網(wǎng)絡(luò)安全防范(ppt41頁(yè))(存儲(chǔ)版)
【正文】 從 技術(shù)實(shí)現(xiàn) 上 ? 硬件 防火墻、軟件 防火墻 網(wǎng)絡(luò)安全防范 7 41 lingli ● 過(guò)濾和代理的共同點(diǎn)： ? 對(duì)協(xié)議報(bào)文、信息內(nèi)容進(jìn)行篩選，剔除不安全元素、放行安全的訪(fǎng)問(wèn) ? 具有不對(duì)稱(chēng)性，主要對(duì)來(lái)自外部網(wǎng)絡(luò)（如 Inter）的信息流進(jìn)行嚴(yán)格檢查，而對(duì)內(nèi)部網(wǎng)絡(luò)發(fā)起的會(huì)話(huà)，檢查力度相對(duì)較弱 ● 過(guò)濾和代理的不同點(diǎn)： ? 過(guò)濾（ filter） ? 對(duì) 每個(gè)通過(guò)的報(bào)文進(jìn)行依次 處理 ? 是 無(wú)狀態(tài) 的 ? 報(bào)文 間相互獨(dú)立、互不影響，可以達(dá)到很高的處理 速度 ? 代理（ proxy） ? 參與協(xié)議會(huì)話(huà) 過(guò)程（中介） ? 有 狀態(tài) 的 ? 同 一個(gè)會(huì)話(huà)（或同一個(gè)流）的報(bào)文間相互有 關(guān)聯(lián)性 網(wǎng)絡(luò)安全防范 8 41 lingli 網(wǎng)絡(luò)安全防范 9 41 lingli 網(wǎng)絡(luò)安全防范 10 41 lingli （ 1）外 網(wǎng)攻擊者發(fā)送 SYN，請(qǐng)求會(huì)話(huà) 連接 （ 2）防火墻 接收到 SYN，檢查 IP地址的有效性、源地址是否內(nèi)網(wǎng)地址等，若判斷為可疑的連接請(qǐng)求，丟棄報(bào)文（可不予以響應(yīng)，以對(duì)抗探測(cè)）， 結(jié)束 （ 3）防火墻 響應(yīng) SYNACK，啟動(dòng)超時(shí) 計(jì)時(shí)器 ? 防火墻 只需匹配極少 資源 ? 計(jì)時(shí)器 長(zhǎng)度可以依據(jù)不同需求進(jìn)行調(diào)整，適當(dāng) 縮短 （ 4）若 計(jì)時(shí)器 超時(shí)未 收到 ACK，則 釋放連接，結(jié)束 （ 5）防火墻 若收到 ACK，則立即向內(nèi)網(wǎng)指定計(jì)算機(jī)（第⑶步 已緩存）發(fā)送 SYN，當(dāng)接收到 SYNACK后立即響應(yīng) ACK （ 6） TCP連接建立 成功，之后內(nèi)外網(wǎng)直接通信 網(wǎng)絡(luò)安全防范 11 41 lingli ● Access Control List， ACL ? 用于防火墻實(shí)現(xiàn)靈活的管理 過(guò)濾 機(jī)制 ? ACL存放用于判別報(bào)文、連接與操作是否合法的相關(guān)參量，如 IP地址、端口號(hào)等，可以動(dòng)態(tài)維護(hù)、 更新 ? ACL類(lèi)型： ? 黑名單（ black list； forbid list） – 顯性 指出禁止訪(fǎng)問(wèn)的項(xiàng)目，如某個(gè) IP地址（或網(wǎng)段）、某個(gè) TCP/UDP端口 號(hào) – 訪(fǎng)問(wèn) 控制引擎對(duì)黑名單采用負(fù)邏輯（ negative logic）判別方式，即符合條件者不通過(guò)，否則通過(guò)。 ? 白 名單（ white list； permission list） – 顯性 指出允許訪(fǎng)問(wèn)的 項(xiàng)目 – 訪(fǎng)問(wèn) 控制引擎對(duì)白名單采用正邏輯（ positive logic）判別方式，即符合條件者通過(guò)，否則不通過(guò) ? 灰名單（ grey list） – 一種特殊 ACL黑名單 機(jī)制 ，可稱(chēng)為臨時(shí)黑名單 – 灰 名單可以由防火墻自動(dòng)地、動(dòng)態(tài)地進(jìn)行調(diào)整 ，更為靈活 網(wǎng)絡(luò)安全防范 12 41 lingli 網(wǎng)絡(luò)安全防范 13 41 匹配 ACL每一行 匹配？ 最后行？ 允許 /拒絕？ Y N N 丟棄報(bào)文 結(jié)束 Y 最后行隱式 Deny any Deny 報(bào)文通過(guò) Permit lingli ● 實(shí)現(xiàn)目標(biāo)： ? 某些內(nèi)部 網(wǎng)絡(luò) 需要對(duì)外 提供訪(fǎng)問(wèn)服務(wù) ，需要 一定的安全保護(hù)，但應(yīng)避免復(fù)雜性、提高訪(fǎng)問(wèn) 效率 ? 對(duì)外 服務(wù)系統(tǒng)與內(nèi)部應(yīng)用系統(tǒng)間要有一定的互連關(guān)系，用于安全地交換 數(shù)據(jù) ? 內(nèi) 網(wǎng)中的計(jì)算機(jī)可以訪(fǎng)問(wèn)外部網(wǎng)絡(luò) 網(wǎng)絡(luò)安全防范 14 41 非軍事區(qū) DeMilitary Zone LAN DMZ WAN 帶 DMZ的 FW lingli 網(wǎng)絡(luò)安全防范 15 41 內(nèi)部網(wǎng)絡(luò) DMZ Inter DB Server Web Server Email Server data 最高的安全保障 有效的安全保障 無(wú)安全保障 來(lái)自外部網(wǎng)絡(luò)的 訪(fǎng)問(wèn)僅限于到達(dá) DMZ區(qū)域 lingli 網(wǎng)絡(luò)安全防范 16 41 lingli ● 誤報(bào)率（ rate of false detection） ? false positive ? 指正 常訪(fǎng)問(wèn)或數(shù)據(jù)誤遭防火墻攔截，直接造成訪(fǎng)問(wèn)失敗、數(shù)據(jù)（如郵件） 丟失 ? 誤報(bào)率越低越好 ● 漏報(bào) 率（ rate of missing） ? false negative ? 是 檢出率（ rat
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1