計(jì)算系統(tǒng)安全之防火墻(存儲(chǔ)版)
【正文】 立于服務(wù) 。 通過舍棄所有協(xié)議類型為 TCP、 IP報(bào)頭中 Fragment Offset=1的數(shù)據(jù)包 ， 即可挫敗殘片的攻擊 。 不能理解上下文 。 46 代理服務(wù)技術(shù) 代理服務(wù) 47 應(yīng)用層網(wǎng)關(guān) 應(yīng)用網(wǎng)關(guān) 應(yīng)用層網(wǎng)關(guān) （ Application Level Gateways）技術(shù)是在網(wǎng)絡(luò)的應(yīng)用層上實(shí)現(xiàn)協(xié)議過濾和轉(zhuǎn)發(fā)功能 。 電路網(wǎng)關(guān)適于限制內(nèi)部網(wǎng)對(duì)外部的訪問，但不能實(shí)施協(xié)議過濾。 有兩種方案 。 通過合理的設(shè)置規(guī)則就可以把有害的數(shù)據(jù)包擋在你的機(jī)器之外 。 當(dāng)改變這些標(biāo)志后 ，按保存鍵 。 可以非常靈活的設(shè)計(jì)合適自己使用的規(guī)則 。為防止用戶向匿名 FTP服務(wù)器寫數(shù)據(jù)，可拒絕使用 FTP 協(xié)議中的 put 命令； 能過濾數(shù)據(jù)內(nèi)容：文本過濾、圖像過濾、病毒掃描等。電路網(wǎng)關(guān)在兩個(gè)通信端點(diǎn)之間復(fù)制字節(jié)。防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)間應(yīng)用層的連接，由兩個(gè)代理服務(wù)器之間的連接來實(shí)現(xiàn)，外部計(jì)算機(jī)的網(wǎng)絡(luò)鏈路只能到達(dá)代理服務(wù)器，從而起到隔離防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)的作用。 管理困難 。 3） 殘片攻擊 入侵者利用 IP分段特性生成一個(gè)極小的片斷并將TCP報(bào)頭信息肢解成一個(gè)分離的信息包片斷 ， 使數(shù)據(jù)包繞過用戶定義的過濾規(guī)則 。 38 包過濾的依據(jù) 包過濾技術(shù) IP 源地址 IP目的地址 封裝協(xié)議 (TCP、 UDP、 或 IP Tunnel) TCP/UDP源端口 TCP/UDP目的端口 ICMP包類型 TCP報(bào)頭的 ACK位 包輸入接口和包輸出接口 39 依賴于服務(wù)的過濾 包過濾技術(shù) 多數(shù)服務(wù)對(duì)應(yīng)特定的端口 ， 例： Tel、 SMTP、 POP3分別為 2 2 110。 30 內(nèi)部防火墻問題 防火墻體系結(jié)構(gòu) 在大部分討論中 ,都假定建立防火墻的目的在于保護(hù)內(nèi)部網(wǎng)免受外部網(wǎng)的侵?jǐn)_ 。 內(nèi)部路由器為用戶的防火墻執(zhí)行大部分的數(shù)據(jù)包過濾工作 。 因?yàn)闆]有嚴(yán)格的內(nèi)部通信 (即在兩臺(tái)內(nèi)部主機(jī)之間的通信 ， 這通常是敏感的或者專有的 )能越過周邊網(wǎng) 。 實(shí)施策略：針對(duì)不同的服務(wù)，選擇其中的一種或兩種保護(hù)措施。 2. “ 沒有明確禁止的都是被允許的 ” ；也即是允許一切未被特別拒絕的東西 允許 拒絕 15 六、防火墻的體系結(jié)構(gòu) 1） 屏蔽路由器 （ Screened Router） 2） 雙宿主機(jī)網(wǎng)關(guān)； Dual Homed Host Gateway 3） 屏蔽主機(jī)防火墻； Screened Gateway 4） 屏蔽子網(wǎng)防火墻 。 當(dāng)有些表面看來無害的數(shù)據(jù)被郵寄或復(fù)制到內(nèi)部網(wǎng)主機(jī)上并被執(zhí)行而發(fā)起攻擊時(shí) ， 就會(huì)發(fā)生數(shù)據(jù)驅(qū)動(dòng)攻擊 。內(nèi)部用戶偷竊數(shù)據(jù) ， 破壞硬件和軟件 ， 并且巧妙地修改程序而不接近防火墻 。 外部用戶只需要經(jīng)過一次認(rèn)證即可訪問內(nèi)部網(wǎng) 。 4 二、好的防火墻系統(tǒng) 一、防火墻概述 1） 內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)必須通過防火墻； 2） 只有防火墻系統(tǒng)中安全策略允許的數(shù)據(jù)可以通過防火墻； 3） 防火墻本身不受各種攻擊的影響 。 建立防火墻必須全面考慮安全策略 ， 否則形同虛設(shè) 。 可以定義不同的認(rèn)證方法 ， 而不需要在每臺(tái)機(jī)器上分別安裝特定的認(rèn)證軟件 。 如果入侵者已經(jīng)在防火墻內(nèi)部 ， 防火墻是無能為力的 。 6） 防火墻不能防止數(shù)據(jù)驅(qū)動(dòng)式攻擊 。 14 允許 拒絕 防火墻設(shè)計(jì)政策 防火墻一般實(shí)施兩個(gè)基本設(shè)計(jì)方針之一 : 1. “ 沒有明確允許的都是被禁止的 ” ， 即拒絕一切未予特許的東西 。 優(yōu)點(diǎn)：雙重保護(hù)，安全性更高。 因?yàn)樗兄苓吘W(wǎng)上的通信來自或者通往堡壘主機(jī)或Inter。 28 防火墻體系結(jié)構(gòu) 3） 內(nèi)部路由器 內(nèi)部路由器 （ 阻塞路由器 ） ：保護(hù)內(nèi)部的網(wǎng)絡(luò)使之免受 Inter和周邊子網(wǎng)的侵犯 。 外部路由器安全任務(wù)之一是：阻止從 Inter上偽造源地址進(jìn)來的任何數(shù)據(jù)包 。 34 IPv4 包過濾技術(shù) 版本號(hào) Version (4bit) 報(bào)頭長(zhǎng) IHL (4bit) 服務(wù)類型 ServiceType (8bit) 分組總長(zhǎng)度 Total Length (16bit) 標(biāo)識(shí) Identification (16bit) 標(biāo)志 Flags (3bit) 片偏移 Fragment Offset (13bit) 生存時(shí)間 Time to Live (8bit) 傳輸層協(xié)議 Protocol (8bit) 頭部校驗(yàn)和 Header Checksum (16bit) 源 IP 地址 Source Address(32bit) 宿 IP 地址 Destination Address(32bit) 可選項(xiàng) Option 有效負(fù)載 Payload（ 0或多個(gè)字節(jié)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1