wǎng)絡來傳送、接收和處理，所以計算機網(wǎng)絡在社會生活中的作用越來越大。為了維護計算機網(wǎng)絡的安全，人們提出了許多手段和方法，采用防火墻是其中最主要、最核心、最有效的手段之一。防火墻是網(wǎng)絡安全政策的有機組成部分，它通過控制和監(jiān)測網(wǎng)絡之間的信息交換和訪問行為來實施對網(wǎng)絡安全的有效管理。

河北大學人民武裝學院

一、防火墻的概念

近年來，隨著普通計算機用戶群的日益增長，“防火墻”一詞已經(jīng)不再是服務器領(lǐng)域的專署，大部分家庭用戶都知道為自己愛機安裝各種“防火墻”軟件了。但是，并不是所有用戶都對“防火墻”有所了解的，一部分用戶甚至認為，“防火墻”是一種軟件的名稱。

到底什么才是防火墻？它工作在什么位置，起著什么作用？查閱歷史書籍可知，古代構(gòu)筑和使用木制結(jié)構(gòu)房屋的時候為防止火災的發(fā)生和蔓延，人們將堅固的石塊堆砌在房屋周圍作為屏障，這種防護構(gòu)筑物就被稱為“防火墻”（firewall）。時光飛梭，隨著計算機和網(wǎng)絡的發(fā)展，各種攻擊入侵手段也相繼出現(xiàn)了，為了保護計算機的安全，人們開發(fā)出一種能阻止計算機之間直接通信的技術(shù)，并沿用了古代類似這個功能的名字——“防火墻”技術(shù)來源于此。用專業(yè)術(shù)語來說，防火墻是一種位于兩個或多個網(wǎng)絡間，實施網(wǎng)絡之間訪問控制的組件集合。對于普通用戶來說，所謂“防火墻”，指的就是一種被放置在自己的計算機與外界網(wǎng)絡之間的防御系統(tǒng)，從網(wǎng)絡發(fā)往計算機的所有數(shù)據(jù)都要經(jīng)過它的判斷處理后，才會決定能不能把這些數(shù)據(jù)交給計算機，一旦發(fā)現(xiàn)有害數(shù)據(jù)，防火墻就會攔截下來，實現(xiàn)了對計算機的保護功能。

防火墻技術(shù)從誕生開始，就在一刻不停的發(fā)展著，各種不同結(jié)構(gòu)不同功能的防火墻，構(gòu)筑成網(wǎng)絡上的一道道防御大堤。

河北大學人民武裝學院

二、防火墻的分類

世界上沒有一種事物是唯一的，防火墻也一樣，為了更有效率的對付網(wǎng)絡上各種不同攻擊手段，防火墻也派分出幾種防御架構(gòu)。根據(jù)物理特性，防火墻分為兩大類，硬件防火墻和軟件防火墻。軟件防火墻是一種安裝在負責內(nèi)外網(wǎng)絡轉(zhuǎn)換的網(wǎng)關(guān)服務器或者獨立的個人計算機上的特殊程序，它是以邏輯形式存在的，防火墻程序跟隨系統(tǒng)啟動，通過運行在ring0級別的特殊驅(qū)動模塊把防御機制插入系統(tǒng)關(guān)于網(wǎng)絡的處理部分和網(wǎng)絡接口設備驅(qū)動之間，形成一種邏輯上的防御體系。

在沒有軟件防火墻之前，系統(tǒng)和網(wǎng)絡接口設備之間的通道是直接的，網(wǎng)絡接口設備通過網(wǎng)絡驅(qū)動程序接口（network driver interface specification，ndis）把網(wǎng)絡上傳來的各種報文都忠實的交給系統(tǒng)處理，例如一臺計算機接收到請求列出機器上所有共享資源的數(shù)據(jù)報文，ndis直接把這個報文提交給系統(tǒng)，系統(tǒng)在處理后就會返回相應數(shù)據(jù)，在某些情況下就會造成信息泄漏。而使用軟件防火墻后，盡管ndis接收到仍然的是原封不動的數(shù)據(jù)報文，但是在提交到系統(tǒng)的通道上多了一層防御機制，所有數(shù)據(jù)報文都要經(jīng)過這層機制根據(jù)一定的規(guī)則判斷處理，只有它認為安全的數(shù)據(jù)才能到達系統(tǒng)，其他數(shù)據(jù)則被丟棄。因為有規(guī)則提到“列出共享資源的行為是危險的”，因此在防火墻的判斷下，這個報文會被丟棄，這樣一來，系統(tǒng)接收不到報文，則認為什么事情也沒發(fā)生過，也就不會把信息泄漏出去了。

軟件防火墻工作于系統(tǒng)接口與ndis之間，用于檢查過濾由ndis發(fā)送過來的數(shù)據(jù)，在無需改動硬件的前提下便能實現(xiàn)一定強度的安全保障，但是由于軟件防火墻自身屬于運行于系統(tǒng)上的程序，不可避免的需要占用一部分cpu資源維持工作，而且由于數(shù)據(jù)判斷處理需要一定的時間，在一些數(shù)據(jù)流量大的網(wǎng)絡里，軟件防火墻會使整個系統(tǒng)工作效率和數(shù)據(jù)吞吐速度下降，甚至有些軟件防火墻會存在漏洞，導致有害數(shù)據(jù)可以繞過它的防御體系，給數(shù)據(jù)安全帶來損失，因此，許多企業(yè)并不會考慮用軟件防火墻方案作為公司網(wǎng)絡的防御措施，而是使用看得見摸得著的硬件防火墻。

硬件防火墻是一種以物理形式存在的專用設備，通常架設于兩個網(wǎng)絡的駁接處，直接從網(wǎng)絡設備上檢查過濾有害的數(shù)據(jù)報文，位于防火墻設備后端的網(wǎng)絡或者服務器接收到的是經(jīng)過防火墻處理的相對安全的數(shù)據(jù)，不必另外分出cpu資源去進行基于軟件架構(gòu)的ndis數(shù)據(jù)檢測，可以大大提高工作效率。

硬件防火墻一般是通過網(wǎng)線連接于外部網(wǎng)絡接口與內(nèi)部服務器或企業(yè)網(wǎng)絡之間的設備，這里又另外派分出兩種結(jié)構(gòu)，一種是普通硬件級別防火墻，它擁有標準計算機的硬件平臺和一些功能經(jīng)過簡化處理的unix系列操作系統(tǒng)和防火墻軟件，這種防火墻措施相當于專門拿出一臺計算機安裝了軟件防火墻，除了不需要處理其他事務以外，它畢竟還是一般的操作系統(tǒng)，因此有可能會存在漏洞和不穩(wěn)定因

河北大學人民武裝學院

素，安全性并不能做到最好；另一種是所謂的“芯片”級硬件防火墻，它采用專門設計的硬件平臺，在上面搭建的軟件也是專門開發(fā)的，并非流行的操作系統(tǒng)，因而可以達到較好的安全性能保障。但無論是哪種硬件防火墻，管理員都可以通過計算機連接上去設置工作參數(shù)。由于硬件防火墻的主要作用是把傳入的數(shù)據(jù)報文進行過濾處理后轉(zhuǎn)發(fā)到位于防火墻后面的網(wǎng)絡中，因此它自身的硬件規(guī)格也是分檔次的，盡管硬件防火墻已經(jīng)足以實現(xiàn)比較高的信息處理效率，但是在一些對數(shù)據(jù)吞吐量要求很高的網(wǎng)絡里，檔次低的防火墻仍然會形成瓶頸，所以對于一些大企業(yè)而言，芯片級的硬件防火墻才是他們的首選。

有人也許會這么想，既然pc架構(gòu)的防火墻也不過如此，那么購買這種防火墻還不如自己找技術(shù)人員專門騰出一臺計算機來做防火墻方案了。雖然這樣做也是可以的，但是工作效率并不能和真正的pc架構(gòu)防火墻相比，因為pc架構(gòu)防火墻采用的是專門修改簡化過的系統(tǒng)和相應防火墻程序，比一般計算機系統(tǒng)和軟件防火墻更高度緊密集合，而且由于它的工作性質(zhì)決定了它要具備非常高的穩(wěn)定性、實用性和非常高的系統(tǒng)吞吐性能，這些要求并不是安裝了多網(wǎng)卡的計算機就能簡單替代的，因此pc架構(gòu)防火墻雖然是與計算機差不多的配置，價格卻相差很大。

現(xiàn)實中我們往往會發(fā)現(xiàn)，并非所有企業(yè)都架設了芯片級硬件防火墻，而是用pc架構(gòu)防火墻甚至前面提到的計算機替代方案支撐著，為什么？這大概就是硬件防火墻最顯著的缺點了：它太貴了！購進一臺pc架構(gòu)防火墻的成本至少都要幾千元，高檔次的芯片級防火墻方案更是在十萬元以上，這些價格并非是小企業(yè)所能承受的，而且對于一般家庭用戶而言，自己的數(shù)據(jù)和系統(tǒng)安全也無需專門用到一個硬件設備去保護，何況為一臺防火墻投入的資金足以讓用戶購買更高檔的電腦了，因而廣大用戶只要安裝一種好用的軟件防火墻就夠了。

為防火墻分類的方法很多，除了從形式上把它分為軟件防火墻和硬件防火墻以外，還可以從技術(shù)上分為“包過濾型”、“應用代理型”和“狀態(tài)監(jiān)視”三類；從結(jié)構(gòu)上又分為單一主機防火墻、路由集成式防火墻和分布式防火墻三種；按工作位置分為邊界防火墻、個人防火墻和混合防火墻；按防火墻性能分為百兆級防火墻和千兆級防火墻兩類??雖然看似種類繁多，但這只是因為業(yè)界分類方法不同罷了，例如一臺硬件防火墻就可能由于結(jié)構(gòu)、數(shù)據(jù)吞吐量和工作位置而規(guī)劃為“百兆級狀態(tài)監(jiān)視型邊界防火墻”，因此這里主要介紹的是技術(shù)方面的分類，即“包過濾型”、“應用代理型”和“狀態(tài)監(jiān)視型”防火墻技術(shù)。

那么，那些所謂的“邊界防火墻”、“單一主機防火墻”又是什么概念呢？所謂“邊界”，就是指兩個網(wǎng)絡之間的接口處，工作于此的防火墻就被稱為“邊界防火墻”；與之相對的有“個人防火墻”，它們通常是基于軟件的防火墻，只處理一臺計算機的數(shù)據(jù)而不是整個網(wǎng)絡的數(shù)據(jù)，現(xiàn)在一般家庭用戶使用的軟件防火墻就是這個分類了。而“單一主機防火墻”呢，就是我們最常見的一臺臺硬件防火墻

河北大學人民武裝學院

了；一些廠商為了節(jié)約成本，直接把防火墻功能嵌進路由設備里，就形成了路由集成式防火墻。

河北大學人民武裝學院

三、防火墻技術(shù)

傳統(tǒng)意義上的防火墻技術(shù)分為三大類。

1.“包過濾”（packet filtering）、據(jù)都在于過濾規(guī)則的實施，但是偏又不能滿足建立精細規(guī)則的要求（規(guī)則數(shù)量和防火墻性能成反比），而且它只能工作于網(wǎng)絡層和傳輸層，并不能判斷高級協(xié)議里的數(shù)據(jù)是否有害，但是由于它廉價，容易實現(xiàn)，所以它依然服役在各種領(lǐng)域，在技術(shù)人員頻繁的設置下為我們工作著。

2.應用代理技術(shù)

由于包過濾技術(shù)無法提供完善的數(shù)據(jù)保護措施，而且一些特殊的報文攻擊僅僅使用過濾的方法并不能消除危害（如syn攻擊、icmp洪水等），因此人們需要一種更全面的防火墻保護技術(shù)，在這樣的需求背景下，采用“應用代理”（application proxy）技術(shù)的防火墻誕生了。我們的讀者還記得“代理”的概念嗎？代理服務器作為一個為用戶保密或者突破訪問限制的數(shù)據(jù)轉(zhuǎn)發(fā)通道，在網(wǎng)絡上應用廣泛。我們都知道，一個完整的代理設備包含一個服務端和客戶端，服務端接收來自用戶的請求，調(diào)用自身的客戶端模擬一個基于用戶請求的連接到目標服務器，再把目標服務器返回的數(shù)據(jù)轉(zhuǎn)發(fā)給用戶，完成一次代理工作過程。那么，如果在一臺代理設備的服務端和客戶端之間連接一個過濾措施呢？這樣的思想便造就了“應用代理”防火墻，這種防火墻實際上就是一臺小型的帶有數(shù)據(jù)檢測過濾功能的透明代理服務器（transparent proxy），但是它并不是單純的在一個代理設備中嵌入包過濾技術(shù)，而是一種被稱為“應用協(xié)議分析”（application protocol analysis）的新技術(shù)。

“應用協(xié)議分析”技術(shù)工作在osi模型的最高層——應用層上，在這一層里能接觸到的所有數(shù)據(jù)都是最終形式，也就是說，防火墻“看到”的數(shù)據(jù)和我們看到的是一樣的，而不是一個個帶著地址端口協(xié)議等原始內(nèi)容的數(shù)據(jù)包，因而它可以實現(xiàn)更高級的數(shù)據(jù)檢測過程。整個代理防火墻把自身映射為一條透明線路，在用戶方面和外界線路看來，它們之間的連接并沒有任何阻礙，但是這個連接的數(shù)據(jù)收發(fā)實際上是經(jīng)過了代理防火墻轉(zhuǎn)向的，當外界數(shù)據(jù)進入代理防火墻的客戶端時，“應用協(xié)議分析”模塊便根據(jù)應用層協(xié)議處理這個數(shù)據(jù)，通過預置的處理規(guī)則（沒錯，又是規(guī)則，防火墻離不開規(guī)則）查詢這個數(shù)據(jù)是否帶有危害，由于這一層面對的已經(jīng)不再是組合有限的報文協(xié)議，甚至可以識別類似于“get /sql.asp?id=1 and 1”的數(shù)據(jù)內(nèi)容，所以防火墻不僅能根據(jù)數(shù)據(jù)層提供的信息判斷數(shù)據(jù)，更能像管理員分析服務器日志那樣“看”內(nèi)容辨危害。而且由于工作在應用層，防火墻還可以實現(xiàn)雙向限制，在過濾外部網(wǎng)絡有害數(shù)據(jù)的同時也監(jiān)控著內(nèi)部網(wǎng)絡的信息，管理員可以配置防火墻實現(xiàn)一個身份驗證和連接時限的

河北大學人民武裝學院

功能，進一步防止內(nèi)部網(wǎng)絡信息泄漏的隱患。最后，由于代理防火墻采取是代理機制進行工作，內(nèi)外部網(wǎng)絡之間的通信都需先經(jīng)過代理服務器審核，通過后再由代理服務器連接，根本沒有給分隔在內(nèi)外部網(wǎng)絡兩邊的計算機直接會話的機會，可以避免入侵者使用“數(shù)據(jù)驅(qū)動”攻擊方式（一種能通過包過濾技術(shù)防火墻規(guī)則的數(shù)據(jù)報文，但是當它進入計算機處理后，卻變成能夠修改系統(tǒng)設置和用戶數(shù)據(jù)的惡意代碼）滲透內(nèi)部網(wǎng)絡，可以說，“應用代理”是比包過濾技術(shù)更完善的防火墻技術(shù)。

但是，似乎任何東西都不可能逃避“墨菲定律”的規(guī)則，代理型防火墻的結(jié)構(gòu)特征偏偏正是它的最大缺點，由于它是基于代理技術(shù)的，通過防火墻的每個連接都必須建立在為之創(chuàng)建的代理程序進程上，而代理進程自身是要消耗一定時間的，更何況代理進程里還有一套復雜的協(xié)議分析機制在同時工作，于是數(shù)據(jù)在通過代理防火墻時就不可避免的發(fā)生數(shù)據(jù)遲滯現(xiàn)象，換個形象的說法，每個數(shù)據(jù)連接在經(jīng)過代理防火墻時都會先被請進保安室喝杯茶搜搜身再繼續(xù)趕路，而保安的工作速度并不能很快。代理防火墻是以犧牲速度為代價換取了比包過濾防火墻更高的安全性能，在網(wǎng)絡吞吐量不是很大的情況下，也許用戶不會察覺到什么，然而到了數(shù)據(jù)交換頻繁的時刻，代理防火墻就成了整個網(wǎng)絡的瓶頸，而且一旦防火墻的硬件配置支撐不住高強度的數(shù)據(jù)流量而發(fā)生罷工，整個網(wǎng)絡可能就會因此癱瘓了。所以，代理防火墻的普及范圍還遠遠不及包過濾型防火墻，而在軟件防火墻方面更是幾乎沒見過類似產(chǎn)品了——單機并不具備代理技術(shù)所需的條件，所以就目前整個龐大的軟件防火墻市場來說，代理防火墻很難有立足之地。

3.狀態(tài)監(jiān)視技術(shù)

這是繼“包過濾”技術(shù)和“應用代理”技術(shù)后發(fā)展的防火墻技術(shù)，它是checkpoint技術(shù)公司在基于“包過濾”原理的“動態(tài)包過濾”技術(shù)發(fā)展而來的，與之類似的有其他廠商聯(lián)合發(fā)展的“深度包檢測”（deep packet inspection）技術(shù)。這種防火墻技術(shù)通過一種被稱為“狀態(tài)監(jiān)視”的模塊，在不影響網(wǎng)絡安全正常工作的前提下采用抽取相關(guān)數(shù)據(jù)的方法對網(wǎng)絡通信的各個層次實行監(jiān)測，并根據(jù)各種過濾規(guī)則作出安全決策。

“狀態(tài)監(jiān)視”（stateful inspection）技術(shù)在保留了對每個數(shù)據(jù)包的頭部、協(xié)議、地址、端口、類型等信息進行分析的基礎上，進一步發(fā)展了“會話過濾”（session filtering）功能，在每個連接建立時，防火墻會為這個連接構(gòu)造一個會話狀態(tài)，里面包含了這個連接數(shù)據(jù)包的所有信息，以后這個連接都基于這個狀態(tài)信息進行，這種檢測的高明之處是能對每個數(shù)據(jù)包的內(nèi)容進行監(jiān)視，一旦建立了一個會話狀態(tài)，則此后的數(shù)據(jù)傳輸都要以此會話狀態(tài)作為依據(jù)，例如一個連接的數(shù)據(jù)包源端口是8000，那么在以后的數(shù)據(jù)傳輸過程里防火墻都會審核這個包的源端口還是不是8000，否則這個數(shù)據(jù)包就被攔截，而且會話狀態(tài)的保留是有時間

河北大學人民武裝學院

限制的，在超時的范圍內(nèi)如果沒有再進行數(shù)據(jù)傳輸，這個會話狀態(tài)就會被丟棄。狀態(tài)監(jiān)視可以對包內(nèi)容進行分析，從而擺脫了傳統(tǒng)防火墻僅局限于幾個包頭部信息的檢測弱點，而且這種防火墻不必開放過多端口，進一步杜絕了可能因為開放端口過多而帶來的安全隱患。

由于狀態(tài)監(jiān)視技術(shù)相當于結(jié)合了包過濾技術(shù)和應用代理技術(shù)，因此是最先進的，但是由于實現(xiàn)技術(shù)復雜，在實際應用中還不能做到真正的完全有效的數(shù)據(jù)安全檢測，而且在一般的計算機硬件系統(tǒng)上很難設計出基于此技術(shù)的完善防御措施（市面上大部分軟件防火墻使用的其實只是包過濾技術(shù)加上一點其他新特性而已）。

河北大學人民武裝學院

四、技術(shù)展望

在混合攻擊肆虐的時代，單一功能的防火墻遠不能滿足業(yè)務的需要，而具備多種安全功能，基于應用協(xié)議層防御、低誤報率檢測、高可靠高性能平臺和統(tǒng)一組件化管理的技術(shù)，優(yōu)勢將得到越來越多的體現(xiàn)，UTM（UnifiedThreatManagement，統(tǒng)一威脅管理）技術(shù)應運而生。

從概念的定義上看，UTM既提出了具體產(chǎn)品的形態(tài)，又涵蓋了更加深遠的邏輯范疇。從定義的前半部分來看，很多廠商提出的多功能安全網(wǎng)關(guān)、綜合安全網(wǎng)關(guān)、一體化安全設備都符合UTM的概念；而從后半部分來看，UTM的概念還體現(xiàn)了經(jīng)過多年發(fā)展之后，信息安全行業(yè)對安全管理的深刻理解以及對安全產(chǎn)品可用性、聯(lián)動能力的深入研究。

由于UTM設備是串聯(lián)接入的安全設備，因此UTM設備本身必須具備良好的性能和高可靠性，同時，UTM在統(tǒng)一的產(chǎn)品管理平臺下，集防火墻、VPN、網(wǎng)關(guān)防病毒、IPS、拒絕服務攻擊等眾多產(chǎn)品功能于一體，實現(xiàn)了多種防御功能，因此，向UTM方向演進將是防火墻的發(fā)展趨勢。UTM設備應具備以下特點。

（1）網(wǎng)絡安全協(xié)議層防御。防火墻作為簡單的第二到第四層的防護，主要針對像IP、端口等靜態(tài)的信息進行防護和控制，但是真正的安全不能只停留在底層，我們需要構(gòu)建一個更高、更強、更可靠的墻，除了傳統(tǒng)的訪問控制之外，還需要對垃圾郵件、拒絕服務、黑客攻擊等外部威脅起到綜合檢測和治理的作用，實現(xiàn)七層協(xié)議的保護，而不僅限于第二到第四層。

（2）通過分類檢測技術(shù)降低誤報率。串聯(lián)接入的網(wǎng)關(guān)設備一旦誤報過高，將會對用戶帶來災難性的后果。IPS理念在20世紀90年代就已經(jīng)被提出，但是目前全世界對IPS的部署非常有限，影響其部署的一個重要問題就是誤報率。分類檢測技術(shù)可以大幅度降低誤報率，針對不同的攻擊，采取不同的檢測技術(shù)，比如防拒絕服務攻擊、防蠕蟲和黑客攻擊、防垃圾郵件攻擊等，從而顯著降低誤報率。

（3）有高可靠性、高性能的硬件平臺支撐。

（4）一體化的統(tǒng)一管理。由于UTM設備集多種功能于一身，因此，它必須具有能夠統(tǒng)一控制和管理的平臺，使用戶能夠有效地管理。這樣，設備平臺可以實現(xiàn)標準化并具有可擴展性，用戶可在統(tǒng)一的平臺上進行組件管理，同時，一體化管理也能消除信息產(chǎn)品之間由于無法溝通而帶來的信息孤島，從而在應對各種各樣攻擊威脅的時候，能夠更好地保障用戶的網(wǎng)絡安全。

河北大學人民武裝學院

結(jié)

論

隨著Internet/Intranet技術(shù)的飛速發(fā)展，網(wǎng)絡安全問題必將愈來愈引起人們的重視。防火墻技術(shù)作為目前用來實現(xiàn)網(wǎng)絡安全措施的一種主要手段，它主要是用來拒絕未經(jīng)授權(quán)用戶的訪問，阻止未經(jīng)授權(quán)用戶存取敏感數(shù)據(jù)，同時允許合法用戶不受妨礙的訪問網(wǎng)絡資源。如果使用得當，可以在很大程度上提高網(wǎng)絡安全。但是沒有一種技術(shù)可以百分之百地解決網(wǎng)絡上的所有問題，比如防火墻雖然能對來自外部網(wǎng)絡的攻擊進行有效的保護，但對于來自網(wǎng)絡內(nèi)部的攻擊卻無能為力。事實上60%以上的網(wǎng)絡安全問題來自網(wǎng)絡內(nèi)部。因此網(wǎng)絡安全單靠防火墻是不夠的，還需要有其它技術(shù)和非技術(shù)因素的考慮，如信息加密技術(shù)、身份驗證技術(shù)、制定網(wǎng)絡法規(guī)、提高網(wǎng)絡管理人員的安全意識等等。

河北大學人民武裝學院

謝

辭

在此我要感謝我的專業(yè)老師，是你的細心指導和關(guān)懷，使我能夠順利的完成畢業(yè)論文。在我的學業(yè)和論文的研究工作中無不傾注著老師辛勤的汗水和心血。老師的嚴謹治學態(tài)度、淵博的知識、無私的奉獻精神使我深受啟迪。從尊敬的老師身上，我不僅學到了扎實、寬廣的專業(yè)知識，也學到了做人的道理。在此我要向我的老師致以最衷心的感謝和深深的敬意。

河北大學人民武裝學院

參考文獻

[1] 楊峰,張浩軍.信息戰(zhàn)與計算機網(wǎng)絡攻防.北京市：北京郵電大學出版

社，2011年，115~134頁。

[2] 賀雪晨.黑客入侵分析與防范.北京市：清華大學出版社，2012年，58

頁。

[3] 伍俊良.計算機網(wǎng)絡安全與對抗.北京市：清華大學出版社,2013年，98~105頁。

[4] 王淑紅.網(wǎng)絡安全.北京市：機械工業(yè)出版社,2012年，57~89頁。

第五篇：防火墻知識點

第一章

1.防火墻定義：防火墻是位于兩個（或多個）網(wǎng)絡之間，實施訪問控制策略的一個或一組組件的集合。（或者防火墻是設置在本地計算機或內(nèi)聯(lián)網(wǎng)絡與外聯(lián)網(wǎng)絡之間，保護本地網(wǎng)絡或內(nèi)聯(lián)網(wǎng)絡免遭來自外部網(wǎng)絡的威脅和入侵的一道屏障。）

2.防火墻位置：物理位置，安裝在內(nèi)聯(lián)網(wǎng)絡與外聯(lián)網(wǎng)絡的交界點上；對于個人防火墻來說，是指安裝在單臺主機硬盤上的軟件系統(tǒng)。

邏輯位置：防火墻與網(wǎng)絡協(xié)議相對應的邏輯層次關(guān)系。3.防火墻理論特性：根據(jù)信息安全理論對其提出的要求而設置的安全功能，是各種防火墻的共性作用。

防火墻從理論上講是分離器、限制器和分析器，即防火墻要實現(xiàn)四類控制功能： 方向控制：防火墻能夠控制特定的服務請求通過它的方向； 服務控制：防火墻可以控制用戶可以訪問的網(wǎng)絡服務類型； 行為控制：防火墻能夠控制使用特定服務的方式； 用戶控制：防火墻能夠控制能夠進行網(wǎng)絡訪問的用戶。4.防火墻規(guī)則（1）過濾規(guī)則

（2）設計原則：a.拒絕訪問一切未予特許的服務：這個原則也被稱為限制性原則，在該規(guī)則下，防火墻阻斷所有的數(shù)據(jù)流，只允許符合開放規(guī)則的數(shù)據(jù)流進出。

b.允許訪問一切未被特許拒絕的服務：該規(guī)則也被稱為連通性原則，在該規(guī)則下，防火墻只禁止符合屏蔽規(guī)則的數(shù)據(jù)流，而允許轉(zhuǎn)發(fā)其他所有數(shù)據(jù)流。5.防火墻分類

按采用的主要技術(shù)劃分：包過濾型防火墻、代理型防火墻 按具體實現(xiàn)劃分：（1）多重宿主主機：安放在內(nèi)聯(lián)網(wǎng)絡和外聯(lián)網(wǎng)絡接口上的一臺堡壘主機，它提供最少兩個網(wǎng)絡接口，一個與內(nèi)聯(lián)網(wǎng)絡連接，另一個與外聯(lián)網(wǎng)絡連接。

（2）篩選路由器：用一臺放置在內(nèi)聯(lián)網(wǎng)絡與外聯(lián)網(wǎng)絡之間的路由器來實現(xiàn)。它對進出內(nèi)聯(lián)網(wǎng)絡的所有信息進行分析，并按照一定的信息過濾規(guī)則對進出內(nèi)聯(lián)網(wǎng)絡的信息進行限制，允許授權(quán)信息通過，拒絕非授權(quán)信息通過。

（3）屏蔽主機：由內(nèi)聯(lián)網(wǎng)絡和外聯(lián)網(wǎng)絡之間的一臺過濾路由器和一臺堡壘主機構(gòu)成。它強迫所有外部主機與堡壘主機相連接，而不讓他們與內(nèi)部主機直接相連。

（4）屏蔽子網(wǎng)：它對網(wǎng)絡的安全保護通過兩臺包過濾路由器和在這兩個路由器之間構(gòu)筑的子網(wǎng)來實現(xiàn)。6.防火墻的優(yōu)點

（1）防火墻是網(wǎng)絡安全的屏障

（2）防火墻實現(xiàn)了對內(nèi)網(wǎng)系統(tǒng)的訪問控制（3）部署NAT機制

（4）提供整體安全解決平臺（5）防止內(nèi)部信息外泄（6）監(jiān)控和審計網(wǎng)絡行為

（7）防火墻系統(tǒng)具有集中安全性

（8）在防火墻上可以很方便的監(jiān)視網(wǎng)絡的信息流，并產(chǎn)生警告信息。7.防火墻的缺點（1）限制網(wǎng)絡服務

（2）對內(nèi)部用戶防范不足（3）不能防范旁路連接（4）不適合進行病毒檢測（5）無法防范數(shù)據(jù)驅(qū)動型攻擊（6）無法防范所有威脅

（7）配置問題。防火墻管理人員在配置過濾規(guī)則時經(jīng)常出錯。（8）無法防范內(nèi)部人員泄露機密信息（9）速度問題

（10）單失效點問題

第二章

1.TCP/IP包頭 2.包過濾技術(shù)

（1）概念：又稱為報文過濾技術(shù)，執(zhí)行邊界訪問控制功能，即對網(wǎng)絡通信數(shù)據(jù)進行過濾。（2）技術(shù)原理：（3）過濾對象：a.針對IP的過濾，查看每個IP數(shù)據(jù)包的包頭，將包頭數(shù)據(jù)與規(guī)則集相比較，轉(zhuǎn)發(fā)規(guī)則集允許的數(shù)據(jù)包，拒絕規(guī)則集不允許的數(shù)據(jù)包。

b.針對ICMP的過濾。阻止存在泄漏用戶網(wǎng)絡敏感信息的危險的ICMP數(shù)據(jù)包進出網(wǎng)絡；拒絕所有可能會被攻擊者利用、對用戶網(wǎng)絡進行破壞的ICMP數(shù)據(jù)包。

c.針對TCP的過濾，常見的為端口過濾和對標志位的過濾。d.針對UDP的過濾，要么阻塞某個端口，要么聽之任之。（4）優(yōu)點：包過濾技術(shù)實現(xiàn)簡單、快速；

包過濾技術(shù)的實現(xiàn)對用戶是透明的；

包過濾技術(shù)的檢查規(guī)則相對簡單，因此操作耗時極短，執(zhí)行效率非常高

（5）缺點：

包過濾技術(shù)過濾思想簡單，對信息的處理能力有限；

當過濾規(guī)則增多時，對過濾規(guī)則的維護是一個非常困難得問題； 包過濾技術(shù)控制層次較低，不能實現(xiàn)用戶級控制。

3.狀態(tài)檢測技術(shù)

（1）技術(shù)原理：狀態(tài)檢測技術(shù)根據(jù)連接的“狀態(tài)”進行檢查，當一個連接的初始數(shù)據(jù)報文到達執(zhí)行狀態(tài)檢測的防火墻時，首先要檢查該報文是否符合安全過濾規(guī)則的規(guī)定。如果該報文與規(guī)定相符合，則將該連接的信息記錄下來并自動添加一條允許該連接通過的過濾規(guī)則，然后向目的地轉(zhuǎn)發(fā)該報文。以后凡是屬于該連接的數(shù)據(jù)防火墻一律予以放行，包括從內(nèi)向外和從外向內(nèi)的雙向數(shù)據(jù)流。在通信結(jié)束、釋放該連接以后，防火墻將自動刪除該連接的過濾規(guī)則。動態(tài)過濾規(guī)則存儲在連接狀態(tài)表中，并由防火墻維護。

（2）狀態(tài)：狀態(tài)根據(jù)使用的協(xié)議的不同而有不同的形式，可以根據(jù)相應協(xié)議的有限狀態(tài)機來定義，一般包括NEW ,ESTABLISHED ,RELATED ,CLOSED。（3）狀態(tài)檢測技術(shù)的優(yōu)點

安全性比靜態(tài)包過濾技術(shù)高；

與靜態(tài)包過濾技術(shù)相比，提高了防火墻的性能。

（4）狀態(tài)檢測技術(shù)的缺點

主要工作在網(wǎng)絡層和傳輸層，對報文的數(shù)據(jù)部分檢查很少，安全性還不夠高； 檢查內(nèi)容多，對防火墻的性能提出了更高的要求。

4.代理技術(shù)

（1）代理的執(zhí)行分為以下兩種情況：一種情況是代理服務器監(jiān)聽來自內(nèi)聯(lián)網(wǎng)絡的服務請求；另一種情況是內(nèi)部主機只接收代理服務器轉(zhuǎn)發(fā)的信息而不接收任何外部地址主機發(fā)送的信息。

（2）代理代碼：

（3）代理服務器的實現(xiàn)：雙宿主網(wǎng)關(guān)的IP路由功能被嚴格禁止，網(wǎng)卡間所有需要轉(zhuǎn)發(fā)的數(shù)據(jù)必須通過安裝在雙宿主網(wǎng)關(guān)上的代理服務器程序控制。由此實現(xiàn)內(nèi)聯(lián)網(wǎng)絡的單接入點和網(wǎng)絡隔離。

（4）代理技術(shù)優(yōu)點：

代理服務提供了高速緩存；

代理服務器屏蔽了內(nèi)聯(lián)網(wǎng)絡，所以阻止了一切對內(nèi)聯(lián)網(wǎng)絡的探測活動； 代理服務在應用層上建立，可以更有效的對內(nèi)容進行過濾；

代理服務器禁止內(nèi)聯(lián)網(wǎng)絡與外聯(lián)網(wǎng)絡的直接連接，減少了內(nèi)部主機直接受到攻擊的危險；

代理服務可以提供各種身份認證手段，從而加強服務的安全性； 代理防火墻不易受IP地址欺騙的攻擊；

代理服務位于應用層，提供了詳細的日志記錄，有助于進行細致的日志分析和審計； 代理防火墻的過濾規(guī)則比包過濾防火墻的過濾規(guī)則更簡單。（5）代理技術(shù)的缺點

代理服務程序很多都是專用的，不能夠很好的適應網(wǎng)絡服務和協(xié)議的發(fā)展； 在訪問數(shù)據(jù)流量較大的情況下，代理技術(shù)會增加訪問的延時，影響系統(tǒng)的性能； 應用層網(wǎng)關(guān)需要用戶改變自己的行為模式，不能夠?qū)崿F(xiàn)用戶的透明訪問； 應用層代理還不能夠支持所有的協(xié)議；

代理系統(tǒng)對操作系統(tǒng)有明顯的依賴性，必須基于某個特定的系統(tǒng)及其協(xié)議； 相對于包過濾技術(shù)來說，代理技術(shù)執(zhí)行的速度較慢。

第三章

1.過濾路由器的實現(xiàn)：過濾路由器對經(jīng)過它的所有數(shù)據(jù)流進行分析，按照預定義的過濾規(guī)則，也就是網(wǎng)絡安全策略的具體實現(xiàn)，對進出內(nèi)聯(lián)網(wǎng)絡的信息進行限制。允許經(jīng)過授權(quán)的信息通過，拒絕非授權(quán)的信息通過。2.過濾路由器優(yōu)缺點

（1）過濾路由器優(yōu)點：快速、性能高、透明、容易實現(xiàn)

過濾路由器是從普通路由器發(fā)展而來，繼承了普通路由器轉(zhuǎn)發(fā)速率快的優(yōu)點； 購買過濾路由器比單獨購買獨立的防火墻產(chǎn)品具有更大的成本優(yōu)勢； 過濾路由器對用戶來說是完全透明的； 過濾路由器的實現(xiàn)極其簡單。（2）缺點：

過濾路由器配置復雜，維護困難；

過濾路由器只針對數(shù)據(jù)包本身進行檢測，只能檢測出部分攻擊行為； 過濾路由器無法防范數(shù)據(jù)驅(qū)動式攻擊；

過濾路由器只針對到達它的數(shù)據(jù)包的各個字段進行檢測，無法確定數(shù)據(jù)包發(fā)出者的真實性；

隨著過濾規(guī)則的增加，路由器的吞吐量會下降；

過濾路由器無法對數(shù)據(jù)流進行全面的控制，不能理解特定服務的上下文和數(shù)據(jù)。2.過濾規(guī)則（1）表3—1給圖填數(shù)據(jù)

（2）由規(guī)則生成策略（協(xié)議具有雙向性，一寫就寫倆）（3）逐條匹配深入原則（填空）3.屏蔽沖突：當排在過濾規(guī)則表后面的一條規(guī)則能匹配的所有數(shù)據(jù)包也能被排在過濾規(guī)則表前面的一條過濾規(guī)則匹配的時候，后面的這條過濾規(guī)則將永遠無法得以執(zhí)行，這種沖突稱為屏蔽沖突。4.堡壘主機

（1）定義：堡壘主機是一種網(wǎng)絡完全機制，也是安全訪問控制實施的一種基礎組件。通常情況下堡壘主機由一臺計算機擔當，并擁有兩塊或者多塊網(wǎng)卡分別連接各內(nèi)聯(lián)網(wǎng)絡和外聯(lián)網(wǎng)絡。

（2）作用：隔離內(nèi)聯(lián)網(wǎng)絡和外聯(lián)網(wǎng)絡，為內(nèi)聯(lián)網(wǎng)絡設立一個檢查點，對所有進出內(nèi)聯(lián)網(wǎng)絡的數(shù)據(jù)包進行過濾，集中解決內(nèi)聯(lián)網(wǎng)絡的安全問題。（3）設計原則：

a.最小服務原則：盡可能減少堡壘主機提供的服務，對于必須設置的服務，只能授予盡可能低的權(quán)限；

b.預防原則：用戶必須加強與堡壘主機的聯(lián)系，對堡壘主機的安全情況進行持續(xù)不斷的監(jiān)測，仔細分析堡壘主機的日志，及時對攻擊行為作出響應。（4）類型

a.內(nèi)部堡壘主機 b.外部堡壘主機 c.犧牲主機

5.多重宿主主機防火墻實現(xiàn)方法

采用一臺堡壘主機作為連接內(nèi)聯(lián)網(wǎng)絡和外聯(lián)網(wǎng)絡的通道，在這臺堡壘主機中安裝多塊網(wǎng)卡，每一塊網(wǎng)卡都連接不同的內(nèi)聯(lián)子網(wǎng)和外聯(lián)網(wǎng)絡，信息的交換通過應用層數(shù)據(jù)共享或者應用層代理服務實現(xiàn)，而網(wǎng)絡層直接的信息交換是被絕對禁止的。與此同時，在堡壘主機上還要安裝訪問控制軟件，用以實現(xiàn)對交換信息的過濾和控制功能。

多重宿主主機有兩種經(jīng)典的實現(xiàn)：第一種是采用應用層數(shù)據(jù)共享技術(shù)的雙宿主主機防火墻，另一種是采用應用層代理服務器技術(shù)的雙宿主網(wǎng)關(guān)防火墻。6.雙宿主主機防火墻

（1）優(yōu)點：作為內(nèi)聯(lián)網(wǎng)絡與外聯(lián)網(wǎng)絡的唯一接口，易于實現(xiàn)網(wǎng)絡安全策略；

使用堡壘主機實現(xiàn)，成本較低。（2）缺點：

a.用戶賬戶的存在給入侵者提供了一種入侵途徑，入侵者可以通過諸如竊聽、破譯等多種手段獲取用戶的賬號和密碼進而登錄防火墻；

b.雙宿主主機防火墻上存在用戶賬戶數(shù)據(jù)庫，當數(shù)據(jù)庫的記錄數(shù)量逐漸增多時，管理 員需要花費大量的精力和時間對其進行管理和維護，這項工作是非常復雜的，容易出錯；

c.用戶賬戶數(shù)據(jù)庫的頻繁存取將耗費大量系統(tǒng)資源，會降低堡壘主機本身的穩(wěn)定性和可靠性，容易出現(xiàn)系統(tǒng)運行速度低下甚至崩潰等現(xiàn)象；

d.允許用戶登錄到防火墻主機上，對主機的安全性是一個很大的威脅。用戶的行為是不可預知的，各種有意或者無意的破壞都將給主機帶來麻煩，而且這些行為也很難進行有效的監(jiān)控和記錄。

（3）雙宿主主機構(gòu)成（填空）：雙宿主主機防火墻是一臺具有安全控制功能的雙網(wǎng)卡堡壘主機，兩塊網(wǎng)卡中的一塊負責連接內(nèi)聯(lián)網(wǎng)絡，另一塊負責連接外聯(lián)網(wǎng)絡。7.雙宿主網(wǎng)關(guān)（1）工作原理：在防火墻主機上安裝各種網(wǎng)絡服務的代理服務器程序。當內(nèi)聯(lián)網(wǎng)絡中的主機意圖訪問外聯(lián)網(wǎng)絡時，只需要將請求發(fā)送至雙宿主網(wǎng)關(guān)防火墻相應的代理服務器上，通過過濾規(guī)則的檢測并獲得允許后，再由代理服務器程序代為轉(zhuǎn)發(fā)至外聯(lián)網(wǎng)絡指定主機上。而外聯(lián)網(wǎng)絡中的主機所有對內(nèi)聯(lián)網(wǎng)絡的請求都由（2）優(yōu)點

a.無需管理和維護用戶賬戶數(shù)據(jù)庫

b.由于采用代理服務器技術(shù)，防火墻提供的服務具有良好的可擴展性

c.信息通過代理服務器轉(zhuǎn)發(fā)，屏蔽了內(nèi)聯(lián)網(wǎng)絡的主機，阻止了信息泄露現(xiàn)象的發(fā)生（3）缺點

a.入侵者只要攻破堡壘主機就可以直接面對內(nèi)聯(lián)網(wǎng)絡，因此防火墻主機的安全配置非常復雜且重要

b.防火墻本身的性能是影響系統(tǒng)整體性能的瓶頸

c.單點失效，一旦防火墻主機停止運行，則內(nèi)聯(lián)網(wǎng)絡的鏈接將全部中斷 d.靈活性較差 8屏蔽主機（1）工作原理

過濾路由器的路由表是定制的，將所有外聯(lián)網(wǎng)絡對內(nèi)聯(lián)網(wǎng)絡的請求都定向到堡壘主機處，而堡壘主機上運行著各種網(wǎng)絡服務的代理服務器組件，外聯(lián)網(wǎng)絡的主機不能直接訪問內(nèi)聯(lián)網(wǎng)絡的主機，對內(nèi)聯(lián)網(wǎng)絡的所有請求必須要由堡壘主機上的代理服務器進行轉(zhuǎn)發(fā)，對于內(nèi)聯(lián)網(wǎng)絡到發(fā)起的連接或由過濾路由器重新定向到堡壘主機，對于特定的主機和特定的服務，則直接訪問

（2）優(yōu)點：a.安全性更高

b.可擴展性高

c.屏蔽主機本身是可靠穩(wěn)定的

（3）缺點：在堡壘主機和其他內(nèi)聯(lián)網(wǎng)絡的主機放置在一起，他們之間沒有一道安全隔離屏障，如果堡壘主機被攻破，那么內(nèi)聯(lián)網(wǎng)絡將全部曝光于攻擊者的面前 屏蔽子網(wǎng)

（1）非軍事區(qū)DMZ：又稱屏蔽子網(wǎng)，在用戶內(nèi)聯(lián)網(wǎng)絡和外聯(lián)網(wǎng)絡之間構(gòu)建的一個緩沖區(qū)域，目的是最大限度地減少外部入侵者對內(nèi)聯(lián)網(wǎng)絡的侵害，內(nèi)部部署了安全代理網(wǎng)關(guān)（執(zhí)行安全代理功能）和各種公用的信息服務器（執(zhí)行網(wǎng)絡層包過濾）

在邊界上，通過內(nèi)部過濾器與內(nèi)聯(lián)網(wǎng)絡相聯(lián)，通過外部過濾路由器與外部網(wǎng)絡相聯(lián)。（2）優(yōu)點：a.內(nèi)聯(lián)網(wǎng)絡實現(xiàn)了與外聯(lián)網(wǎng)絡的隔離，內(nèi)部結(jié)構(gòu)無法探測，外聯(lián)網(wǎng)絡只能知道外部路由器和非軍事區(qū)的存在，而不知道內(nèi)部路由器的存在，也就無法探測到內(nèi)部路由器后面的內(nèi)聯(lián)網(wǎng)絡了

b.內(nèi)聯(lián)網(wǎng)絡安全防護嚴密

c.降低了堡壘主機處理的負載量，減輕了堡壘主機的壓力，增強了堡壘主機的可靠性和安全性

d.將用戶網(wǎng)絡的信息流量明確地劃分成不同的等級，通過內(nèi)部路由器的隔離作用，機密信息流受到嚴密的保護，減少了信息泄露的發(fā)生

（3）缺點

第四章 1防火墻性能指標（1）可靠性（2）可用性（3）可擴展性（4）可審計性（5）可管理性（6）成本耗費

2防火墻的評估參數(shù)（1）吞吐量（2）時延（3）丟包率（4）并發(fā)連接數(shù)

（5）工作模式：路由模式，NAT模式，透明模式（6）配置管理

（7）接口的數(shù)量和類型（8）日志和審計參數(shù) 3防火墻技術(shù)的發(fā)展趨勢

（1）分布式執(zhí)行和集中式管理：分布式或分層的安全策略執(zhí)行，集中式管理（2）深度過濾：正?；?，雙向負載檢測，應用層加密和解密，協(xié)議一致性（3）建立以防火墻為核心的綜合安全體系

（4）防火墻本身的多功能化，變被動防御為主動防御（5）強大的審計與自動日志分析功能（6）硬件化（7）專用化

第六章 入侵檢測

1入侵檢測：對企圖入侵，正在進行的入侵或者已經(jīng)發(fā)生的入侵進行識別的過程 2入侵檢測的作用：

（1）識別并阻斷系統(tǒng)活動中存在的已知攻擊行為，防止入侵行為對受保護系統(tǒng)造成損害

（2）識別并阻斷系統(tǒng)用戶的違法操作行為或者越權(quán)操作行為，防止用戶對受保護系統(tǒng)有意或者無意的破壞

（3）檢查受保護系統(tǒng)的重要組成部分及各種數(shù)據(jù)文件的完整性

（4）審計并彌補系統(tǒng)中存在的弱點和漏洞，其中最重要的一點是審計并糾正錯誤的系統(tǒng)配置信息

（5）記錄并分析用戶和系統(tǒng)的行為，描述這些行為變化的正常區(qū)域，進而識別異常的活動

（6）通過蜜罐等技術(shù)手段記錄入侵者的信息，分析入侵者的目的和行為特征，優(yōu)化系統(tǒng)安全策略

（7）加強組織或機構(gòu)對系統(tǒng)和用戶的監(jiān)督與控制能力，提高管理水平和管理質(zhì)量

3入侵檢測按數(shù)據(jù)來源劃分：

（1）基于主機的入侵檢測：通過分析特定主機上的行為來發(fā)現(xiàn)入侵，判斷的依據(jù)是系統(tǒng)內(nèi)的各種數(shù)據(jù)及其相關(guān)記錄 優(yōu)點：能夠確定攻擊是否成功

不需要額外的硬件來主持

能夠適合加密的環(huán)境

可監(jiān)視特定的系統(tǒng)文件 缺點：額外產(chǎn)生的安全問題

不具有平臺無關(guān)性，可移植性差

實時性差

依賴性強，檢測效果取決于日志系統(tǒng)

占用主機資源，影響主機性能

如果主機數(shù)目多，維護和管理代價大

隱蔽性差，對入侵者不透明（2）基于網(wǎng)絡的入侵檢測 優(yōu)點：具有平臺無關(guān)性

不影響受保護主機的性能

對主機來說是透明的

檢測范圍廣，監(jiān)測主機數(shù)量大時相對成本低

實時檢測和響應

可檢測基于底層協(xié)議的攻擊行為 缺點：很難發(fā)現(xiàn)應用層的攻擊行為

很難處理加密傳輸

對于交換網(wǎng)絡的不足

不能及時有效的分析處理大規(guī)模的數(shù)據(jù)

容易受到拒絕服務攻擊

很難進行復雜攻擊的檢測（3）混合式的入侵檢測

4入侵檢測按檢測方法劃分：異常檢測和濫用檢測

（1）異常檢測根據(jù)系統(tǒng)或者用戶的非正常行為或者對于計算機資源的非正常使用檢測出入侵行為的檢測技術(shù)，基礎是建立系統(tǒng)正?；顒訝顟B(tài)或用戶正常行為模式的描述模型，異常檢測的操作是將用戶當前的行為模式或系統(tǒng)的當前狀態(tài)與該正常模型進行比較，如果當前值超出了預設的閾值，則認為存在著攻擊行為（2）濫用入侵檢測通過對現(xiàn)有的各種手段進行分析，找到能夠代表該攻擊行為的特征集合，對當前數(shù)據(jù)的處理就是與這些特征集合進行匹配，如果匹配成功則說明發(fā)生了一次確定的攻擊 第七章

1入侵檢測的性能指標：有效性（攻擊檢測率，攻擊誤警率，可信度），可用性，安全性（抗攻擊能力，數(shù)據(jù)通信機制）

2入侵檢測的發(fā)展趨勢：標準化的入侵檢測，高速入侵檢測，大規(guī)模分布式的入侵檢測，多種技術(shù)的融合，實時入侵響應，入侵檢測的評估，與其他安全技術(shù)的聯(lián)動

VPN篇

1定義：是企業(yè)在因特網(wǎng)等公共網(wǎng)絡上的延伸，指將物理上分布在不同地點的網(wǎng)絡通過公用網(wǎng)絡連接成邏輯上的虛擬子網(wǎng)，并采用認證，訪問控制，保密性，數(shù)據(jù)完整性等技術(shù)，使得數(shù)據(jù)通過安全的“加密隧道”在公用網(wǎng)絡中進行傳輸

2原理：在直接和公用網(wǎng)絡連接的計算機之間建立一條專用通道，私有網(wǎng)絡之間的通信內(nèi)容經(jīng)過發(fā)送端計算機或者設備打包，通過公用網(wǎng)絡的專用通道進行傳輸，然后在接收端解包，還原成私有網(wǎng)絡的通信內(nèi)容，轉(zhuǎn)發(fā)到私有網(wǎng)絡中

3按應用范圍劃分：遠程接入VPN，企業(yè)內(nèi)部VPN，企業(yè)擴展VPN 4按隧道協(xié)議劃分：第二層隧道協(xié)議，第三層隧道協(xié)議 5按隧道建立方式劃分：自愿隧道，強制隧道 6特點：具備完善的安全保障機制，具備用戶可接受的服務質(zhì)量保證，總成本低

可擴展，安全性，靈活性

管理便捷

7安全機制：加密技術(shù)，認證技術(shù)，密鑰管理與交換