【正文】 遭黑客襲擊的有效手段，但防火墻并不是萬能的，自身存在缺陷，使它無法避免某些安全風(fēng)險，而且層出不窮的攻擊技術(shù)又令防火墻防不勝防。（policy control level）現(xiàn)在引入策略控制層的概念，正是它在防火墻路由器中設(shè)置過濾器，以對客戶的請求進(jìn)行認(rèn)證和權(quán)限校驗，策略控制層由認(rèn)證功能和權(quán)限校驗功能兩部分組成。防火墻的結(jié)構(gòu)模型可劃分為策略(policy)和控制(control)兩部分，前者是指是否賦予服務(wù)請求著相應(yīng)的訪問權(quán)限，后者對授權(quán)訪問著的資源存取進(jìn)行控制。當(dāng)人類步入21世紀(jì)這一信息和網(wǎng)絡(luò)社會的時候，我國將建立起一套完善的網(wǎng)絡(luò)安全體系，特別是從政策和法律上建立起有中國特色的網(wǎng)絡(luò)安全體系。保障計算機(jī)系統(tǒng)的安全，尤其在當(dāng)今網(wǎng)絡(luò)互連的環(huán)境中，網(wǎng)絡(luò)安全體系結(jié)構(gòu)的考查和選擇顯得尤為重要。隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，網(wǎng)絡(luò)安全也就成為當(dāng)今網(wǎng)絡(luò)社會的焦點中的焦點，幾乎沒有人不在談?wù)摼W(wǎng)絡(luò)上的安全問題，病毒、黑客程序、郵件炸彈、遠(yuǎn)程偵聽等這一切都無不讓人膽戰(zhàn)心驚。（IP layer firewall）網(wǎng)絡(luò)層防火墻的基本模型為一個多端口的IP層路由器，它對每個IP數(shù)據(jù)報都運用一系列規(guī)則進(jìn)行匹配運算[3]，借以判斷該數(shù)據(jù)報是否被前傳或丟棄，也就是利用數(shù)據(jù)包頭所提供的信息，IP數(shù)據(jù)報進(jìn)行過濾(filter)處理。Z1隨之進(jìn)行相應(yīng)的校驗操作，若校驗結(jié)果正確，權(quán)限校驗服務(wù)器Z1知會防火墻F1允許該分組通過。（4） 屏蔽子網(wǎng)結(jié)構(gòu)：這種防火墻是雙穴主機(jī)和被屏蔽主機(jī)的變形。所謂IP欺騙，無非就是偽造他人的源IP地址。（3）代理型代理型防火墻也可以被稱為代理服務(wù)器，它的安全性要高于包過濾型產(chǎn)品，并已經(jīng)開始向應(yīng)用層發(fā)展。即使安裝好了防火墻，如果沒有實際的外部入侵，也無法得知產(chǎn)品性能的優(yōu)劣。計算機(jī)安全應(yīng)從三個方面加以衡量，即保密性，完整性和可靠性。防火墻雖然為系統(tǒng)提供了目前可用最好的安全防護(hù)，但由于自身所需的設(shè)施和策略，使系統(tǒng)的互連性和可用性受到影響。3加密技術(shù)與防火墻配合使用的安全技術(shù)還有數(shù)據(jù)加密技術(shù)，是為提高信息系統(tǒng)及數(shù)據(jù)的安全性和保密性，防止秘密數(shù)據(jù)被外部破析所采用的主要技術(shù)手段之一[8]。從客戶機(jī)來看，代理服務(wù)器相當(dāng)于一臺真正的服務(wù)器；而從服務(wù)器來看，代理服務(wù)器又是一臺真正的客戶機(jī)。IP欺騙技術(shù)只能實現(xiàn)對某些特定的運行Free TCP/IP[5]進(jìn)行攻擊。目前使用較多的，是在路由器上采用分組過濾技術(shù)提供安全保證，對其他方面的技術(shù)尚缺乏深入了解。 ________________________________________________________ | C | A1 | Z1 | F1 | F2 | S ________________________________________________________ | sendpkt | | | | | | to S Intercept | | | | | requires | | | | | |authentication | | | | | | |authenticate | | | | |C to A1 | | | | |Provide | | | | | ticket | | | |Request | | | | | |Authorization | | | | | is C | | | | | | Alowed | | | | | | OK | | |Resend | | |Set filter | | |first pkt