典型防火墻產(chǎn)品及其發(fā)展趨勢(文件)
【正文】 密信道傳輸。FireWall1提供三種認(rèn)證方法：用戶認(rèn)證（ User Authentication），針對特定服務(wù)提供的基于用戶的透明的身份認(rèn)證，服務(wù)限于 FTP、 TELNET、 HTTP、 HTTPS、 RLOGIN；客戶機認(rèn)證（ Client Authentication），基于客戶機 IP的認(rèn)證，對訪問的協(xié)議不做直接的限制，客戶機認(rèn)證不是透明的，需要用戶先登錄到防火墻認(rèn)證 IP和用戶身份之后，才允許訪問應(yīng)用服務(wù)器；會話認(rèn)證（ Session Authentication）：提供基于服務(wù)會話的的透明認(rèn)證，與IP無關(guān)，采用會話認(rèn)證的客戶機必須安裝一個會話認(rèn)證代理，訪問不同的服務(wù)時必須單獨認(rèn)證。目前出現(xiàn)幾個新型的防火墻技術(shù)： 包過濾系統(tǒng)向著更具柔性和多功能的方向發(fā)展。這些產(chǎn)品通過對大量內(nèi)部網(wǎng)絡(luò)的外向連接請求采用計賬系統(tǒng)和包的批次修改方式，對防火墻的內(nèi)外提供相關(guān)的偽像。 策略語言有很多種，如 KeyNote就是一種通用的策略語言。 IP安全協(xié)議是一種對 TCP/IP協(xié)議族的網(wǎng)絡(luò)層進(jìn)行加密保護的機制，包括 AH和 ESP，分別對 IP包頭和整個 IP包進(jìn)行認(rèn)證，可以防止各類主機攻擊。 IP協(xié)議的變化將對防火墻的建立與運行產(chǎn)生深刻的影響。FireWall1提供三種認(rèn)證方法：用戶認(rèn)證（ User Authentication），針對特定服務(wù)提供的基于用戶的透明的身份認(rèn)證，服務(wù)限于 FTP、 TELNET、 HTTP、 HTTPS、 RLOGIN；客戶機認(rèn)證（ Client Authentication），基于客戶機 IP的認(rèn)證，對訪問的協(xié)議不做直接的限制，客戶機認(rèn)證不是透明的，需要用戶先登錄到防火墻認(rèn)證 IP和用戶身份之后，才允許訪問應(yīng)用服務(wù)器；會話認(rèn)證（ Session Authentication）：提供基于服務(wù)會話的的透明認(rèn)證，與IP無關(guān)，采用會話認(rèn)證的客戶機必須安裝一個會話認(rèn)證代理，訪問不同的服務(wù)時必須單獨認(rèn)證。 (4)對網(wǎng)絡(luò)攻擊的檢測和告警將成為防火墻的重要功能。當(dāng)然，我國防火墻技術(shù)還處在一個發(fā)展階段，還有許多問題有待解決，因此密切關(guān)注防火墻技術(shù)的最新發(fā)展，對我國信息產(chǎn)業(yè)健康安全的發(fā)展具有重要的意義。 綜上所述，未來防火墻技術(shù)將全面考慮網(wǎng)絡(luò)的安全、操作系統(tǒng)的安全、應(yīng)用程序的安全、用戶的安全、數(shù)據(jù)的安全這五大方面。 (2)過濾深度的不斷加強，從目前的地址、服務(wù)過濾，發(fā)展到 URL頁面過濾、關(guān)鍵字過濾和對 Active X、 Java等的過濾，并具有抗病毒和掃除病毒的功能。在不修改本地服務(wù)器或客戶應(yīng)用程序的情況下，對試圖訪問內(nèi)部服務(wù)器的用戶進(jìn)行身份認(rèn)證。首先由制定防火墻接入控制策略的中心通過編譯器將策略語言訴描述轉(zhuǎn)換成內(nèi)部格式，形成策略文件；然后中心采用系統(tǒng)管理工具把策略文件分發(fā)給各臺內(nèi)部主機；內(nèi)部主機將從兩方面來判定是否接受收到的包，一方面是根據(jù) IP安全協(xié)議，另一方面是根據(jù)的策略文件。以IP地址來標(biāo)志內(nèi)部主機是一種可供選擇的方法，但安全性不高，所以更傾向于使用 IP安全協(xié)議中的密碼憑證來標(biāo)志各臺主機，這種新技術(shù)為主機提供了可靠的、唯一的標(biāo)志，并且與網(wǎng)絡(luò)的物理拓?fù)錈o關(guān)。新型的分布式防火墻由中心定義策略，但由各個分布在網(wǎng)絡(luò)中的端點實施這些制定的策略。一個輸出的 UDP數(shù)據(jù)包可以引起對應(yīng)的允許應(yīng)答 UDP創(chuàng)立一個臨時的包過濾規(guī)則，允許其對應(yīng)的 UDP包進(jìn)入內(nèi)部 網(wǎng)。? FireWall1的連接控制模塊提供了負(fù)載平衡功能，在提供相同服務(wù)的多個應(yīng)用服務(wù)器之間實現(xiàn)負(fù)載分擔(dān)，目前FireWall1支持的負(fù)載均衡算法： Server Load（由服務(wù)器提供負(fù)載均衡算法，需要在應(yīng)用服務(wù)器端安裝負(fù)載測量引擎）； Round Trip（利用 ping命令測定防火墻到各個應(yīng)用服務(wù)器之間的循回時間，選用循回時間最小者響應(yīng)用戶請求）； Round Robin（根據(jù)記錄表中的情況，簡單地指定下一個應(yīng)用服務(wù)器響應(yīng)）； Random（隨機選取應(yīng)用服務(wù)器響應(yīng)）； Domain（按照域名最近的原則，指定最近的應(yīng)用服務(wù)器響應(yīng)）。在不修改本地服務(wù)器或客戶應(yīng)用程序的情況下，對試圖訪問內(nèi)部服務(wù)器的用戶進(jìn)行身份認(rèn)證。規(guī)則庫里存放的是一些有序的規(guī)則，每條規(guī)則分別指定了源地址、目的地址、服務(wù)類型（ HTTP、 FTP、TELNET等）、針對該連接的安全措施（放行、拒絕、丟棄或者是需要通過認(rèn)證等）、需要采取的行動（日志記錄、報警等）、以及安全策略執(zhí)行點（是在防火墻網(wǎng)關(guān)還是在路由器或者其它保護對象上上實施該規(guī)則）。 OPSEC允許用戶通過一個開放的、可擴展的框架集成、管理所有的網(wǎng)絡(luò)安全產(chǎn)品?！ 顟B(tài)檢測模塊把相關(guān)的狀態(tài)和狀態(tài)之間的關(guān)聯(lián)信息存儲到動態(tài)連接表中并隨時更新，通過這些數(shù)據(jù)， FireWall1可以檢測到后繼的通信。FireWall1狀態(tài)檢測模塊分析所有的包通訊層，汲取相關(guān)的通信和應(yīng)用程序的狀態(tài)信息。例如，我們要將主機的 IP地址 的 MAC地址 ，可
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1