安全連入internet防火墻(文件)
【正文】 關(guān)阻塞或不通 /其他故障w PING是一個(gè)著名的應(yīng)用w RFC792IP (Inter Protocol)協(xié)議w 接收物理層（ Ether）發(fā)來(lái)的數(shù)據(jù)w 將數(shù)據(jù)傳送到高層協(xié)議，如 TCP、 UDPw 不可靠的數(shù)據(jù)報(bào)協(xié)議170。w :3987 ??:23Inter上安全事件不斷w 服務(wù)安全問(wèn)題 /協(xié)議安全問(wèn)題170。弱口令、口令破解程序、 NFS協(xié)議不能認(rèn)證用戶w 管理人員的變動(dòng)和水平一些安全問(wèn)題：竊聽、假冒w IP假冒，同一網(wǎng)段內(nèi)，改就行w 原路徑問(wèn)題（ source route）170。獲得回應(yīng)w Email假冒，不僅是地址，而且還從正確的服務(wù)器來(lái)。協(xié)議本身，服務(wù)，配置以及系統(tǒng)本身防火墻的基本知識(shí)w 防火墻的主要目標(biāo)是控制對(duì)一個(gè)受保護(hù)網(wǎng)絡(luò)的訪問(wèn)，強(qiáng)迫所有連接都接受防火墻的檢查和評(píng)估。內(nèi)網(wǎng)系統(tǒng)不可見w 審計(jì)和統(tǒng)計(jì)網(wǎng)絡(luò)使用和錯(cuò)誤w 強(qiáng)制執(zhí)行統(tǒng)一的安全策略防火墻的缺陷 ?w 外網(wǎng)獲得內(nèi)網(wǎng)的服務(wù)不如原來(lái)方便w 后門并沒有完全堵住170。新的攻擊，數(shù)據(jù)驅(qū)動(dòng)的攻擊，新的病毒，通信瓶頸，依賴（ all eggs in single basket）防火墻運(yùn)行的網(wǎng)絡(luò)層次２數(shù)據(jù)鏈路層 (Ether)３網(wǎng)絡(luò)層 Network (IP, ICMP)４傳輸層 Transport (TCP, UDP)７應(yīng)用層 Application (FTP, Tel, DNS, NFS, PING)w 簡(jiǎn)單防火墻運(yùn)行的層次少，而復(fù)雜防火墻運(yùn)行的層次就多防火墻的功能分類w 包過(guò)濾防火墻w 狀態(tài)檢查機(jī)制防火墻w 應(yīng)用代理網(wǎng)關(guān)防火墻w 專用代理防火墻w 混合型防火墻w 網(wǎng)絡(luò)地址轉(zhuǎn)換w 基于主機(jī)的防火墻w 個(gè)人防火墻／個(gè)人防火墻設(shè)備包過(guò)濾防火墻w 最基本的防火墻功能w 包含有許多過(guò)濾規(guī)則w 最基本的工作模式是工作在第二，第三層w 存取控制一般基于以下參數(shù)170。其他信息， IP數(shù)據(jù)包頭的其他信息w 第二層工作可以增加冗余和完成負(fù)載均衡邊界路由器包過(guò)濾Boundary Router Packet FilterISP邊界路由器包過(guò)濾外部DMZ受保護(hù)的內(nèi)網(wǎng)主防火墻demilitarized zone包過(guò)濾防火墻特點(diǎn)w 非?？欤梢园惭b在最外的邊界上w 根據(jù)策略，如阻止 SNMP,允許 HTTPw 可能的弱點(diǎn)170。無(wú)法防止高級(jí)攻擊，如 IP地址假冒w 目前，很難找到只有包過(guò)濾功能的防火墻170。丟棄 (Discard)w 規(guī)則間的關(guān)系170。外出通信和進(jìn)入通信同等重要狀態(tài)檢查防火墻Stateful Inspection Firewallsw 工作在 2， 3， 4層w 不是簡(jiǎn)單開放大于 1023的端口而是記住每個(gè) TCP連接或 UDP通信的狀態(tài) 1098 80 Established 1046 25 Established 1356 80 Established應(yīng)用代理網(wǎng)關(guān)防火墻ApplicationProxy Gateway Firewallsw 代理網(wǎng)關(guān)防火墻主要工作在應(yīng)用層 (2,3,4,7)w 部分語(yǔ)義的檢查w 可以進(jìn)行用戶認(rèn)證170。隱藏內(nèi)部網(wǎng)絡(luò)地址170。端口地址轉(zhuǎn)換 (Port Address Translation)防火墻功能總結(jié)w 包過(guò)濾防火墻w 狀態(tài)檢查機(jī)制防火墻w 應(yīng)用代理網(wǎng)關(guān)防火墻w 專用代理防火墻w 混合型防火墻w 網(wǎng)絡(luò)地址轉(zhuǎn)換w 基于主機(jī)的防火墻w 個(gè)人防火墻／個(gè)人防火墻設(shè)備防火墻的布置與環(huán)境w 布置防火墻及環(huán)境的四條建議w 非軍事區(qū) (DMZ)w VPN及其的布置w IDSw DNSw 一個(gè)服務(wù)器布放的例子布置防火墻的建議（ NIST Guidelines）w 越簡(jiǎn)單越好 (Keep It Simple)170。這樣容易錯(cuò)誤地配置w 設(shè)計(jì)有深度的防御 (Defense in Depth)170。在防火墻設(shè)計(jì)時(shí)牢記w 各自的系統(tǒng)有各自的需求，應(yīng)該具
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1