防火墻ppt課件(編輯修改稿)
2024-11-15 05:52 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 受各種協(xié)議弱點(diǎn)的限制；不能保證底層協(xié)議的安全性。 ? （ 3）兩類防火墻技術(shù)的比較 ? 根據(jù)包過(guò)濾和代理技術(shù)的原理，兩類防火墻技術(shù)對(duì)比見(jiàn)表 。 比 較 包過(guò)濾防火墻 代理防火墻 優(yōu)點(diǎn) ； ，處理速度較快 Proxy應(yīng)用程序，并將數(shù)據(jù)包進(jìn)行安全化處理； 墻，能較好地禁止數(shù)據(jù)驅(qū)動(dòng)式攻擊 缺點(diǎn) ，容易造成配置缺陷，從而產(chǎn)生漏洞； ，而不對(duì)數(shù)據(jù)包進(jìn)行安全化處理，所以允許數(shù)據(jù)包直接穿過(guò)防火墻，無(wú)法禁止數(shù)據(jù)驅(qū)動(dòng)式攻擊； ，處理速度較慢； ，不能確保底層協(xié)議的安全性 表 包過(guò)濾防火墻與代理防火墻的優(yōu)缺點(diǎn)對(duì)比 防火墻的安全標(biāo)準(zhǔn) ? 防火墻是一種用于網(wǎng)絡(luò)安全保護(hù)的專用設(shè)備，其設(shè)計(jì)和使用必須遵照有關(guān)的安全準(zhǔn)則。在國(guó)內(nèi)，防火墻設(shè)備必須符合國(guó)家制定的相關(guān)標(biāo)準(zhǔn)，必須通過(guò)安全部門的安全技術(shù)檢驗(yàn)和相關(guān)認(rèn)證才能有效使用。 ? 1．關(guān)于防火墻的國(guó)家標(biāo)準(zhǔn) ? 2．有關(guān)安全產(chǎn)品檢驗(yàn)和銷售方面的規(guī)定 防火墻設(shè)計(jì)原理 ? 在防火墻安全策略中，應(yīng)包括安全目標(biāo)、防火墻設(shè)備選購(gòu)、配置和設(shè)計(jì)等主要內(nèi)容。 ? 1．防火墻設(shè)備選購(gòu)策略 ? 選購(gòu)防火墻需要考慮防火墻的安全性、高效性、實(shí)用性和可管理性問(wèn)題，同時(shí)，還應(yīng)考慮防火墻設(shè)備的完善性和及時(shí)的售后服務(wù)體系。 ? （ 1）了解防火墻的基本性能 ? 防火墻設(shè)備其基本性能一般應(yīng)包括如下內(nèi)容： ? 1）防火墻能嚴(yán)格執(zhí)行所配置的安全策略，并能靈活改變所需的安全策略。 防火墻的安全策略 ? 2）防火墻除具備基本的鑒別功能外，還應(yīng)支持多種先進(jìn)技術(shù)，如包過(guò)濾技術(shù)、加密技術(shù)、身份識(shí)別與驗(yàn)證、信息的保密性保護(hù)、信息的完整性校驗(yàn)、系統(tǒng)的訪問(wèn)控制機(jī)制和授權(quán)管理等技術(shù)。 ? 3）防火墻過(guò)濾語(yǔ)言應(yīng)該具有靈活性，支持多種過(guò)濾屬性，如源和目的 IP地址、協(xié)議類型、源和目的TCP/UDP端口以及入出接口等。 ? 4）防火墻應(yīng)包含集中化的 SMTP訪問(wèn)能力，以簡(jiǎn)化本地與遠(yuǎn)程系統(tǒng)的 SMTP連接，實(shí)現(xiàn)本地 Email集中處理，還應(yīng)具備集中處理和過(guò)濾拔號(hào)訪問(wèn)的能力。 ? 5）安全操作系統(tǒng)是防火墻設(shè)備的一個(gè)組成部分，當(dāng)使用其他安全工具時(shí)，要保證防火墻主機(jī)的完整性，而且安全操作系統(tǒng)應(yīng)能整體安裝。防火墻及操作系統(tǒng)應(yīng)該可更新，并能用簡(jiǎn)易的方法解決系統(tǒng)故障等。 ? （ 2）制定和理解防火墻的安全政策 ? 選購(gòu)防火墻前，應(yīng)認(rèn)真制定和理解安全政策，要事先考慮把防火墻放在網(wǎng)絡(luò)系統(tǒng)的哪一個(gè)位置上，才能滿足網(wǎng)絡(luò)安全需求，才能確定選購(gòu)防火墻時(shí)所能接受的風(fēng)險(xiǎn)水平。 ? 選購(gòu)防火墻必須是切合實(shí)際，既要考慮滿足整個(gè)網(wǎng)絡(luò)系統(tǒng)的安全要求，又要考慮網(wǎng)絡(luò)安全措施的可行性。無(wú)論如何考慮，最終選購(gòu)的防火墻設(shè)備應(yīng)能將網(wǎng)絡(luò)風(fēng)險(xiǎn)水平降到可接受的程度，而且是以較小的代價(jià)換來(lái)的。 ? （ 3）防火墻的經(jīng)濟(jì)性 ? 關(guān)于經(jīng)濟(jì)性問(wèn)題，除價(jià)格因素外，還應(yīng)考慮管理費(fèi)用、維護(hù)費(fèi)用以及耗材費(fèi)用等因素。 ? 按照購(gòu)買或?qū)崿F(xiàn)防火墻需要的經(jīng)費(fèi)來(lái)度量所提出的解決方案是十分重要的。在滿足安全性、實(shí)用性的基礎(chǔ)上考慮經(jīng)濟(jì)性問(wèn)題是切合實(shí)際的。 ? （ 4）防火墻的完善性和售后服務(wù)體系 ? 防火墻不是一般的網(wǎng)絡(luò)設(shè)備，也不是隨意買賣的產(chǎn)品，因此，必須選購(gòu)經(jīng)國(guó)家安全部門檢測(cè)通過(guò)的設(shè)備 ? 2．配置策略 ? 在制訂防火墻的配置策略時(shí)，首先要根據(jù)安全目標(biāo)要求全面列出策略要點(diǎn)，然后認(rèn)真分析和配置，通常需要考慮： ? （ 1）哪些服務(wù)是允許的、哪些是被禁止的和如何使用服務(wù)； ? （ 2）如何限制和過(guò)濾網(wǎng)絡(luò)安全策略中指定的服務(wù)，才能達(dá)到網(wǎng)絡(luò)安全的目標(biāo)。 ? 另外，防火墻系統(tǒng)環(huán)境配置也是防火墻配置策略中的一個(gè)重要環(huán)節(jié)。 ? 依據(jù)網(wǎng)絡(luò)安全目標(biāo)，防火墻系統(tǒng)環(huán)境配置需要考慮： ? 1）取消危險(xiǎn)的系統(tǒng)調(diào)用； ? 2）限制命令的執(zhí)行權(quán)限； ? 3）取消 IP的轉(zhuǎn)發(fā)功能； ? 4）檢查每個(gè)分組的接口； ? 5）采用復(fù)雜的隨機(jī)連接序號(hào)； ? 6）駐留分組過(guò)濾模塊； ? 7）取消動(dòng)態(tài)路由功能； ? 8）采用多個(gè)安全內(nèi)核等可能導(dǎo)致安全問(wèn)題發(fā)生的內(nèi)容。 ? 3．服務(wù)訪問(wèn)策略 ? 防火墻的一般服務(wù)訪問(wèn)策略是：嚴(yán)格限制或禁止外部用戶對(duì)網(wǎng)絡(luò)的訪問(wèn)，特殊情況下，可通過(guò)強(qiáng)認(rèn)證方式允許外部用戶訪問(wèn)某些內(nèi)部主機(jī)和服務(wù)；嚴(yán)格限制內(nèi)部用戶對(duì)外部網(wǎng)絡(luò)的訪問(wèn)，必要時(shí)，嚴(yán)格控制訪問(wèn)所規(guī)定的外部主機(jī)和服務(wù)。 ? 4．防火墻設(shè)計(jì)策略 ? 通常有三種設(shè)計(jì)策略，第一種：安全策略中明確禁止的服務(wù)一律關(guān)閉，其余服務(wù)全部開(kāi)放；第二種：安全策略中明確允許的服務(wù)一
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1