網(wǎng)管與安全ppt課件(編輯修改稿)
2025-02-15 23:57 本頁面
【文章內(nèi)容簡介】 ? 常用的應用級防火墻有相應的代理服務器 ，應用級網(wǎng)關(guān)有較好的訪問控制 ， 但實現(xiàn)困難 ， 而且有的應用級網(wǎng)關(guān)缺乏 “ 透明度 ” 應用級網(wǎng)關(guān) ? 應用層網(wǎng)關(guān)防火墻和數(shù)據(jù)包過濾有一個共同的特點 ， 就是它們僅僅依靠特定的邏輯來判斷是否允許數(shù)據(jù)包通過 。 一旦符合條件 ， 防火墻內(nèi)外的計算機系統(tǒng)便可以建立直接聯(lián)系 ， 外部的用戶便有可能直接了解到防火墻內(nèi)部的網(wǎng)絡結(jié)構(gòu)和運行狀態(tài) ， 這大大增加了非法訪問和攻擊的機會 。 代理服務 ? 應用代理服務技術(shù)能夠?qū)⑺锌缭椒阑饓Φ木W(wǎng)絡通信鏈路分為兩段 。 ? 防火墻內(nèi)外計算機系統(tǒng)間應用層的連接是由兩個代理服務器之間的連接來實現(xiàn) ， 外部計算機的網(wǎng)絡鏈路只能到達代理服務器 ， 從而起到隔離防火墻內(nèi)外計算機系統(tǒng)的作用 。 ? 另外 ， 代理服務器也對過往的數(shù)據(jù)包進行分析 、 記錄 、 形成報告 ， 當發(fā)現(xiàn)攻擊跡象時會向網(wǎng)絡管理員發(fā)出警告 ， 并保留攻擊痕跡 。 代理服務 ? 應用代理服務器對客戶端的請求行使 “ 代理 ”職責 。 客戶端連接到防火墻并發(fā)出請求 ， 然后防火墻連接到服務器 ，并代表這個客戶端重復這個請求 。 返回時數(shù)據(jù)發(fā)送到代理服務器 ， 然后再傳送給用戶 ， 從而確保內(nèi)部 IP地址和口令不在 Inter上出現(xiàn) 。 代理服務 ? 代理技術(shù)與包過濾技術(shù)完全不同 ， 包過濾技術(shù)是在網(wǎng)絡層攔截所有的信息流 ， 代理技術(shù)是針對每一個特定應用都有一個程序 。 ? 根據(jù)其處理協(xié)議的不同 ， 可分為 FTP網(wǎng)關(guān)型 、 WWW網(wǎng)關(guān)型 、 Tel網(wǎng)關(guān)型等防火墻 ， 其優(yōu)點在于既能進行安全控制 ， 又可加速訪問 ， 但實現(xiàn)起來比較困難 ， 對于每一種服務協(xié)議必須設計一個代理軟件模式 ， 以進行安全控制 。 代理服務 應用層代理主要的優(yōu)點： ? 支持用戶認證并提供詳細的注冊信息； ? 過濾規(guī)則相對于包過濾路由器更容易配置和測試； ? 可提供詳細的日志和安全審計功能； ? 可以隱藏內(nèi)部網(wǎng)的 IP地址以保護內(nèi)部主機不受外部主機的進攻； ? 內(nèi)部網(wǎng)中的所有主機通過代理可以訪問 Inter。 應用層代理也有明顯的缺點： ? 應用層實現(xiàn)的防火墻會造成執(zhí)行速度慢 ， 其性能明顯下降； ? 每個應用程序都必須有一個代理服務程序來進行安全控制 ， 并隨應用升級面升級 。 其適應性和連接性都是有限的 。 狀態(tài)檢測 ? 狀態(tài)檢測是對包過濾功能的擴展 。 ? 傳統(tǒng)的包過濾在用動態(tài)端口的協(xié)議時 ， 事先無法知道哪些端口需要打開 ， 就會將所有可能用到的端口打開 ， 而這會給安全帶來不必要的隱患 。 ? 狀態(tài)檢測將通過檢查應用程序信息來判斷此端口是否需要臨時打開 ， 并當傳輸結(jié)束時 ，端口馬上恢復為關(guān)閉狀態(tài) 。 狀態(tài)檢測 ? 狀態(tài)檢測防火墻克服了包過濾防火墻和應用代理服務器的局限性 ， 不要求每個被訪問的應用都有代理 。 ? 狀態(tài)檢測模塊能夠理解并學習各種協(xié)議和應用 ，以支持各種最新的應用服務 。 ? 狀態(tài)檢測模塊截獲 、 分析并處理所有試圖通過防火墻的數(shù)據(jù)包 ， 保證網(wǎng)絡的高度安全和數(shù)據(jù)完整 。 ? 網(wǎng)絡和各種應用的通信狀態(tài)動態(tài)存儲 、 更新到動態(tài)狀態(tài)表中 ， 結(jié)合預定義好的規(guī)則 ， 實現(xiàn)安全策略 。 ? 狀態(tài)檢測是檢查 OSI七層模型的所有層 ， 以決定是否過濾 ， 而不僅僅是對網(wǎng)絡層檢測 。 防火墻體系結(jié)構(gòu)及其應用 防火墻體系結(jié)構(gòu)通常分為四類： l 屏蔽路由器 （ Screening Router） l 屏蔽主機網(wǎng)關(guān) (Screened Host Gateway) l 雙穴主機網(wǎng)關(guān) (DualHomed Gateway) l 屏蔽子網(wǎng) (Screened Sub) ? 屏蔽路由器就是實施過濾的路由器 ? 包過濾路由器在網(wǎng)絡之間完成數(shù)據(jù)包轉(zhuǎn)發(fā)的普通路由功能 ， 并利用包過濾規(guī)則來允許或拒絕數(shù)據(jù)包 。 ? 通常過濾規(guī)則定義為：內(nèi)部網(wǎng)絡上的主機可以直接訪問 Inter ，Inter上的主機對內(nèi)部網(wǎng)絡上的主機進行訪問是有限制的 ， 即沒有特別允許的數(shù)據(jù)包都拒絕 。 INTERNET 包過濾路由器 內(nèi)部網(wǎng)絡 屏蔽路由器 ? 優(yōu)點是價格低且易于使用 ， ? 缺點 1. 需要掌握 TCP/IP知識才能創(chuàng)建相應的過濾規(guī)則 ，若有配置錯誤將會導致不期望的流量通過或拒絕一些應接受的流量 。 2. 包過濾路由器不隱藏內(nèi)部網(wǎng)絡的配置 ， 任何允許訪問屏蔽路由器的用戶都可看到網(wǎng)絡的布局和結(jié)構(gòu) 。 3. 其監(jiān)視和日志功能較弱 ， 通常也沒有警報的功能 。 這就意味著網(wǎng)絡管理員要不斷地檢查網(wǎng)絡以確定其是否受到攻擊 。 防火墻一旦被攻陷后很難發(fā)現(xiàn)攻擊者 。 屏蔽主機網(wǎng)關(guān) ? 防火墻系統(tǒng)采用了包過濾路由器和堡壘主機組成的防火墻 。 ? 提供的安全等級
教學課件相關(guān)推薦
鄂ICP備17016276號-1