網(wǎng)絡(luò)安全+第4講+防火墻-文庫吧
2025-01-15 16:52 本頁面
【正文】 構(gòu)的安全策略防火墻不是獨(dú)立的，是機(jī)構(gòu)總體安全策略的一部分。安全策略必須建立在精心進(jìn)行的安全分析、風(fēng)險評估以及商業(yè)需求分析的基礎(chǔ)上。成本因素。二、防火墻種類防火墻的種類包過濾防火墻 NAT模式代理服務(wù)器全狀態(tài)檢查防火墻的種類防火墻的存在形式：軟件、硬件。根據(jù)防范方式和側(cè)重點(diǎn)的不同可分為四類：n 包過濾n 應(yīng)用層代理n 電路層代理n 狀態(tài)檢測包過濾防火墻（ 1）包過濾防火墻（ 2）包的進(jìn)入接口和出接口如果有匹配并且規(guī)則允許該數(shù)據(jù)包，那么該數(shù)據(jù)包就會按照路由表中的信息被轉(zhuǎn)發(fā)。如果匹配并且規(guī)則拒絕該數(shù)據(jù)包，那么該數(shù)據(jù)包就會被丟棄。如果沒有匹配規(guī)則，用戶配置的缺省參數(shù)會決定是轉(zhuǎn)發(fā)還是丟棄數(shù)據(jù)包。包過濾防火墻使得防火墻能夠根據(jù)特定的服務(wù)允許或拒絕流動的數(shù)據(jù)，因?yàn)槎鄶?shù)的服務(wù)收聽者都在已知的 TCP/UDP端口號上。例如，Tel服務(wù)器在 TCP的 23號端口上監(jiān)聽遠(yuǎn)地連接，而 SMTP服務(wù)器在 TCP的 25號端口上監(jiān)聽人連接。為了阻塞所有進(jìn)入的 Tel連接，防火墻只需簡單的丟棄所有 TCP端口號等于 23的數(shù)據(jù)包。為了將進(jìn)來的 Tel連接限制到內(nèi)部的數(shù)臺機(jī)器上，防火墻必須拒絕所有 TCP端口號等于 23并且目標(biāo) IP地址不等于允許主機(jī)的 IP地址的數(shù)據(jù)包。包過濾防火墻（ 3）包過濾 防火墻（ 4）數(shù)據(jù)包過濾一般要檢查網(wǎng)絡(luò)層的 IP頭和傳輸層的頭：n IP源地址n IP目標(biāo)地址n 協(xié)議類型（ TCP包、 UDP包和 ICMP包）n TCP或 UDP包的目的端口n TCP或 UDP包的源端口n ICMP消息類型n TCP包頭的 ACK位n TCP包的序列號、 IP校驗(yàn)和等包過濾 防火墻（ 5）UDP的動態(tài)數(shù)據(jù)包過濾 流入流出的 UDP數(shù)據(jù)報的源地址、源端口號、目的地址、目的端口號要匹配優(yōu)點(diǎn)：? 速度快，性能高? 對用戶透明缺點(diǎn)：? 維護(hù)比較困難 (需要對 TCP/IP了解）? 安全性低? 不提供有用的日志，或根本就不提供? 不防范數(shù)據(jù)驅(qū)動型攻擊? 不能根據(jù)狀態(tài)信息進(jìn)行控制? 無法對網(wǎng)絡(luò)上流動的信息提供全面的控制包過濾防火墻（ 6）優(yōu)缺點(diǎn)互連的物理介質(zhì)應(yīng)用層表示層會話層傳輸層應(yīng)用層表示層會話層傳輸層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層網(wǎng)絡(luò)層數(shù)據(jù)鏈路層物理層 NAT模式（ 1）NAT的類型靜態(tài) NATNAT池PAT（端口 NAT） NAT模式（ 2） NAT模式（ 3）代理服務(wù)代理服務(wù)分類：代理服務(wù)可分為應(yīng)用級代理與電路級代理：應(yīng)用級代理針對每一個應(yīng)用都有一個程序，它在應(yīng)用協(xié)議中理解并解釋命令。應(yīng)用級代理的優(yōu)點(diǎn)為它能解釋應(yīng)用協(xié)議從而獲得更多的信息，缺點(diǎn)為只適用于單一協(xié)議。電路級代理是在客戶和服務(wù)器之間不
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1