網(wǎng)管與安全ppt課件(編輯修改稿)
2025-02-15 23:57 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 ? 常用的應(yīng)用級(jí)防火墻有相應(yīng)的代理服務(wù)器 ，應(yīng)用級(jí)網(wǎng)關(guān)有較好的訪問(wèn)控制 ， 但實(shí)現(xiàn)困難 ， 而且有的應(yīng)用級(jí)網(wǎng)關(guān)缺乏 “ 透明度 ” 應(yīng)用級(jí)網(wǎng)關(guān) ? 應(yīng)用層網(wǎng)關(guān)防火墻和數(shù)據(jù)包過(guò)濾有一個(gè)共同的特點(diǎn) ， 就是它們僅僅依靠特定的邏輯來(lái)判斷是否允許數(shù)據(jù)包通過(guò) 。 一旦符合條件 ， 防火墻內(nèi)外的計(jì)算機(jī)系統(tǒng)便可以建立直接聯(lián)系 ， 外部的用戶(hù)便有可能直接了解到防火墻內(nèi)部的網(wǎng)絡(luò)結(jié)構(gòu)和運(yùn)行狀態(tài) ， 這大大增加了非法訪問(wèn)和攻擊的機(jī)會(huì) 。 代理服務(wù) ? 應(yīng)用代理服務(wù)技術(shù)能夠?qū)⑺锌缭椒阑饓Φ木W(wǎng)絡(luò)通信鏈路分為兩段 。 ? 防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)間應(yīng)用層的連接是由兩個(gè)代理服務(wù)器之間的連接來(lái)實(shí)現(xiàn) ， 外部計(jì)算機(jī)的網(wǎng)絡(luò)鏈路只能到達(dá)代理服務(wù)器 ， 從而起到隔離防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)的作用 。 ? 另外 ， 代理服務(wù)器也對(duì)過(guò)往的數(shù)據(jù)包進(jìn)行分析 、 記錄 、 形成報(bào)告 ， 當(dāng)發(fā)現(xiàn)攻擊跡象時(shí)會(huì)向網(wǎng)絡(luò)管理員發(fā)出警告 ， 并保留攻擊痕跡 。 代理服務(wù) ? 應(yīng)用代理服務(wù)器對(duì)客戶(hù)端的請(qǐng)求行使 “ 代理 ”職責(zé) 。 客戶(hù)端連接到防火墻并發(fā)出請(qǐng)求 ， 然后防火墻連接到服務(wù)器 ，并代表這個(gè)客戶(hù)端重復(fù)這個(gè)請(qǐng)求 。 返回時(shí)數(shù)據(jù)發(fā)送到代理服務(wù)器 ， 然后再傳送給用戶(hù) ， 從而確保內(nèi)部 IP地址和口令不在 Inter上出現(xiàn) 。 代理服務(wù) ? 代理技術(shù)與包過(guò)濾技術(shù)完全不同 ， 包過(guò)濾技術(shù)是在網(wǎng)絡(luò)層攔截所有的信息流 ， 代理技術(shù)是針對(duì)每一個(gè)特定應(yīng)用都有一個(gè)程序 。 ? 根據(jù)其處理協(xié)議的不同 ， 可分為 FTP網(wǎng)關(guān)型 、 WWW網(wǎng)關(guān)型 、 Tel網(wǎng)關(guān)型等防火墻 ， 其優(yōu)點(diǎn)在于既能進(jìn)行安全控制 ， 又可加速訪問(wèn) ， 但實(shí)現(xiàn)起來(lái)比較困難 ， 對(duì)于每一種服務(wù)協(xié)議必須設(shè)計(jì)一個(gè)代理軟件模式 ， 以進(jìn)行安全控制 。 代理服務(wù) 應(yīng)用層代理主要的優(yōu)點(diǎn)： ? 支持用戶(hù)認(rèn)證并提供詳細(xì)的注冊(cè)信息； ? 過(guò)濾規(guī)則相對(duì)于包過(guò)濾路由器更容易配置和測(cè)試； ? 可提供詳細(xì)的日志和安全審計(jì)功能； ? 可以隱藏內(nèi)部網(wǎng)的 IP地址以保護(hù)內(nèi)部主機(jī)不受外部主機(jī)的進(jìn)攻； ? 內(nèi)部網(wǎng)中的所有主機(jī)通過(guò)代理可以訪問(wèn) Inter。 應(yīng)用層代理也有明顯的缺點(diǎn)： ? 應(yīng)用層實(shí)現(xiàn)的防火墻會(huì)造成執(zhí)行速度慢 ， 其性能明顯下降； ? 每個(gè)應(yīng)用程序都必須有一個(gè)代理服務(wù)程序來(lái)進(jìn)行安全控制 ， 并隨應(yīng)用升級(jí)面升級(jí) 。 其適應(yīng)性和連接性都是有限的 。 狀態(tài)檢測(cè) ? 狀態(tài)檢測(cè)是對(duì)包過(guò)濾功能的擴(kuò)展 。 ? 傳統(tǒng)的包過(guò)濾在用動(dòng)態(tài)端口的協(xié)議時(shí) ， 事先無(wú)法知道哪些端口需要打開(kāi) ， 就會(huì)將所有可能用到的端口打開(kāi) ， 而這會(huì)給安全帶來(lái)不必要的隱患 。 ? 狀態(tài)檢測(cè)將通過(guò)檢查應(yīng)用程序信息來(lái)判斷此端口是否需要臨時(shí)打開(kāi) ， 并當(dāng)傳輸結(jié)束時(shí) ，端口馬上恢復(fù)為關(guān)閉狀態(tài) 。 狀態(tài)檢測(cè) ? 狀態(tài)檢測(cè)防火墻克服了包過(guò)濾防火墻和應(yīng)用代理服務(wù)器的局限性 ， 不要求每個(gè)被訪問(wèn)的應(yīng)用都有代理 。 ? 狀態(tài)檢測(cè)模塊能夠理解并學(xué)習(xí)各種協(xié)議和應(yīng)用 ，以支持各種最新的應(yīng)用服務(wù) 。 ? 狀態(tài)檢測(cè)模塊截獲 、 分析并處理所有試圖通過(guò)防火墻的數(shù)據(jù)包 ， 保證網(wǎng)絡(luò)的高度安全和數(shù)據(jù)完整 。 ? 網(wǎng)絡(luò)和各種應(yīng)用的通信狀態(tài)動(dòng)態(tài)存儲(chǔ) 、 更新到動(dòng)態(tài)狀態(tài)表中 ， 結(jié)合預(yù)定義好的規(guī)則 ， 實(shí)現(xiàn)安全策略 。 ? 狀態(tài)檢測(cè)是檢查 OSI七層模型的所有層 ， 以決定是否過(guò)濾 ， 而不僅僅是對(duì)網(wǎng)絡(luò)層檢測(cè) 。 防火墻體系結(jié)構(gòu)及其應(yīng)用 防火墻體系結(jié)構(gòu)通常分為四類(lèi)： l 屏蔽路由器 （ Screening Router） l 屏蔽主機(jī)網(wǎng)關(guān) (Screened Host Gateway) l 雙穴主機(jī)網(wǎng)關(guān) (DualHomed Gateway) l 屏蔽子網(wǎng) (Screened Sub) ? 屏蔽路由器就是實(shí)施過(guò)濾的路由器 ? 包過(guò)濾路由器在網(wǎng)絡(luò)之間完成數(shù)據(jù)包轉(zhuǎn)發(fā)的普通路由功能 ， 并利用包過(guò)濾規(guī)則來(lái)允許或拒絕數(shù)據(jù)包 。 ? 通常過(guò)濾規(guī)則定義為：內(nèi)部網(wǎng)絡(luò)上的主機(jī)可以直接訪問(wèn) Inter ，Inter上的主機(jī)對(duì)內(nèi)部網(wǎng)絡(luò)上的主機(jī)進(jìn)行訪問(wèn)是有限制的 ， 即沒(méi)有特別允許的數(shù)據(jù)包都拒絕 。 INTERNET 包過(guò)濾路由器 內(nèi)部網(wǎng)絡(luò) 屏蔽路由器 ? 優(yōu)點(diǎn)是價(jià)格低且易于使用 ， ? 缺點(diǎn) 1. 需要掌握 TCP/IP知識(shí)才能創(chuàng)建相應(yīng)的過(guò)濾規(guī)則 ，若有配置錯(cuò)誤將會(huì)導(dǎo)致不期望的流量通過(guò)或拒絕一些應(yīng)接受的流量 。 2. 包過(guò)濾路由器不隱藏內(nèi)部網(wǎng)絡(luò)的配置 ， 任何允許訪問(wèn)屏蔽路由器的用戶(hù)都可看到網(wǎng)絡(luò)的布局和結(jié)構(gòu) 。 3. 其監(jiān)視和日志功能較弱 ， 通常也沒(méi)有警報(bào)的功能 。 這就意味著網(wǎng)絡(luò)管理員要不斷地檢查網(wǎng)絡(luò)以確定其是否受到攻擊 。 防火墻一旦被攻陷后很難發(fā)現(xiàn)攻擊者 。 屏蔽主機(jī)網(wǎng)關(guān) ? 防火墻系統(tǒng)采用了包過(guò)濾路由器和堡壘主機(jī)組成的防火墻 。 ? 提供的安全等級(jí)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1