《網(wǎng)絡(luò)安全第二章》ppt課件(文件)
【正文】 傳輸層 數(shù)據(jù)鏈路層 網(wǎng)絡(luò)層 應(yīng)用層 表示層 會(huì)話(huà)層 傳輸層 數(shù)據(jù)鏈路層 物理層 網(wǎng)絡(luò)層 ? 狀態(tài)檢測(cè)防火墻是在 動(dòng)態(tài)包過(guò)濾 的基礎(chǔ)上，增加了狀態(tài)檢測(cè)機(jī)制而形成的； ? 動(dòng)態(tài)包過(guò)濾與普通包過(guò)濾相比，需要多做一項(xiàng)工作：對(duì)外出數(shù)據(jù)包的 “ 身份 ” 做一個(gè)標(biāo)記，允許相同連接的進(jìn)入數(shù)據(jù)包通過(guò)。對(duì)該連接的后續(xù)數(shù)據(jù)包，只要符合狀態(tài)表，就可以通過(guò)。 ? 注意： NAT本身并不是一種有安全保證的方案，它僅僅在包的最外層改變 IP地址。 無(wú)法滿(mǎn)足實(shí)際的應(yīng)用需求 —— PAT（端口地址轉(zhuǎn)換 /翻譯） 網(wǎng)絡(luò)地址轉(zhuǎn)換（ 3/4） ? PAT：把內(nèi)部地址映射到外部網(wǎng)絡(luò)的一個(gè) IP地址的不同端口上。 分布式防火墻 ? 傳統(tǒng)防火墻 ：邊界防火墻 缺陷：結(jié)構(gòu)性限制；內(nèi)部威脅；效率和故障 ? 分布式防火墻（廣義） ：一種新的防火墻體系結(jié)構(gòu)（包含網(wǎng)絡(luò)防火墻、主機(jī)防火墻和管理中心） 優(yōu)勢(shì)：在網(wǎng)絡(luò)內(nèi)部增加了另一層安全，有效抵御來(lái)自?xún)?nèi)部的攻擊，消除網(wǎng)絡(luò)邊界上的通信瓶頸和單一故障點(diǎn)，支持基于加密和認(rèn)證的網(wǎng)絡(luò)應(yīng)用，與拓?fù)錈o(wú)關(guān)，支持移動(dòng)計(jì)算。） 防火墻性能測(cè)試簡(jiǎn)介 性能測(cè)試標(biāo)準(zhǔn)： RFC 2544（ 23層）和 RFC 3511（ 47層） ? 吞吐量：網(wǎng)絡(luò)設(shè)備在不丟失任何一個(gè)幀情況下的最大轉(zhuǎn)發(fā)速率。企業(yè)內(nèi)部有 Email服務(wù)器、 FTP服務(wù)器等。 補(bǔ)充 創(chuàng)建防火墻的步驟 ? 指定安全策略 ? 搭建安全體系結(jié)構(gòu) ? 落實(shí)規(guī)則集及規(guī)則次序 ? 更換控制 ? 審計(jì)工作 ? 防火墻實(shí)例 （ 1） 360安全衛(wèi)士 （ 2）天網(wǎng)防火墻 360安全衛(wèi)士 360安全衛(wèi)士 天網(wǎng)防火墻 天網(wǎng)防火墻 思考題 防火墻系統(tǒng)方案設(shè)計(jì) ? 某企業(yè)下設(shè)有計(jì)劃部、生產(chǎn)部、市場(chǎng)部、財(cái)務(wù)部、人事部等。 網(wǎng)絡(luò)安全產(chǎn)品的系統(tǒng)化（ 2/2） ? 防火墻與防病毒產(chǎn)品聯(lián)動(dòng) ? 防火墻與 IDS聯(lián)動(dòng) ? 防火墻與認(rèn)證系統(tǒng)聯(lián)動(dòng) ? 防火墻與日志分析系統(tǒng)聯(lián)動(dòng) 主流防火墻產(chǎn)品簡(jiǎn)介 國(guó)內(nèi)： 天融信網(wǎng)絡(luò)衛(wèi)士防火墻（ NGFW） ? 我國(guó)第一套自主版權(quán)的防火墻系統(tǒng) ? TOPSEC（ Talent Open Protocol for Security）安全體系（聯(lián)動(dòng)協(xié)議安全標(biāo)準(zhǔn)） 補(bǔ)充 主流防火墻產(chǎn)品簡(jiǎn)介 國(guó)外： CheckPoint的 Firewall1防火墻 ? 狀態(tài)檢測(cè)（ Stateful Inspection）技術(shù)最早由 CheckPoint提出 ? OPSEC（ Open Platform for Secure Enterprise Connectivity） —— 開(kāi)放安全企業(yè)互聯(lián)聯(lián)盟的組織和倡導(dǎo)者之一，允許用戶(hù)通過(guò)一個(gè)開(kāi)放的、可擴(kuò)展的框架集成、管理所有的安全產(chǎn)品。 比較： ? 靜態(tài)地址翻譯：不需要維護(hù)地址轉(zhuǎn)換狀態(tài)表，功能簡(jiǎn)單，性能較好； ? 動(dòng)態(tài)轉(zhuǎn)換和端口轉(zhuǎn)換：必須維護(hù)一個(gè)轉(zhuǎn)換表，以保證能夠?qū)Ψ祷氐臄?shù)據(jù)包進(jìn)行正確的反向轉(zhuǎn)換，功能強(qiáng)大，但是需要的資源較多。 網(wǎng)絡(luò)地址轉(zhuǎn)換（ 2/4） ? NAT是基于網(wǎng)絡(luò)層的應(yīng)用，按照不同的理解角度（實(shí)現(xiàn)方式 /數(shù)據(jù)流向）分類(lèi)也不同。 狀態(tài)檢測(cè)（ 5/5） 網(wǎng)絡(luò)地址轉(zhuǎn)換（ 1/4） ? 網(wǎng)絡(luò)地址轉(zhuǎn)換 /翻譯 （ NAT， Network Address Translation）就是將一個(gè) IP地址用另一個(gè) IP地址代替。檢測(cè)模塊在不影響網(wǎng)絡(luò)正常工作的前提下，采用抽取相關(guān)數(shù)據(jù)的方法對(duì)網(wǎng)絡(luò)通信的各層實(shí)施監(jiān)測(cè)，并動(dòng)態(tài)地保存起來(lái)作為以后制定安全決策的參考。 代理服務(wù)（ 2/4） 主要優(yōu)點(diǎn)： ① 內(nèi)部網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)等重要信息不易外泄，從而減少了黑客攻擊時(shí)所必需的必要信息； ② 可以實(shí)施用戶(hù)認(rèn)證、詳細(xì)日志、審計(jì)跟蹤和數(shù)據(jù)加密等功能和對(duì)具體協(xié)議及應(yīng)用的過(guò)濾，同時(shí)當(dāng)發(fā)現(xiàn)被攻擊跡象時(shí)會(huì)向網(wǎng)絡(luò)管理員發(fā)出警報(bào)，并保留攻擊痕跡，安全性較高。 數(shù)據(jù)包過(guò)濾（ 6/6） 代理服務(wù)（ 1/4） 應(yīng)用層 表示層 會(huì)話(huà)層 傳輸層 數(shù)據(jù)鏈路層 物理層 應(yīng)用層 表示層 會(huì)話(huà)層 傳輸層 數(shù)據(jù)鏈路層 物理層 網(wǎng)絡(luò)層 Tel HTTP FTP 應(yīng)用層 表示層 會(huì)話(huà)層 傳輸層 數(shù)據(jù)鏈路層 物理層 網(wǎng)絡(luò)層 網(wǎng)絡(luò)層 ? 是運(yùn)行于連接內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的主機(jī)（堡壘主機(jī)）上的一種應(yīng)用，是一種比較高級(jí)的防火墻技術(shù)。 含義？ 表示禁止地址 1的計(jì)算機(jī)連接地址 2的計(jì)算機(jī)的 WWW服務(wù)。 屏蔽子網(wǎng) 內(nèi) 部 網(wǎng) 絡(luò)I n t e r n t堡 壘 主 機(jī)外 部 路 由 器周 邊 網(wǎng) 絡(luò)內(nèi) 部 路 由 器屏蔽子網(wǎng) ? 是最安全的防火墻系統(tǒng)，它在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間建立一個(gè)被隔離的子網(wǎng)（非軍事區(qū)， DMZ（ Demilitarized Zone）） ? 在很多實(shí)現(xiàn)
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1