網(wǎng)絡(luò)安全第4講防火墻(完整版)
【正文】 脅 n 不能有效地防范數(shù)據(jù)驅(qū)動(dòng)式的攻擊n 當(dāng)使用端 端加密時(shí)，其作用會(huì)受到很大的限制防火墻的姿態(tài)拒絕沒(méi)有特別允許的任何事情允許沒(méi)有特別拒絕的任何事情機(jī)構(gòu)的安全策略防火墻不是獨(dú)立的，是機(jī)構(gòu)總體安全策略的一部分。? 典型情況：安全網(wǎng)絡(luò)為企業(yè)內(nèi)部網(wǎng)絡(luò)，不安全網(wǎng)絡(luò)為因特網(wǎng)。Rich Kosinski(Inter Security公司總裁）：防火墻是一種訪問(wèn)控制技術(shù)，在某個(gè)機(jī)構(gòu)的網(wǎng)絡(luò)和不安全的網(wǎng)絡(luò)之間設(shè)置障礙，阻止對(duì)信息資源的非法訪問(wèn)。如果匹配并且規(guī)則拒絕該數(shù)據(jù)包，那么該數(shù)據(jù)包就會(huì)被丟棄。電路級(jí)代理是在客戶(hù)和服務(wù)器之間不解釋?xiě)?yīng)用協(xié)議即建立回路。網(wǎng)絡(luò)管理員可以完全控制提供那些服務(wù)，因?yàn)闆](méi)有特定服務(wù)的代理就表示該服務(wù)不提供。? 每個(gè)應(yīng)用程序都必須有一個(gè)代理服務(wù)程序來(lái)進(jìn)行安全控制，每一種應(yīng)用升級(jí)時(shí)，一般代理服務(wù)程序也要升級(jí)。全狀態(tài)檢查（ 2）狀態(tài)檢測(cè)的優(yōu)缺點(diǎn)優(yōu)點(diǎn)：n 一旦某個(gè)訪問(wèn)違反安全規(guī)定，就會(huì)拒絕該訪問(wèn)，并報(bào)告有關(guān)狀態(tài)作日志記錄。缺點(diǎn)：雙重宿主主機(jī)是隔開(kāi)內(nèi)外網(wǎng)絡(luò)的唯一屏障，一旦它被入侵，內(nèi)部網(wǎng)絡(luò)便向入侵者敞開(kāi)大門(mén)。安全性更高，雙重保護(hù)：實(shí)現(xiàn)了網(wǎng)絡(luò)層安全（包過(guò)濾）和應(yīng)用層安全（代理服務(wù)）。周邊網(wǎng)絡(luò)的作用：即使堡壘主機(jī)被入侵者控制，它仍可消除對(duì)內(nèi)部網(wǎng)的偵聽(tīng)。n 外部路由器一般與內(nèi)部路由器應(yīng)用相同的規(guī)則。每個(gè)公司的安全策略都可能不同，只要滿(mǎn)足公司目標(biāo)即可?！〉捎诟鞣N系統(tǒng)漏洞層出不窮，網(wǎng)絡(luò)管理員必須隨時(shí)應(yīng)對(duì)各種情況的發(fā)生?！?duì)于大多數(shù)企業(yè)網(wǎng)絡(luò)而言，這是一個(gè)被推薦的方案。在一定的安全水平和用戶(hù)獲得信息的能力之間達(dá)成一種很好的平衡。n 堡壘主機(jī)可被認(rèn)為是應(yīng)用層網(wǎng)關(guān)，可以運(yùn)行各種代理服務(wù)程序。如果路由器被損害，堡壘主機(jī)將被穿過(guò)，整個(gè)網(wǎng)絡(luò)對(duì)侵襲者是開(kāi)放的。一般這種防火墻較簡(jiǎn)單，可能就是簡(jiǎn)單的路由器。雙重宿主主機(jī)至少有兩個(gè)網(wǎng)絡(luò)接口，它位于內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間，這樣的主機(jī)可以充當(dāng)與這些接口相連的網(wǎng)絡(luò)之間的路由器，它能從一個(gè)網(wǎng)絡(luò)接收 IP數(shù)據(jù)包并將之發(fā)往另一網(wǎng)絡(luò)。網(wǎng)關(guān)建立兩個(gè) TCP連接，一個(gè)是在網(wǎng)關(guān)本身和內(nèi)部主機(jī)上的一個(gè) TCP用戶(hù)之間，一個(gè)是在網(wǎng)關(guān)和外部主機(jī)上的一個(gè) TCP用戶(hù)之間。應(yīng)用層代理有能力支持可靠的用戶(hù)認(rèn)證并提供詳細(xì)的注冊(cè)信息。 應(yīng)用級(jí)代理 proxy (1)代理服務(wù)是運(yùn)行在防火墻主機(jī)上的專(zhuān)門(mén)的應(yīng)用程序或者服務(wù)器程序。包過(guò)濾防火墻使得防火墻能夠根據(jù)特定的服務(wù)允許或拒絕流動(dòng)的數(shù)據(jù)，因?yàn)槎鄶?shù)的服務(wù)收聽(tīng)者都在已知的 TCP/UDP端口號(hào)上。? William Cheswick和 Steve Beilovin（ 1994）： 防火墻是放置在兩個(gè)網(wǎng)絡(luò)之間的一組組件，這組組件共同具有下列性質(zhì)：1. 只允許本地安全策略授權(quán)的通信信息通過(guò)2. 雙向通信信息必須通過(guò)防火墻3. 防火墻本身不會(huì)影響信息的流通防火墻概念（ 2）防火墻概念（ 3）簡(jiǎn)單
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1