計(jì)算系統(tǒng)安全之防火墻(文件)
【正文】 些表面看來(lái)無(wú)害的數(shù)據(jù)被郵寄或復(fù)制到內(nèi)部網(wǎng)主機(jī)上并被執(zhí)行而發(fā)起攻擊時(shí) ， 就會(huì)發(fā)生數(shù)據(jù)驅(qū)動(dòng)攻擊 。 13 服務(wù)訪問(wèn)政策 二、網(wǎng)絡(luò)政策 服務(wù)訪問(wèn)政策是整個(gè)機(jī)構(gòu)信息安全政策的延伸 ， 既要可靠又要切合實(shí)際 。 2. “ 沒(méi)有明確禁止的都是被允許的 ” ；也即是允許一切未被特別拒絕的東西 允許 拒絕 15 六、防火墻的體系結(jié)構(gòu) 1） 屏蔽路由器 （ Screened Router） 2） 雙宿主機(jī)網(wǎng)關(guān)； Dual Homed Host Gateway 3） 屏蔽主機(jī)防火墻； Screened Gateway 4） 屏蔽子網(wǎng)防火墻 。 在建立雙宿主機(jī)時(shí) ，應(yīng)關(guān)閉操作系統(tǒng)的路由功能 （ IP轉(zhuǎn)發(fā) ） ， 否則兩塊網(wǎng)卡間的通信會(huì)繞過(guò)代理服務(wù)器軟件 。 實(shí)施策略：針對(duì)不同的服務(wù)，選擇其中的一種或兩種保護(hù)措施。 要想侵入用這種類型的體系結(jié)構(gòu)構(gòu)筑的內(nèi)部網(wǎng)絡(luò) ， 侵襲者必須通過(guò)外部路由器 ， 堡壘主機(jī) ，內(nèi)部路由器三道關(guān)口 。 因?yàn)闆](méi)有嚴(yán)格的內(nèi)部通信 (即在兩臺(tái)內(nèi)部主機(jī)之間的通信 ， 這通常是敏感的或者專有的 )能越過(guò)周邊網(wǎng) 。 （ 如果用戶的防火墻使用代理軟件 ） 來(lái)允許內(nèi)部的客戶端間接地訪問(wèn)外部的服務(wù)器 。 內(nèi)部路由器為用戶的防火墻執(zhí)行大部分的數(shù)據(jù)包過(guò)濾工作 。 限制堡壘主機(jī)與內(nèi)部網(wǎng)之間的通信可減少堡壘機(jī)被攻破時(shí)對(duì)內(nèi)部網(wǎng)的危害 。 30 內(nèi)部防火墻問(wèn)題 防火墻體系結(jié)構(gòu) 在大部分討論中 ,都假定建立防火墻的目的在于保護(hù)內(nèi)部網(wǎng)免受外部網(wǎng)的侵?jǐn)_ 。 應(yīng)用層 表示層 會(huì)話層 傳輸層 網(wǎng)絡(luò)層 鏈路層 物理層 包過(guò)濾 應(yīng)用網(wǎng)關(guān) 電路網(wǎng)關(guān) 32 包過(guò)濾技術(shù) 包過(guò)濾技術(shù) 33 包過(guò)濾技術(shù)的原理 包過(guò)濾技術(shù) 在路由器上加入 IP Filtering 功能 ， 這樣的路由器就成為 Screening Router 。 38 包過(guò)濾的依據(jù) 包過(guò)濾技術(shù) IP 源地址 IP目的地址 封裝協(xié)議 (TCP、 UDP、 或 IP Tunnel) TCP/UDP源端口 TCP/UDP目的端口 ICMP包類型 TCP報(bào)頭的 ACK位 包輸入接口和包輸出接口 39 依賴于服務(wù)的過(guò)濾 包過(guò)濾技術(shù) 多數(shù)服務(wù)對(duì)應(yīng)特定的端口 ， 例： Tel、 SMTP、 POP3分別為 2 2 110。 不依賴于服務(wù)的攻擊有三類： 1） 源 IP地址欺騙攻擊 入侵者從偽裝成源自一臺(tái)內(nèi)部主機(jī)的一個(gè)外部地點(diǎn)傳送一些信息包；這些信息包似乎像包含了一個(gè)內(nèi)部系統(tǒng)的源 IP地址 。 3） 殘片攻擊 入侵者利用 IP分段特性生成一個(gè)極小的片斷并將TCP報(bào)頭信息肢解成一個(gè)分離的信息包片斷 ， 使數(shù)據(jù)包繞過(guò)用戶定義的過(guò)濾規(guī)則 。 這些特點(diǎn)都包含再標(biāo)準(zhǔn)的路由器軟件中 。 管理困難 。 日志能力較弱 。防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)間應(yīng)用層的連接，由兩個(gè)代理服務(wù)器之間的連接來(lái)實(shí)現(xiàn)，外部計(jì)算機(jī)的網(wǎng)絡(luò)鏈路只能到達(dá)代理服務(wù)器，從而起到隔離防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)的作用。 并在過(guò)濾的同時(shí) ， 對(duì)數(shù)據(jù)包進(jìn)行必要的分析 、記錄和統(tǒng)計(jì) ， 形成報(bào)告 。電路網(wǎng)關(guān)在兩個(gè)通信端點(diǎn)之間復(fù)制字節(jié)。 電路網(wǎng)關(guān)與包過(guò)濾相似，但比包過(guò)濾高兩層，安全性更好。為防止用戶向匿名 FTP服務(wù)器寫(xiě)數(shù)據(jù)，可拒絕使用 FTP 協(xié)議中的 put 命令； 能過(guò)濾數(shù)據(jù)內(nèi)容：文本過(guò)濾、圖像過(guò)濾、病毒掃描等。 56 代理服務(wù) 2)屏蔽子網(wǎng)防火墻體系結(jié)構(gòu)：堡壘機(jī)放在一個(gè)子網(wǎng)內(nèi) ， 形成非軍事化區(qū) ， 兩個(gè)包過(guò)濾路由器放在這一子網(wǎng)的兩端 ， 使這一子網(wǎng)與 Inter及內(nèi)部網(wǎng)絡(luò)分離 。 可以非常靈活的設(shè)計(jì)合適自己使用的規(guī)則 。 由于規(guī)則判斷是由上而下的 ， 可以通過(guò)點(diǎn)擊調(diào)“ 規(guī)則上下移動(dòng) ” 按鈕調(diào)整規(guī)則的順序 ， 當(dāng)調(diào)整好順序后 ， 可按保存按鈕保存修改 。 當(dāng)改變這些標(biāo)志后 ，按保存鍵 。 規(guī)則列表 ：列出了所有的規(guī)則的名稱 ， 該規(guī)則所對(duì)應(yīng)的數(shù)據(jù)包的方向 ， 該規(guī)則所控制的協(xié)議 ， 本機(jī)端口 ，對(duì)方地址和對(duì)方端口 ， 以及當(dāng)數(shù)據(jù)包滿足本規(guī)則時(shí)所采取的策略 。 通過(guò)合理的設(shè)置規(guī)則就可以把有害的數(shù)據(jù)包擋在你的機(jī)器之外 。 代理服務(wù)器及防火墻軟件包： Wingate Microsoft Proxy Server 57 用戶眼中的代理 代理服務(wù) 免費(fèi)代理 出現(xiàn)原因：系統(tǒng)漏洞；管理員設(shè)置的代理；ISP提高影響 ， 在一段時(shí)間內(nèi)開(kāi)發(fā)的代理 。 有兩種方案 。 路由器允許 Tel和 Ftp包只通過(guò)一個(gè)主系統(tǒng) ，即 Tel/Ftp應(yīng)用網(wǎng)關(guān) ， 然后再連接到目的主系統(tǒng)： 1. 用戶首先把 Tel連接到應(yīng)用網(wǎng)關(guān) ， 并輸入內(nèi)部主系統(tǒng)名字； 2. 網(wǎng)關(guān)檢驗(yàn)用戶的源 IP地址 ， 并根據(jù)訪問(wèn)準(zhǔn)則接受或拒絕； 3. 用戶可能需要證明自己的身份 （ 可使用一次性口令裝置 ） ； 4. 代理服務(wù)軟件在 網(wǎng)關(guān)和內(nèi)部主系統(tǒng)之間建立 Te
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1