網(wǎng)絡(luò)安全07-防火墻-文庫(kù)吧在線文庫(kù)
【正文】 的思想 ? 在 網(wǎng)絡(luò)層 對(duì)數(shù)據(jù)包進(jìn)行選擇 ? 對(duì)于每個(gè)進(jìn)來(lái)的包，適用一組規(guī)則，然后決定轉(zhuǎn)發(fā)或者丟棄該包 ? 判斷依據(jù)有 (只考慮 IP包 )： ? 數(shù)據(jù)包協(xié)議類型： TCP、 UDP、 ICMP、 IGMP等 ? 源、目的 IP地址 ? 源、目的端口： FTP、 HTTP、 DNS等 ? IP選項(xiàng)：源路由、記錄路由等 ? TCP選項(xiàng)： SYN、 ACK、 FIN、 RST等 ? 其它協(xié)議選項(xiàng)： ICMP ECHO、 ICMP ECHO REPLY等 ? 數(shù)據(jù)包流向： in或 out ? 數(shù)據(jù)包流經(jīng)網(wǎng)絡(luò)接口： eth0、 eth1 包過(guò)濾路由器示意圖 網(wǎng)絡(luò)層 鏈路層 物理層 外部網(wǎng)絡(luò) 內(nèi)部網(wǎng)絡(luò) 包過(guò)濾防火墻的特點(diǎn) ? 在 網(wǎng)絡(luò)層 上進(jìn)行監(jiān)測(cè) ? 并沒(méi)有考慮連接狀態(tài)信息 ? 通常在路由器上實(shí)現(xiàn) ? 實(shí)際上是一種網(wǎng)絡(luò)的訪問(wèn)控制機(jī)制 ? 優(yōu)點(diǎn)： ? 實(shí)現(xiàn)簡(jiǎn)單 ? 對(duì)用戶透明 ? 一個(gè)包過(guò)濾路由器即可保護(hù)整個(gè)網(wǎng)絡(luò) ? 缺點(diǎn)： ? 正確制定規(guī)則并不容易 ? 不可能引入認(rèn)證機(jī)制 ? 包過(guò)濾防火墻只通過(guò)簡(jiǎn)單的規(guī)則控制數(shù)據(jù)流的進(jìn)出，沒(méi)考慮高層的上下文信息 過(guò)濾規(guī)則舉例 ?第一條規(guī)則：主機(jī) 口，基于 TCP協(xié)議的數(shù)據(jù)包都允許通過(guò)。 ? 這種防火墻的特點(diǎn)是主機(jī)的路由功能是被禁止的，即主機(jī)在兩個(gè)端口之間直接轉(zhuǎn)發(fā)信息的功能被關(guān)掉。在這一配置中，即使堡壘主機(jī)被入侵者控制，內(nèi)部網(wǎng)仍受到內(nèi)部包過(guò)濾路由器的保護(hù)。堡壘主機(jī)可以充當(dāng) 應(yīng)用層網(wǎng)關(guān)和電路級(jí)網(wǎng)關(guān) 。 組序號(hào) 動(dòng)作 源 IP 目的 IP 源端口 目的端口 協(xié)議類型 1 允許 * * * TCP 2 允許 * 20 * TCP 3 禁止 * 20 1024 TCP 針對(duì)包過(guò)濾防火墻的攻擊 ? IP地址欺騙，例如，假冒內(nèi)部的 IP地址 ? 對(duì)策：在外部接口上禁止內(nèi)部地址 ? 源路由攻擊，即由源指定路由從而旁路安全措施 ? 對(duì)策：禁止這樣的選項(xiàng) ? 小碎片攻擊，利用 IP分片功能把 TCP頭部切分到不同的分片中，以繞過(guò)用戶定義的過(guò)濾規(guī)則 ? 對(duì)策：丟棄分片太小的分片 ? 利用復(fù)雜協(xié)議和管理員的配置失誤進(jìn)入防火墻 ? 例如，利用 ftp協(xié)議對(duì)內(nèi)部進(jìn)行探查 應(yīng)用層網(wǎng)關(guān) ? 應(yīng)用層網(wǎng)關(guān) ? 在 應(yīng)用層 上建立協(xié)議過(guò)濾和轉(zhuǎn)發(fā)功能 ? 針對(duì) 特定的網(wǎng)絡(luò)應(yīng)用服務(wù)協(xié)議 使用指定的數(shù)據(jù) 過(guò)濾邏輯 ，并在過(guò)濾的同時(shí)，對(duì)數(shù)據(jù)包進(jìn)行必要的分析、登記和統(tǒng)計(jì)，形成報(bào)告 ? 特點(diǎn) ? 所有的連接都通過(guò)防火墻，防火墻作為網(wǎng)關(guān) ? 在 應(yīng)用層 上實(shí)現(xiàn)，網(wǎng)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1