計算機系統(tǒng)安全防火墻-wenkub
2023-01-21 12:10:30 本頁面
【正文】 31 填充域 padding 35 ICMP報文 包過濾技術(shù) ICMP報文的一般格式 Data 差錯信息 出錯 IP數(shù)據(jù)報的頭 +64個字節(jié)數(shù)據(jù) 類型 Type (8bit) 代碼 Code (8bit) 檢驗和 Checksum (16bit) 不同類型和代碼有不同的內(nèi)容 Data 0 8 16 31 ICMP header ICMP data IP header I P data 封裝 36 TCP頭部 包過濾技術(shù) 源端口 Source Port (16bit) 宿端口 Destination Port (16bit) 序列號 Sequence Number (32bit) 確認號 Acknowledgment Number (32bit) Data Offset (4bit) Reserved (6bit) U R G A C K P S H R S T S Y N F I N 窗口大小 Window size (16bit) 校驗和 Checksum (16bit) 緊急指針 Urgent Pointer (16bit) 選項 Options (0 或多個 32 bit 字 ) 數(shù)據(jù) Data ( 可選 ) 37 UDP頭部 包過濾技術(shù) UDP源端口 UDP宿端口 UDP長度 UDP校驗和 16bit 16bit 最小值為 8 全“ 0”：不選； 全“ 1”：校驗和為 0。 31 復合型防火墻 復合型防火墻 采用哪種形式的防火墻取決于經(jīng)費 、 技術(shù) 、 時間等 。 外部路由器安全任務(wù)之一是：阻止從 Inter上偽造源地址進來的任何數(shù)據(jù)包 。 內(nèi)部路由器所允許的在周邊網(wǎng)和內(nèi)部網(wǎng)之間服務(wù)可不同于內(nèi)部路由器所允許的在外部和內(nèi)部網(wǎng)之間的服務(wù) 。 28 防火墻體系結(jié)構(gòu) 3） 內(nèi)部路由器 內(nèi)部路由器 （ 阻塞路由器 ） ：保護內(nèi)部的網(wǎng)絡(luò)使之免受 Inter和周邊子網(wǎng)的侵犯 。 27 防火墻體系結(jié)構(gòu) 出站服務(wù)按如下任一方法處理： 允許內(nèi)部的客戶端直接訪問外部的服務(wù)器 。 因為所有周邊網(wǎng)上的通信來自或者通往堡壘主機或Inter。 通過在周邊網(wǎng)絡(luò)上隔離堡壘主機 ， 能減少在堡壘主機上侵入的影響 。 優(yōu)點：雙重保護，安全性更高。 堡壘主機上運行防火墻軟件 —— 代理服務(wù) （ 應(yīng)用層網(wǎng)關(guān) ） 。 14 允許 拒絕 防火墻設(shè)計政策 防火墻一般實施兩個基本設(shè)計方針之一 : 1. “ 沒有明確允許的都是被禁止的 ” ， 即拒絕一切未予特許的東西 。防火墻能監(jiān)視這樣的數(shù)據(jù)包并能扔掉它們； C/S模式和跨平臺支持：能使運行在一平臺的管理模塊控制運行在另一平臺的監(jiān)視模塊 。 6） 防火墻不能防止數(shù)據(jù)驅(qū)動式攻擊 。 例如 ，如果站點允許對防火墻后面的內(nèi)部系統(tǒng)進行撥號訪問 ， 那么防火墻絕對沒有辦法阻止入侵者進行撥號入侵 。 如果入侵者已經(jīng)在防火墻內(nèi)部 ， 防火墻是無能為力的 。 Finger能列出當前用戶 ， 上次登錄時間 ， 以及是否讀過郵件等 。 可以定義不同的認證方法 ， 而不需要在每臺機器上分別安裝特定的認證軟件 。 可以防護基于路由選擇的攻擊 ， 如源路由選擇和企圖通過 ICMP改向把發(fā)送路徑轉(zhuǎn)向遭致?lián)p害的網(wǎng)點 。 建立防火墻必須全面考慮安全策略 ， 否則形同虛設(shè) 。1 計算機系統(tǒng)安全 第九章 防火墻 2 一、防火墻概述 什么是防火墻 (Firewall) ？ 防火墻：在兩個信任程度不同的網(wǎng)絡(luò)之間設(shè)置的、用于加強訪問控制的軟硬件保護設(shè)施。 4 二、好的防火墻系統(tǒng) 一、防火墻概述 1） 內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)必須通過防火墻； 2） 只有防火墻系統(tǒng)中安全策略允許的數(shù)據(jù)可以通過防火墻； 3） 防火墻本身不受各種攻擊的影響 。 6 一、防火墻概述 可以提供對系統(tǒng)的訪問控制 。 外部用戶只需要經(jīng)過一次認證即可訪問內(nèi)部網(wǎng) 。 、 濫用的記錄和統(tǒng)計 防火墻可以記錄各次訪問 ， 并提供有關(guān)網(wǎng)絡(luò)使用率等有價值的統(tǒng)計數(shù)字 。內(nèi)部用戶偷竊數(shù)據(jù) ， 破壞硬件和軟件 ， 并且巧妙地修改程序而不接近防火墻 。 3） 防火墻配置復雜 ， 容易出現(xiàn)安全漏洞 4） 防火墻往往只認機器 （ IP地址 ） 不認人（ 用戶身份 ） ， 并且控制粒度較粗 。 當有
教學課件相關(guān)推薦
鄂ICP備17016276號-1