計算機系統(tǒng)安全--防火墻(已修改)
2025-02-23 16:15 本頁面
【正文】 計算機系統(tǒng)安全 第九章 防火墻 1 一、防火墻概述 什么是防火墻 (Firewall) ？ 防火墻：在兩個信任程度不同的網(wǎng)絡(luò)之間設(shè)置的、用于加強訪問控制的軟硬件保護(hù)設(shè)施。 2 一、防火墻的用途 一、防火墻概述 1） 作為 “ 扼制點 ” ， 限制信息的進(jìn)入或離開； 2） 防止侵入者接近并破壞你的內(nèi)部設(shè)施； 3） 監(jiān)視 、 記錄 、 審查重要的業(yè)務(wù)流； 4） 實施網(wǎng)絡(luò)地址轉(zhuǎn)換 ， 緩解地址短缺矛盾 。 防火墻只允許已授權(quán)的業(yè)務(wù)流通過 ， 而且本身也應(yīng)抵抗?jié)B透攻擊 。 建立防火墻必須全面考慮安全策略 ， 否則形同虛設(shè) 。 3 二、好的防火墻系統(tǒng) 一、防火墻概述 1） 內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)必須通過防火墻； 2） 只有防火墻系統(tǒng)中安全策略允許的數(shù)據(jù)可以通過防火墻； 3） 防火墻本身不受各種攻擊的影響 。 4 三、防火墻的優(yōu)點 一、防火墻概述 通過過濾不安全的服務(wù)來降低子網(wǎng)上主系統(tǒng)的風(fēng)險 。 可以禁止某些易受攻擊的服務(wù) (如 NFS)進(jìn)入或離開受保護(hù)的子網(wǎng) 。 可以防護(hù)基于路由選擇的攻擊 ， 如源路由選擇和企圖通過 ICMP改向把發(fā)送路徑轉(zhuǎn)向遭致?lián)p害的網(wǎng)點 。 5 一、防火墻概述 可以提供對系統(tǒng)的訪問控制 。 如允許從外部訪問某些主機 (Mail Server和 Web Server) ， 同時禁止訪問另外的主機 。 防火墻定義的安全規(guī)則可用于整個內(nèi)部網(wǎng)絡(luò)系統(tǒng) ， 而無須在內(nèi)部網(wǎng)每臺機器上分別設(shè)立安全策略 。 可以定義不同的認(rèn)證方法 ， 而不需要在每臺機器上分別安裝特定的認(rèn)證軟件 。 外部用戶只需要經(jīng)過一次認(rèn)證即可訪問內(nèi)部網(wǎng) 。 例如對于密碼口令系統(tǒng)或其他的身份認(rèn)證軟件等 ， 放在防火墻系統(tǒng)中更是優(yōu)于放在每個 Inter能訪問的機器上 。 6 一、防火墻概述 、 強化私有權(quán) 使用防火墻系統(tǒng) ， 站點可以防止 finger 以及 DNS域名服務(wù) 。 Finger能列出當(dāng)前用戶 ， 上次登錄時間 ， 以及是否讀過郵件等 。 、 濫用的記錄和統(tǒng)計 防火墻可以記錄各次訪問 ， 并提供有關(guān)網(wǎng)絡(luò)使用率等有價值的統(tǒng)計數(shù)字 。 網(wǎng)絡(luò)使用率統(tǒng)計數(shù)字可作為網(wǎng)絡(luò)需求研究和風(fēng)險分析的依據(jù)；收集有關(guān)網(wǎng)絡(luò)試探的證據(jù) ， 可確定防火墻上的控制措施是否得當(dāng) ， 能否抵御試探和攻擊 。 7 四、防火墻的局限性 一、防火墻概述 1） 防火墻防外不防內(nèi) 防火墻可以禁止系統(tǒng)用戶經(jīng)過網(wǎng)絡(luò)連接發(fā)送專有的信息 ， 但用戶可以將數(shù)據(jù)復(fù)制到磁盤 、磁帶上 ， 放在公文包中帶出去 。 如果入侵者已經(jīng)在防火墻內(nèi)部 ， 防火墻是無能為力的 。內(nèi)部用戶偷竊數(shù)據(jù) ， 破壞硬件和軟件 ， 并且巧妙地修改程序而不接近防火墻 。 對于來自知情者的威脅只能要求加強內(nèi)部管理 ， 如主機安全和用戶教育 、 管理 、 制度等 。 8 一、防火墻概述 2） 不能防范繞過防火墻的攻擊 防火墻能夠有效地防止通過它進(jìn)行傳輸信息 ，然而不能防止不通過它而傳輸?shù)男畔?。 例如 ，如果站點允許對防火墻后面的內(nèi)部系統(tǒng)進(jìn)行撥號訪問 ， 那么防火墻絕對沒有辦法阻止入侵者進(jìn)行撥號入侵 。 3） 防火墻配置復(fù)雜 ， 容易出現(xiàn)安全漏洞 4） 防火墻往往只認(rèn)機器 （ IP地址 ） 不認(rèn)人（ 用戶身份 ） ， 并且控制粒度較粗 。 9 一、防火墻概述 5） 防火墻不能防范病毒 防火墻不能防止感染了病毒的軟件或文件的傳輸 。 這只能在每臺主機上裝反病毒軟件 。 6） 防火墻不能防止數(shù)據(jù)驅(qū)動式攻擊 。 當(dāng)有些表面看來無害的數(shù)據(jù)被郵寄或復(fù)制到內(nèi)部網(wǎng)主機上并被執(zhí)行而發(fā)起攻擊時 ， 就會發(fā)生數(shù)據(jù)驅(qū)動攻擊 。 特別是隨著 Java、JavaScript、 ActiveX的應(yīng)用 ， 這一問題更加突出 。 10 五、防火墻的特點 一、防火墻概述 11 五、防火墻的特點 一、防火墻概述 反欺騙：欺騙是從外部獲取網(wǎng)絡(luò)訪問權(quán)的常用手段 ， 它使數(shù)據(jù)包好似來自網(wǎng)絡(luò)內(nèi)部 。防火墻能監(jiān)視這樣的數(shù)據(jù)包并能扔掉它們； C/S模式和跨平臺支持：能使運行在一平臺的管理模塊控制運行在另一平臺的監(jiān)視模塊 。 12 服務(wù)訪問政策 二、網(wǎng)絡(luò)政策 服務(wù)訪問政策是整個機構(gòu)信息安全政策的延伸 ， 既要可靠又要切合實際 。 一個典型的政策可以不允許從 Inter訪問網(wǎng)點 ， 但要允許從網(wǎng)點訪問 Inter。 另一個典型政策是允許從 Inter進(jìn)行某些訪問 ， 但是或許只許可訪問經(jīng)過選擇的系統(tǒng) ，如 Web服務(wù)器和電子郵件服務(wù)器 。 13 允許 拒絕 防火墻設(shè)計政策 防火墻一般實施兩個基本設(shè)計方針之一 : 1. “ 沒有明確允許的都是被禁止的 ” ， 即拒絕一切未予特許的東西 。 2. “ 沒有明確禁止的都是被允許的 ” ；也即是允許一切未被特別拒絕的東西 允許 拒絕 14 六、防火墻的體系結(jié)構(gòu) 1） 屏蔽路由器 （ Screened Router） 2） 雙宿主機網(wǎng)關(guān)； Dual Homed Host Gateway 3） 屏蔽主機防火墻； Screened Gateway 4） 屏蔽子網(wǎng)防火墻 。 Screened Sub 15 （ Screened Router） 包過濾路由器： 路由 + 過濾 這是最簡單的防火墻。 缺點： ? 日志沒有或很少，難以判斷是否被入侵 ? 規(guī)則表會隨著應(yīng)用變得很復(fù)雜 ? 單一的部件保護(hù)，脆弱 16
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1