網(wǎng)絡(luò)信息安全與防火墻技術(shù)應(yīng)用之探討-預(yù)覽頁(yè)
【正文】 技術(shù)和理論都是網(wǎng)絡(luò)安全所要研究的領(lǐng)域。隨著網(wǎng)絡(luò)在社會(huì)各方面的延伸，進(jìn)入網(wǎng)絡(luò)的手段也越來(lái)越多，因此，網(wǎng)絡(luò)安全技術(shù)是一項(xiàng)非常復(fù)雜的系統(tǒng)工程。病毒、黑客的猖獗使身處今日網(wǎng)絡(luò)社會(huì)的人們感覺(jué)到談“網(wǎng)”色變，無(wú)所適從。2防火墻防火墻是用來(lái)對(duì)因特網(wǎng)這種特定的連接段進(jìn)行隔離的任何一臺(tái)設(shè)備或一組設(shè)備，他們提供單一的控制點(diǎn)，從而允許或禁止在網(wǎng)絡(luò)中的傳輸流[1]?？蛻羰紫冉⑴c防火墻間的運(yùn)輸層連接，而不是與服務(wù)器建立相應(yīng)的連接。應(yīng)用層防火墻不同于網(wǎng)絡(luò)層防火墻之處在于，其可處理和檢驗(yàn)任何通過(guò)的數(shù)據(jù)。防火墻路由器具有一系列規(guī)則(rule)，每條規(guī)則由分組刻面(packet profile)和動(dòng)作(action)組成。典型的動(dòng)作包括：前傳(forwarding)，丟棄(dropping)，返回失敗信息(sending a failure response)和異常登記(logging for exception tacking)。 CF1F2S \ / \_____ / \ \ / A1 Z1 策略控制層如上圖所示，C為客戶，S為服務(wù)器，F(xiàn)F2為處于其間的兩個(gè)防火墻。由于該分組不可能與任何可接受的分組刻面匹配，所以返回一個(gè)“Authentication Required”的標(biāo)錯(cuò)信息給C，其中包括F1所信任的認(rèn)證/權(quán)限校驗(yàn)服務(wù)器列表。在客戶器C的分組通過(guò)F1后，在防火墻F2 處還會(huì)被拒絕，從而各部分重復(fù)上述過(guò)程，通過(guò)下圖可清晰的看到上述過(guò)程中各事件的發(fā)生和處理。它隔離內(nèi)部網(wǎng)與外部網(wǎng)，并提供存取機(jī)制與保密服務(wù)，使內(nèi)部網(wǎng)有選擇的與外部網(wǎng)進(jìn)行信息交換；根據(jù)需要對(duì)內(nèi)部網(wǎng)絡(luò)訪問(wèn)的INTERNET進(jìn)行控制，包括設(shè)計(jì)流量，訪問(wèn)內(nèi)容等方面，使內(nèi)部網(wǎng)絡(luò)與INTERNET的網(wǎng)絡(luò)得到隔離，內(nèi)部網(wǎng)絡(luò)的IP地址范圍就不會(huì)受到INTERNET的IP地址的影響，保證了內(nèi)部網(wǎng)絡(luò)的獨(dú)立性和可擴(kuò)展性。自從1986年美國(guó)DIGITAL公司在INTERNET上安裝了全球第一個(gè)商用防火墻系統(tǒng)，提出了防火墻概念后，防火墻技術(shù)得到了飛速的發(fā)展。用防火墻來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)安全必須考慮防火墻的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)：（1） 屏蔽路由器：又稱包過(guò)濾防火墻。隨著INTERNET在我國(guó)的迅速發(fā)展，防火墻技術(shù)引起了各方面的廣泛關(guān)注，一方面在對(duì)國(guó)外信息安全和防火墻技術(shù)的發(fā)展進(jìn)行跟蹤，另一方面也已經(jīng)自行開(kāi)展了一些研究工作。根據(jù)防火墻所采用的技術(shù)不同，我們可以將它分為四種基本類型：包過(guò)濾型、網(wǎng)絡(luò)地址轉(zhuǎn)換——NAT、代理型和監(jiān)測(cè)型。系統(tǒng)管理員也可以根據(jù)實(shí)際情況靈活制訂判斷規(guī)則。有經(jīng)驗(yàn)的黑客很容易偽造IP地址，騙過(guò)包過(guò)濾型防火墻。其實(shí)質(zhì)就是讓一臺(tái)機(jī)器來(lái)扮演另一臺(tái)機(jī)器，以達(dá)到蒙混過(guò)關(guān)的目的。IP欺騙攻擊通常發(fā)生于一臺(tái)主機(jī)被確信在安全性方面存在漏洞之后。NAT的工作過(guò)程如下：在內(nèi)部網(wǎng)絡(luò)通過(guò)安全網(wǎng)卡訪問(wèn)外部網(wǎng)絡(luò)時(shí)，將產(chǎn)生一個(gè)映射記錄。當(dāng)符合規(guī)則時(shí)防火墻認(rèn)為訪問(wèn)是安全的，可以接受訪問(wèn)請(qǐng)求，也可以將連接請(qǐng)求映射到不同的內(nèi)部計(jì)算機(jī)中。代理服務(wù)器位于客戶機(jī)與服務(wù)器之間，完全阻擋了二者之間的數(shù)據(jù)交流。代理型防火墻的優(yōu)點(diǎn)是安全性較高，可以針對(duì)應(yīng)用層進(jìn)行偵測(cè)和掃描，對(duì)付基于應(yīng)用層的侵入和病毒都十分有效。同時(shí)，這種監(jiān)測(cè)型防火墻產(chǎn)品一般還帶有分布式探測(cè)器，這些探測(cè)器安置在各種應(yīng)用服務(wù)器和其它網(wǎng)絡(luò)的節(jié)點(diǎn)之中，不但能夠監(jiān)測(cè)來(lái)自網(wǎng)絡(luò)外部的攻擊，同時(shí)對(duì)來(lái)自外部的惡意破壞也有極強(qiáng)的防范作用?；谙到y(tǒng)成本與安全技術(shù)成本的綜合考慮，用戶可以選擇性的使用某些監(jiān)測(cè)型技術(shù)，這樣既能夠保證網(wǎng)絡(luò)系統(tǒng)的安全性需求，同時(shí)也能有效的控制安全系統(tǒng)的總擁有成本。但在實(shí)際應(yīng)用中檢測(cè)安全產(chǎn)品的性能是極為危險(xiǎn)的，所以用戶在選擇防火墻產(chǎn)品時(shí)，應(yīng)該盡量選擇占市場(chǎng)份額較大同時(shí)又通過(guò)了權(quán)威認(rèn)證機(jī)構(gòu)認(rèn)證測(cè)試的產(chǎn)品。按作用不同數(shù)據(jù)加密技術(shù)主要分為數(shù)據(jù)傳輸、數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)完整性的鑒別以及密鑰管理技術(shù)四種。（2） 數(shù)據(jù)存儲(chǔ)加密技術(shù)目的是防止在存儲(chǔ)環(huán)節(jié)上的數(shù)據(jù)失密，可分為密文存儲(chǔ)和存取控制兩種[9]。密鑰的媒體有：磁卡、磁帶、磁盤(pán)、半導(dǎo)體存儲(chǔ)器等。為了從上述三個(gè)方面保障計(jì)算機(jī)系統(tǒng)的安全，對(duì)于防火墻的使用存在相當(dāng)?shù)臓?zhēng)議，主要因?yàn)槿藗兊闹埸c(diǎn)不同或所應(yīng)用的系統(tǒng)具有不同的本質(zhì)特性。 Associates. Inc. 1992, 2125[8] 梅杰, 許榕生 Internet防火墻技術(shù)最新發(fā)展 微電腦世界 1996(6)，2730[9] Marcus J. Ranum. Thinking about Firewalls. Proceedings of Second International Conference on Systems and Network Security and Management(SANSII). 1993,5359致 謝在整個(gè)論文的準(zhǔn)備工作和寫(xiě)作過(guò)程中，筆者一直得到指導(dǎo)老師徐久成的悉心指導(dǎo)和熱情幫助。10
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1