計(jì)算機(jī)系統(tǒng)安全防火墻(已修改)
2025-01-18 12:10 本頁面
【正文】 1 計(jì)算機(jī)系統(tǒng)安全 第九章 防火墻 2 一、防火墻概述 什么是防火墻 (Firewall) ？ 防火墻：在兩個(gè)信任程度不同的網(wǎng)絡(luò)之間設(shè)置的、用于加強(qiáng)訪問控制的軟硬件保護(hù)設(shè)施。 3 一、防火墻的用途 一、防火墻概述 1） 作為 “ 扼制點(diǎn) ” ， 限制信息的進(jìn)入或離開； 2） 防止侵入者接近并破壞你的內(nèi)部設(shè)施； 3） 監(jiān)視 、 記錄 、 審查重要的業(yè)務(wù)流； 4） 實(shí)施網(wǎng)絡(luò)地址轉(zhuǎn)換 ， 緩解地址短缺矛盾 。 防火墻只允許已授權(quán)的業(yè)務(wù)流通過 ， 而且本身也應(yīng)抵抗?jié)B透攻擊 。 建立防火墻必須全面考慮安全策略 ， 否則形同虛設(shè) 。 4 二、好的防火墻系統(tǒng) 一、防火墻概述 1） 內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)必須通過防火墻； 2） 只有防火墻系統(tǒng)中安全策略允許的數(shù)據(jù)可以通過防火墻； 3） 防火墻本身不受各種攻擊的影響 。 5 三、防火墻的優(yōu)點(diǎn) 一、防火墻概述 通過過濾不安全的服務(wù)來降低子網(wǎng)上主系統(tǒng)的風(fēng)險(xiǎn) 。 可以禁止某些易受攻擊的服務(wù) (如 NFS)進(jìn)入或離開受保護(hù)的子網(wǎng) 。 可以防護(hù)基于路由選擇的攻擊 ， 如源路由選擇和企圖通過 ICMP改向把發(fā)送路徑轉(zhuǎn)向遭致?lián)p害的網(wǎng)點(diǎn) 。 6 一、防火墻概述 可以提供對系統(tǒng)的訪問控制 。 如允許從外部訪問某些主機(jī) (Mail Server和 Web Server) ， 同時(shí)禁止訪問另外的主機(jī) 。 防火墻定義的安全規(guī)則可用于整個(gè)內(nèi)部網(wǎng)絡(luò)系統(tǒng) ， 而無須在內(nèi)部網(wǎng)每臺機(jī)器上分別設(shè)立安全策略 。 可以定義不同的認(rèn)證方法 ， 而不需要在每臺機(jī)器上分別安裝特定的認(rèn)證軟件 。 外部用戶只需要經(jīng)過一次認(rèn)證即可訪問內(nèi)部網(wǎng) 。 例如對于密碼口令系統(tǒng)或其他的身份認(rèn)證軟件等 ， 放在防火墻系統(tǒng)中更是優(yōu)于放在每個(gè) Inter能訪問的機(jī)器上 。 7 一、防火墻概述 、 強(qiáng)化私有權(quán) 使用防火墻系統(tǒng) ， 站點(diǎn)可以防止 finger 以及 DNS域名服務(wù) 。 Finger能列出當(dāng)前用戶 ， 上次登錄時(shí)間 ， 以及是否讀過郵件等 。 、 濫用的記錄和統(tǒng)計(jì) 防火墻可以記錄各次訪問 ， 并提供有關(guān)網(wǎng)絡(luò)使用率等有價(jià)值的統(tǒng)計(jì)數(shù)字 。 網(wǎng)絡(luò)使用率統(tǒng)計(jì)數(shù)字可作為網(wǎng)絡(luò)需求研究和風(fēng)險(xiǎn)分析的依據(jù)；收集有關(guān)網(wǎng)絡(luò)試探的證據(jù) ， 可確定防火墻上的控制措施是否得當(dāng) ， 能否抵御試探和攻擊 。 8 四、防火墻的局限性 一、防火墻概述 1） 防火墻防外不防內(nèi) 防火墻可以禁止系統(tǒng)用戶經(jīng)過網(wǎng)絡(luò)連接發(fā)送專有的信息 ， 但用戶可以將數(shù)據(jù)復(fù)制到磁盤 、磁帶上 ， 放在公文包中帶出去 。 如果入侵者已經(jīng)在防火墻內(nèi)部 ， 防火墻是無能為力的 。內(nèi)部用戶偷竊數(shù)據(jù) ， 破壞硬件和軟件 ， 并且巧妙地修改程序而不接近防火墻 。 對于來自知情者的威脅只能要求加強(qiáng)內(nèi)部管理 ， 如主機(jī)安全和用戶教育 、 管理 、 制度等 。 9 一、防火墻概述 2） 不能防范繞過防火墻的攻擊 防火墻能夠有效地防止通過它進(jìn)行傳輸信息 ，然而不能防止不通過它而傳輸?shù)男畔?。 例如 ，如果站點(diǎn)允許對防火墻后面的內(nèi)部系統(tǒng)進(jìn)行撥號訪問 ， 那么防火墻絕對沒有辦法阻止入侵者進(jìn)行撥號入侵 。 3） 防火墻配置復(fù)雜 ， 容易出現(xiàn)安全漏洞 4） 防火墻往往只認(rèn)機(jī)器 （ IP地址 ） 不認(rèn)人（ 用戶身份 ） ， 并且控制粒度較粗 。 10 一、防火墻概述 5） 防火墻不能防范病毒 防火墻不能防止感染了病毒的軟件或文件的傳輸 。 這只能在每臺主機(jī)上裝反病毒軟件 。 6） 防火墻不能防止數(shù)據(jù)驅(qū)動(dòng)式攻擊 。 當(dāng)有些表面看來無害的數(shù)據(jù)被郵寄或復(fù)制到內(nèi)部網(wǎng)主機(jī)上并被執(zhí)行而發(fā)起攻擊時(shí) ， 就會(huì)發(fā)生數(shù)據(jù)驅(qū)動(dòng)攻擊 。 特別是隨著 Java、JavaScript、 ActiveX的應(yīng)用 ， 這一問題更加突出 。 11 五、防火墻的特點(diǎn) 一、防火墻概述 廣泛的服務(wù)支持：通過將動(dòng)態(tài)的 、 應(yīng)用層的過濾能力和認(rèn)證相結(jié)合 ， 可實(shí)現(xiàn) WWW瀏覽器 、HTTP服務(wù)器 、 FTP等； 對私有數(shù)據(jù)的加密支持：保證通過 Inter進(jìn)行虛擬私人網(wǎng)絡(luò)和商務(wù)活動(dòng)的安全； 客戶端認(rèn)證：只允許指定的用戶訪問內(nèi)部網(wǎng)絡(luò)或選擇服務(wù)：企業(yè)本地網(wǎng)與分支機(jī)構(gòu) 、 商業(yè)伙伴和移動(dòng)用戶間安全通信的附加部分； 12 五、防火墻的特點(diǎn) 一、防火墻概述 反欺騙：欺騙是從外部獲取網(wǎng)絡(luò)訪問權(quán)的常用手段 ， 它使數(shù)據(jù)包好似來自網(wǎng)絡(luò)內(nèi)部 。防火墻能監(jiān)視這樣的數(shù)據(jù)包并能扔掉它們； C/S模式和跨平臺支持：能使運(yùn)行在一平臺的管理模塊控制運(yùn)行在另一平臺的監(jiān)視模塊 。 13 服務(wù)訪問政策 二、網(wǎng)絡(luò)政策 服務(wù)訪問政策是整個(gè)機(jī)構(gòu)信息安全政策的延伸 ， 既要可靠又要切合實(shí)際 。 一個(gè)典型的政策可以不允許從 Inter訪問網(wǎng)點(diǎn) ， 但要允許從網(wǎng)點(diǎn)訪問 Inter。 另一個(gè)典型政策是允許從 Inter進(jìn)行某些訪問 ， 但是
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1