[計(jì)算機(jī)硬件及網(wǎng)絡(luò)]網(wǎng)絡(luò)安全-20：防火墻(已修改)
2025-02-02 20:57 本頁(yè)面
【正文】 Chapter 20 防 火 墻 《 密碼編碼學(xué)與網(wǎng)絡(luò)安全 》 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 2 簡(jiǎn)介 ? 信息系統(tǒng)不斷發(fā)展完善 ? 每個(gè)人都希望與互聯(lián)網(wǎng)相連或連接到網(wǎng)上 ? 存在安全憂(yōu)慮 ? 不能很容易地使組織中的各系統(tǒng)得到安全保護(hù) ? 典型地使用 防火墻 ? 用以提供邊界防御 ? 作為復(fù)雜的安全策略的一部分 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 3 什么是防火墻 ? ? 是網(wǎng)絡(luò)控制和監(jiān)視的關(guān)鍵點(diǎn) ? 用不同的信任與網(wǎng)絡(luò)相連接 ? 對(duì)網(wǎng)絡(luò)服務(wù)進(jìn)行強(qiáng)制性限制 ? 只準(zhǔn)允許授權(quán)的通信通過(guò) ? 對(duì)訪(fǎng)問(wèn)進(jìn)行審查和控制 ? 對(duì)于異常行為能夠?qū)崿F(xiàn)報(bào)警 ? 提供 NAT和使用監(jiān)視 ? 用 IPSec 實(shí)現(xiàn) VPN ? 對(duì)于滲透必須是免疫的。 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 4 防火墻的設(shè)計(jì)目標(biāo) ? 所有通信都必須經(jīng)過(guò)防火墻 ? 只有被授權(quán)的通信才能通過(guò)防火墻 ? 對(duì)于滲透必須是免疫的 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 5 防火墻的局限性 一、防火墻概述 ?1） 防火墻防外不防內(nèi) 防火墻可以禁止系統(tǒng)用戶(hù)經(jīng)過(guò)網(wǎng)絡(luò)連接發(fā)送專(zhuān)有的信息 ， 但用戶(hù)可以將數(shù)據(jù)復(fù)制到磁盤(pán) 、磁帶上 ， 放在公文包中帶出去 。 如果入侵者已經(jīng) 在防火墻內(nèi)部 ， 防火墻是無(wú)能為力的 。內(nèi)部用戶(hù)偷竊數(shù)據(jù) ， 破壞硬件和軟件 ， 并且巧妙地修改程序而不接近防火墻 。 對(duì)于來(lái)自知情者的威脅只能要求加強(qiáng)內(nèi)部管理 ， 如主機(jī)安全和用戶(hù)教育 、 管理 、 制度等 。 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 6 一、防火墻概述 ?2） 不能防范繞過(guò)防火墻的攻擊 防火墻能夠有效地防止通過(guò)它進(jìn)行傳輸信息 ，然而不能防止不通過(guò)它而傳輸?shù)男畔?。 例如 ，如果站點(diǎn)允許對(duì)防火墻后面的內(nèi)部系統(tǒng)進(jìn)行撥號(hào)訪(fǎng)問(wèn) ， 那么防火墻絕對(duì)沒(méi)有辦法阻止入侵者進(jìn)行撥號(hào)入侵 。 ?3） 防火墻配置復(fù)雜 ， 容易出現(xiàn)安全漏洞 ?4） 防火墻往往只認(rèn)機(jī)器 （ IP地址 ） 不認(rèn)人（ 用戶(hù)身份 ） ， 并且控制粒度較粗 。 防火墻的局限性 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 7 一、防火墻概述 ?5） 防火墻不能防范病毒 防火墻不能防止感染了病毒的軟件或文件的傳輸 。 這只能在每臺(tái)主機(jī)上裝反病毒軟件 。 ?6） 防火墻不能防止數(shù)據(jù)驅(qū)動(dòng)式攻擊 。 當(dāng)有些表面看來(lái)無(wú)害的數(shù)據(jù)被郵寄或復(fù)制到內(nèi)部網(wǎng)主機(jī)上并被執(zhí)行而發(fā)起攻擊時(shí) ， 就會(huì)發(fā)生數(shù)據(jù)驅(qū)動(dòng)攻擊 。 特別是隨著 Java、JavaScript、 ActiveX的應(yīng)用 ， 這一問(wèn)題更加突出 。 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 8 防火墻的分類(lèi) ? 包過(guò)濾路由器 ? 應(yīng)用級(jí)網(wǎng)關(guān) ? 電路級(jí)網(wǎng)關(guān) 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 9 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 10 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 11 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 12 服務(wù)訪(fǎng)問(wèn)政策是整個(gè)機(jī)構(gòu)信息安全政策的延伸 ， 既要可靠又要切合實(shí)際 。 一個(gè)典型的政策可以不允許從 Inter訪(fǎng)問(wèn)網(wǎng)點(diǎn) ， 但要允許從網(wǎng)點(diǎn)訪(fǎng)問(wèn) Inter。 另一個(gè)典型政策是允許從 Inter進(jìn)行某些訪(fǎng)問(wèn) ， 但是或許只許可訪(fǎng)問(wèn)經(jīng)過(guò)選擇的系統(tǒng) ，如 Web服務(wù)器和電子郵件服務(wù)器 。 服務(wù)訪(fǎng)問(wèn)政策 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 13 允許 拒絕 防火墻設(shè)計(jì)政策 防火墻一般實(shí)施兩個(gè)基本設(shè)計(jì)方針之一 : 1. “ 沒(méi)有明確允許的都是被禁止的 ” ， 即拒絕一切未予特許的東西 。 2. “ 沒(méi)有明確禁止的都是被允許的 ” ；也即是允許一切未被特別拒絕的東西 允許 拒絕 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 14 防火墻的體系結(jié)構(gòu) 1） 屏蔽路由器 （ Screened Router） 2） 雙宿主機(jī)網(wǎng)關(guān)； Dual Homed Host Gateway 3） 屏蔽主機(jī)防火墻； Screened Gateway 4） 屏蔽子網(wǎng)防火墻 。 Screened Sub 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 15 （ Screened Router） 包過(guò)濾路由器： 路由 + 過(guò)濾 這是最簡(jiǎn)單的防火墻。 缺點(diǎn)： 日志沒(méi)有或很少，難以判斷是否被入侵 規(guī)則表會(huì)隨著應(yīng)用變得很復(fù)雜 單一的部件保護(hù)，脆弱 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 16 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 17 用一臺(tái)裝有兩塊網(wǎng)卡的計(jì)算機(jī)作為堡壘主機(jī)（ Bastion host） ， 兩塊網(wǎng)卡分別與內(nèi)部網(wǎng)和外部網(wǎng) （ 或屏蔽路由器 ） 相連 ， 每塊網(wǎng)卡有各自的 IP地址 。 堡壘主機(jī)上運(yùn)行防火墻軟件 —— 代理服務(wù) （ 應(yīng)用層網(wǎng)關(guān) ） 。 在建立雙宿主機(jī)時(shí) ，應(yīng)關(guān)閉操作系統(tǒng)的路由功能 （ IP轉(zhuǎn)發(fā) ） ， 否則兩塊網(wǎng)卡間的通信會(huì)繞過(guò)代理服務(wù)器軟件 。 優(yōu)點(diǎn)：與屏蔽路由器相比 ， 提供日志以備檢查 缺點(diǎn)： 雙宿主機(jī)易受攻擊 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 18 2022/2/16 西安電子科技大學(xué)計(jì)算機(jī)學(xué)院 19 屏蔽主機(jī)體系結(jié)構(gòu)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1