windows系統(tǒng)安全14防火墻與入侵檢測系統(tǒng)(編輯修改稿)
2025-02-07 15:34 本頁面
【文章內(nèi)容簡介】 ? 處理速度較慢，因?yàn)樗辉试S直接訪問外部網(wǎng)絡(luò) ? 網(wǎng)關(guān)的代理服務(wù)軟件總要隨著應(yīng)用服務(wù)軟件的更新而更新 35 Windows的防火墻： ISA ? ISA具有防火墻和緩存代理的功能。 36 Windows的防火墻： ISA 37 網(wǎng)絡(luò)地址轉(zhuǎn)換 ? 防火墻的網(wǎng)絡(luò)地址轉(zhuǎn)換功能是指將內(nèi)部主機(jī)的 IP地址轉(zhuǎn)換為某一固定或者某范圍內(nèi)的某個(gè) IP地址 ， 而使從網(wǎng)絡(luò)外部無法探測到它們 。 ? 網(wǎng)絡(luò)地址轉(zhuǎn)換 （ NAT ， Network Address Translation） ， 有時(shí)也稱為 IP偽裝 。 38 39 NAT類型 ? 靜態(tài) NAT（ Static NAT） ? 動態(tài)地址 NAT（ Dynamic NAT） ? 端 口 轉(zhuǎn) 換 NAPT （ Network Address Port Translation） 40 靜態(tài) NAT ? 把內(nèi)部網(wǎng)絡(luò)中的每個(gè)主機(jī)都永久映射成外部網(wǎng)絡(luò)中的某個(gè)合法的地址 41 動態(tài) NAT ? 在外部網(wǎng)絡(luò)中定義了一系列的合法地址 ，采用動態(tài)分配的方法映射到內(nèi)部網(wǎng)絡(luò) 42 端口轉(zhuǎn)換 NAT ? 把內(nèi)部地址映射到外部網(wǎng)絡(luò)的一個(gè) IP地址的不同端口上 43 防火墻分類（按實(shí)現(xiàn)技術(shù)） ? 數(shù)據(jù)包過濾 防火墻（ 20世紀(jì) 80年代） ? 應(yīng)用級網(wǎng)關(guān)防火墻 ? 狀態(tài)檢測防火墻（ 20世紀(jì) 90年代） 44 狀態(tài)監(jiān)測防火墻 （ 20世紀(jì) 90年代） ? 狀態(tài)監(jiān)測防火墻具有非常好的安全特性，它使用一個(gè)在網(wǎng)關(guān)上執(zhí)行網(wǎng)絡(luò)安全策略的軟件模塊，稱為 “ 監(jiān)測引擎 ” 。監(jiān)測引擎在不影響網(wǎng)絡(luò)正常運(yùn)行的前提下，監(jiān)測網(wǎng)絡(luò)通信的各層并在通信各層抽取有關(guān)數(shù)所生成狀態(tài)信息，并動態(tài)地保存以供后續(xù)執(zhí)行安全策略的參考。 ? 使用狀態(tài)監(jiān)測的一個(gè)優(yōu)點(diǎn)是，雖然在網(wǎng)絡(luò)層接收數(shù)據(jù)包以提高效率，但防火墻依舊檢查通信各層的數(shù)據(jù)，并根據(jù)生成的通信狀態(tài)，應(yīng)用狀態(tài)和上下文信息等結(jié)合網(wǎng)絡(luò)安全策略對數(shù)據(jù)包作出接收，拒絕，身份認(rèn)證，報(bào)警或通信加密等動作。它的另一個(gè)優(yōu)點(diǎn)是它可以監(jiān)測無連接協(xié)議（如 RPC，某些基于 UDP的應(yīng)用），而包過濾防火墻和應(yīng)用代理防火墻都不具備這種功能。它的缺點(diǎn)是降低網(wǎng)絡(luò)速度，且配置比較復(fù)雜。 45 46 防火墻技術(shù) 1. 防火墻基本概念 2 防火墻分類（按實(shí)現(xiàn)技術(shù)） 3 .防火墻的體系結(jié)構(gòu) 4. 防火墻的實(shí)施 47 防火墻體系結(jié)構(gòu) ? 防火墻的體系結(jié)構(gòu)一般有 ? 雙宿主主機(jī)體系結(jié)構(gòu)； ? 屏蔽主機(jī)體系結(jié)構(gòu)； ? 屏蔽子網(wǎng)體系結(jié)構(gòu) 。 48 雙重宿主主機(jī)體系結(jié)構(gòu) 雙重宿主主機(jī)的防火墻體系結(jié)構(gòu)是相當(dāng)簡單的 ， 雙重宿主主機(jī)位于兩者之間 ， 并且被連接到因特網(wǎng)和內(nèi)部的網(wǎng)絡(luò) 。 右圖顯示這種體系結(jié)構(gòu) 。 49 雙重宿主主機(jī)體系結(jié)構(gòu) 雙宿主機(jī)是連接內(nèi)外網(wǎng)絡(luò)的通道，因此它本應(yīng)具有路由功能。而在實(shí)際應(yīng)用中，雙宿主機(jī)路由功能是被禁止的。 50 屏蔽主機(jī)體系結(jié)構(gòu) 在此結(jié)構(gòu)中提供安全保護(hù)的主機(jī)僅僅與內(nèi)部網(wǎng)相連。另外，結(jié)構(gòu)中還有一臺單獨(dú)的路由器（過濾路由器）。在這種體系結(jié)構(gòu)中，堡壘主機(jī)即可提供包過濾功能，也可提供代理功能，其結(jié)構(gòu)如左圖所示。 51 內(nèi)外網(wǎng)絡(luò)之間的所有通信都必須通過堡壘主機(jī) ? 主要優(yōu)點(diǎn)： 相對于雙宿主機(jī)體系結(jié)構(gòu)，堡壘主機(jī)不直接與外部網(wǎng)絡(luò)連接，減小了被攻擊的可能性。路由器的同時(shí)存在，減輕了堡壘主機(jī)的負(fù)擔(dān) ? 缺點(diǎn)： 一旦堡壘主機(jī)遭到攻擊，內(nèi)部網(wǎng)絡(luò)助于不安全的狀態(tài) 52 屏蔽子網(wǎng)模型 ? 屏蔽子網(wǎng)模型用了兩個(gè)包過濾路由器和一個(gè)堡壘主機(jī)。它是最安全的防火墻系統(tǒng)之一，它支持網(wǎng)絡(luò)層和應(yīng)用層安全功能。網(wǎng)絡(luò)管理員將堡壘主機(jī)、信息服務(wù)器、 Modem組，以及其它公用服務(wù)器放在非軍事區(qū)網(wǎng)絡(luò)中。如果黑客想突破該防火墻那么必須攻破以上三個(gè)單獨(dú)的設(shè)備。 防火墻 53 屏蔽子網(wǎng)體系結(jié)構(gòu) ? 內(nèi)部路由器 ? 內(nèi)部路由器有時(shí)被稱為阻塞路由器 ， 它保護(hù)內(nèi)部的網(wǎng)絡(luò)使之免受 Inter和周邊網(wǎng)的侵犯 。 ? 內(nèi)部路由器為用戶的防火墻執(zhí)行大部分的數(shù)據(jù)包過濾工作 。 它允許從內(nèi)部網(wǎng)到 Inter的有選擇的出站服務(wù) 。 ? 外部路由器 ? 外部路由器能有效地執(zhí)行的安全任務(wù)之一是：阻止從 Inter上偽造源地址進(jìn)來的任何數(shù)據(jù)包 。這樣的數(shù)據(jù)包自稱來自內(nèi)部的網(wǎng)絡(luò) ， 但實(shí)際上是來自 Inter。 54 實(shí)施方法 ? 1 基于網(wǎng)絡(luò)主機(jī)的防火墻 ? 一種是作為現(xiàn)有的商業(yè)操作系統(tǒng)上的應(yīng)用程序 ? 另外一種是整合成操作系統(tǒng)的一部分 ? 2 基于路由器的防火墻 ? 一般他們可以起到阻止和允許特定的 IP地址和端口號的基本防火墻功能 ? 使用 NAT來
試題試卷相關(guān)推薦
鄂ICP備17016276號-1