網(wǎng)絡(luò)安全第二章ppt課件(存儲(chǔ)版)
【正文】 ? 在很多實(shí)現(xiàn)中，兩個(gè)分組過濾路由器放在子網(wǎng)的兩端，內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)均可訪問被屏蔽子網(wǎng)，但禁止它們穿過被屏蔽子網(wǎng)通信 ? 通常將堡壘主機(jī)、各種信息服務(wù)器等公用服務(wù)器放于 DMZ中 ? 堡壘主機(jī)通常是黑客集中攻擊的目標(biāo)，如果沒有 DMZ，入侵者控制堡壘主機(jī)后就可以監(jiān)聽整個(gè)內(nèi)部網(wǎng)絡(luò)的會(huì)話 防火墻的實(shí)現(xiàn)技術(shù) 1 代理服務(wù)（ Proxy Service） 2 狀態(tài)檢測(cè)（ Stateful Inspection） 3 網(wǎng)絡(luò)地址轉(zhuǎn)換（ Network Address Translation ） 4 數(shù)據(jù)包過濾（ Packet Filtering） 數(shù)據(jù)包過濾（ 1/6） 應(yīng)用層 表示層 會(huì)話層 傳輸層 數(shù)據(jù)鏈路層 物理層 路由器 應(yīng)用層 表示層 會(huì)話層 傳輸層 數(shù)據(jù)鏈路層 物理層 網(wǎng)絡(luò)層 網(wǎng)絡(luò)層 數(shù)據(jù)鏈路層 物理層 ? 數(shù)據(jù)包過濾技術(shù)是一種簡(jiǎn)單、高效的安全控制技術(shù)，是防火墻發(fā)展初期普遍采用的技術(shù)。 數(shù)據(jù)包過濾（ 6/6） 代理服務(wù)（ 1/4） 應(yīng)用層 表示層 會(huì)話層 傳輸層 數(shù)據(jù)鏈路層 物理層 應(yīng)用層 表示層 會(huì)話層 傳輸層 數(shù)據(jù)鏈路層 物理層 網(wǎng)絡(luò)層 Tel HTTP FTP 應(yīng)用層 表示層 會(huì)話層 傳輸層 數(shù)據(jù)鏈路層 物理層 網(wǎng)絡(luò)層 網(wǎng)絡(luò)層 ? 是運(yùn)行于連接內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的主機(jī)（堡壘主機(jī)）上的一種應(yīng)用，是一種比較高級(jí)的防火墻技術(shù)。檢測(cè)模塊在不影響網(wǎng)絡(luò)正常工作的前提下，采用抽取相關(guān)數(shù)據(jù)的方法對(duì)網(wǎng)絡(luò)通信的各層實(shí)施監(jiān)測(cè)，并動(dòng)態(tài)地保存起來作為以后制定安全決策的參考。 網(wǎng)絡(luò)地址轉(zhuǎn)換（ 2/4） ? NAT是基于網(wǎng)絡(luò)層的應(yīng)用，按照不同的理解角度（實(shí)現(xiàn)方式 /數(shù)據(jù)流向）分類也不同。 網(wǎng)絡(luò)安全產(chǎn)品的系統(tǒng)化（ 2/2） ? 防火墻與防病毒產(chǎn)品聯(lián)動(dòng) ? 防火墻與 IDS聯(lián)動(dòng) ? 防火墻與認(rèn)證系統(tǒng)聯(lián)動(dòng) ? 防火墻與日志分析系統(tǒng)聯(lián)動(dòng) 主流防火墻產(chǎn)品簡(jiǎn)介 國(guó)內(nèi)： 天融信網(wǎng)絡(luò)衛(wèi)士防火墻（ NGFW） ? 我國(guó)第一套自主版權(quán)的防火墻系統(tǒng) ? TOPSEC（ Talent Open Protocol for Security）安全體系（聯(lián)動(dòng)協(xié)議安全標(biāo)準(zhǔn)） 補(bǔ)充 主流防火墻產(chǎn)品簡(jiǎn)介 國(guó)外： CheckPoint的 Firewall1防火墻 ? 狀態(tài)檢測(cè)（ Stateful Inspection）技術(shù)最早由 CheckPoint提出 ? OPSEC（ Open Platform for Secure Enterprise Connectivity） —— 開放安全企業(yè)互聯(lián)聯(lián)盟的組織和倡導(dǎo)者之一，允許用戶通過一個(gè)開放的、可擴(kuò)展的框架集成、管理所有的安全產(chǎn)品。企業(yè)內(nèi)部有 Email服務(wù)器、 FTP服務(wù)器等。 分布式防火墻 ? 傳統(tǒng)防火墻 ：邊界防火墻 缺陷：結(jié)構(gòu)性限制；內(nèi)部威脅；效率和故障 ? 分布式防火墻（廣義） ：一種新的防火墻體系結(jié)構(gòu)（包含網(wǎng)絡(luò)防火墻、主機(jī)防火墻和管理中心） 優(yōu)勢(shì)：在網(wǎng)絡(luò)內(nèi)部增加了另一層安全，有效抵御來自內(nèi)部的攻擊，消除網(wǎng)絡(luò)邊界上的通信瓶頸和單一故障點(diǎn)，支持基于加密和認(rèn)證的網(wǎng)絡(luò)應(yīng)用，與拓?fù)錈o關(guān)，支持移動(dòng)計(jì)算。 ? 注意： NAT本身并不是一種有安全保證的方案，它僅僅在包的最外層改變 IP地址。 代理服務(wù)（ 4/4） 狀態(tài)檢測(cè)（ 1/5） 物理層 引擎 檢測(cè) 動(dòng)態(tài)狀態(tài)表 應(yīng)用層 表示層 會(huì)話層 傳輸層 數(shù)據(jù)鏈路層 物理層 網(wǎng)絡(luò)層 應(yīng)用層 表示層 會(huì)話層 傳輸層 數(shù)據(jù)鏈路層 網(wǎng)絡(luò)層 應(yīng)用層 表示層 會(huì)話層 傳輸層 數(shù)據(jù)鏈路層 物理層 網(wǎng)絡(luò)層 ? 狀態(tài)檢測(cè)防火墻是在 動(dòng)態(tài)包過濾 的基礎(chǔ)上，增加了狀態(tài)檢測(cè)機(jī)制而形成的； ? 動(dòng)態(tài)包過濾與普通包過濾相比，需要多做一項(xiàng)工作：對(duì)外出數(shù)據(jù)包的 “ 身份 ” 做一個(gè)標(biāo)記，允許相同連接的進(jìn)入數(shù)據(jù)包通過。 主要缺點(diǎn)： ① 安全控制的力度只限于源地址、目的地址和端口號(hào)等，不能保存與傳輸或與應(yīng)用相關(guān)的狀態(tài)信息，因而只能進(jìn)行較為初步的安全控制，安全性較低； ② 數(shù)據(jù)包的源地址、目的地址以及端口號(hào)等都在數(shù)據(jù)包的頭部，很有可能被竊聽或假冒。 ? 過濾路由器是否正確配置是這種防火墻安全與否的關(guān)鍵。 分組過濾路由器 內(nèi) 部 網(wǎng) 絡(luò)I n t e r n t由 策 略 來 決 定 轉(zhuǎn) 發(fā)或 阻 止 數(shù) 據(jù) 包分 組 過 濾路 由 器分組過濾路由器 ? 作為內(nèi)外網(wǎng)連接的唯一通道，要求所有的報(bào)文都必須在此通過檢查。（專用集成電路（ ASIC）芯片或者網(wǎng)絡(luò)處理器（ NP）芯片）； ? 最大的亮點(diǎn)：高性能，非常高的并發(fā)連接數(shù)和吞吐量； ? 采用 ASIC芯片的方法在國(guó)外比較流行，技術(shù)也比較成熟，如美國(guó) Ne
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1