《防火墻技術(shù)》ppt課件 (2)-全文預(yù)覽
【正文】 ，自動(dòng) “ 適應(yīng) ” 防火墻級(jí)別 。 （ 3） 自適應(yīng)代理 （ Adaptive Proxy） 自適應(yīng)代理防火墻允許用戶(hù)根據(jù)具體需求 ， 定義防火墻策略 ，而不會(huì)犧牲速度或安全性 。 所以 ， 電路級(jí)代理服務(wù)器通常要求修改過(guò)的用戶(hù)程序 。 （ 2） 電路層代理 （ Circuit Proxy） 也稱(chēng)為電路級(jí)代理服務(wù)器 。 應(yīng)用層代理為某個(gè)特定應(yīng)用服務(wù)提供代理 ，它對(duì)應(yīng)用協(xié)議進(jìn)行解析并解釋?xiě)?yīng)用協(xié)議的命令 。 這些日志 、 記錄對(duì)于流量分析 、 安全檢驗(yàn)是十分重要和寶貴的 。 同樣的道理 ， 代理服務(wù)器在外部網(wǎng)絡(luò)向內(nèi)部網(wǎng)絡(luò)申請(qǐng)服務(wù)時(shí)也發(fā)揮了中間轉(zhuǎn)接的作用 。 此外 ， 單純由屏蔽路由器構(gòu)成的防火墻并不十分安全 ，危險(xiǎn)地帶包括路由器本身及路由器允許訪問(wèn)的主機(jī) ，一旦屏蔽路由器被攻陷就會(huì)對(duì)整個(gè)網(wǎng)絡(luò)產(chǎn)生威脅 。 配置繁瑣也是包過(guò)濾防火墻的一個(gè)缺點(diǎn) 。 當(dāng)屏蔽路由器決定讓數(shù)據(jù)包通過(guò)時(shí) ， 它與普通路由器沒(méi)什么區(qū)別 ， 用戶(hù)感覺(jué)不到它的存在 。 包過(guò)濾防火墻讀取包頭信息 ， 與信息過(guò)濾規(guī)則比較， 順序檢查規(guī)則表中每一條規(guī)則 ， 直至發(fā)現(xiàn)包中的信息與某條規(guī)則相符 。 同樣的道理 ， 代理服務(wù)器在外網(wǎng)向內(nèi)網(wǎng)申請(qǐng)服務(wù)時(shí)也發(fā)揮了中間轉(zhuǎn)接的作用 。 （ 4） 防火墻不能防范病毒 防火墻不能防范從網(wǎng)絡(luò)上傳染來(lái)的病毒 ， 也不能消除計(jì)算機(jī)已存在的病毒 。 內(nèi)部用戶(hù)可以不經(jīng)過(guò)防火墻竊取數(shù)據(jù) 、 破壞硬件和軟件 ， 這類(lèi)攻擊占了全部攻擊的一半以上 。 雖然這對(duì)用戶(hù)是一個(gè)靈活和方便的方法 ，它卻可能存在嚴(yán)重的安全隱患 。 這是一個(gè)最安全的方法 ， 但從用戶(hù)的角度來(lái)看 ，這樣可能會(huì)有很多限制 ， 不是很方便 。 216。 216。 包過(guò)濾與代理 216。 防火墻及相關(guān)概念 216。 外部網(wǎng)絡(luò) （ 外網(wǎng) ） ：防火墻之外的網(wǎng)絡(luò) ， 一般為 Inter， 默認(rèn)為風(fēng)險(xiǎn)區(qū)域 。 非軍事化區(qū) （ DMZ） ：為了配置管理方便 ， 內(nèi)網(wǎng)中需要向外網(wǎng)提供服務(wù)的服務(wù)器 （ 如 WWW、 FTP、 SMTP、 DNS等 ） 往往放在 Inter與內(nèi)部網(wǎng)絡(luò)之間一個(gè)單獨(dú)的網(wǎng)段 ， 這個(gè)網(wǎng)段便是非軍事化區(qū) 。 因此 ， 應(yīng)該逐個(gè)定義每一個(gè)允許的服務(wù)和應(yīng)用程序 ， 而任何一個(gè)可能成為防火墻漏洞的服務(wù)和應(yīng)用程序都不能允許使用 。 因此 ， 每一個(gè)不信任或有潛在危害的服務(wù)和應(yīng)用程序都應(yīng)該逐個(gè)拒絕 。 如果入侵者已經(jīng)在防火墻內(nèi)部 ， 防火墻也是無(wú)能為力的 。 （ 3） 不能防范全部的威脅 防火墻被用來(lái)防范已知的威脅 ， 一個(gè)很好的防火墻設(shè)計(jì)方案可以防范某些新的威脅 ， 但沒(méi)有一個(gè)防火墻能自動(dòng)防御所有的新的威脅 。 （ 2） 代理服務(wù)器 這種
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1