【文章內(nèi)容簡介】 和應(yīng)用層加強防范。 三、防火墻概述 （一）、防火墻定義 防火墻是指設(shè)置在不同網(wǎng)絡(luò) （如可信任的企業(yè)內(nèi)部網(wǎng)和不可信的公共網(wǎng)）或網(wǎng)絡(luò)安全域之間的一系列部件的組合。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，能根據(jù)企業(yè)的安全政策控制（允許、拒絕、監(jiān)測）出入網(wǎng)絡(luò)的信息流，且本身具有較強的抗攻擊能力。它是提供信息安全服務(wù)，實現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。 在邏輯上，防火墻是一個分離器，一個限制器，也是一個分析器，有效地監(jiān)控了內(nèi)部網(wǎng)和 Inter 之間的任何活動，保證了內(nèi)部網(wǎng)絡(luò)的安全。一般是一個由軟件或和硬件設(shè)備組合而成，處于企 業(yè)或網(wǎng)絡(luò)群體計算機與外界通道 (Inter)之間，限制外界用戶對 內(nèi)部網(wǎng)絡(luò)訪問及管理內(nèi)部用戶訪問外界網(wǎng)絡(luò)的 6 權(quán)限。 首先大概說一下防火墻的分類。就防火墻（本文的防火墻都指商業(yè)用途的網(wǎng)絡(luò)版防火墻，非個人使用的那種）的組成結(jié)構(gòu)而言，可分為以下三種： 第一種：軟件防火墻 軟件防火墻運行于特定的計算機上，它需要客戶預(yù)先安裝好的計算機操作系統(tǒng)的支持，一般來說這臺計算機就是整個網(wǎng)絡(luò)的網(wǎng)關(guān)。軟件防火墻就象其它的軟件產(chǎn)品一樣需要先在計算機上安裝并做好配置才可以使用。防火墻廠商中做網(wǎng)絡(luò)版軟件防火墻最出名的莫過于Checkpoint。使用這類防火墻，需要網(wǎng)管對所工作的 操作系統(tǒng)平臺比較熟悉。 第二種：硬件防火墻 硬件防火墻只是監(jiān)測所有通過的包是否是合法的結(jié)構(gòu)，然后與 IDS（入侵檢測系統(tǒng)）規(guī)則做校對，過濾掉規(guī)則所定義的包。如果是利用系統(tǒng)漏洞進入系統(tǒng)修改頁面的話，防火墻肯定是防不住的。 第三種：芯片級防火墻 它們基于專門的硬件平臺，沒有操作系統(tǒng)。專有的 ASIC 芯片促使它們比其他種類的防火墻速度更快，處理能力更強，性能更高。做這類防火墻最出名的廠商莫過于 NetScreen.其他的品牌還有 FortiNet,算是后起之秀了。這類防火墻由于是專用 OS,因此防火墻本身的漏洞比較少 ，不過價格相對比較高昂，所以一般只有在 “ 確實需要 ” 的情況下才考慮。 軟件防火墻、硬件防火墻和芯片級防火墻優(yōu)缺點： 軟件防火墻的安裝較復(fù)雜，安全性高，性能依賴硬件平臺，管理簡單，維護費用低，擴展性高，配置靈活性高，價格低。而硬件防火墻安裝簡單，安全性較高，性能高，管理較復(fù)雜，維護費用高，擴展性低，配置靈活性低，價格高。最后芯片級防火墻安裝簡單，安全性高，性能高，管理簡單，維護費用低，擴展性高，配置靈活性高，價格較低。 （二）、防火墻的發(fā)展史 防火墻的發(fā)展過程大致分為 5 代，即： 第 1 代防火墻。第 1 代防火墻技術(shù)幾乎與路由器同時出現(xiàn)，采用包過濾技術(shù)（ packet filter）技術(shù) 第 3 代防火墻。 1989 年，貝爾實驗室的 Dave Presotto 和 Howard Trickey 推出了第 2代防火墻，即電路層防火墻，同時提出了第 3 代防火墻 應(yīng)用層防火墻（代理防火墻）的初步結(jié)構(gòu)。 第 4 代防火墻。 1992 年， USC 信息科學(xué)院的 BobBraden 開發(fā)出了基于動態(tài)包過 （ Dynamic packet Filter）技術(shù)的第 4 代防火墻，后來演變?yōu)槟壳八f的狀態(tài)監(jiān)視（ Stateful Inspection）技術(shù)。 1994 年，以色列 Checkpoint 公司開發(fā)出了第一個基于這種技術(shù)的商業(yè)化產(chǎn)品。 第 5 代防火墻。 1998 年， NAI 公司推出了一種自適應(yīng)代理（ Adaptive proxy）技術(shù)， 7 在其產(chǎn)品 Gauntlet Firewall for NT 中得以實現(xiàn)，給代量類型的防火墻賦予了全新意義，稱之為第 5 代防火墻。 從技術(shù)角度來看，防火墻是作為一種連接內(nèi)部網(wǎng)絡(luò)和公眾網(wǎng)的網(wǎng)關(guān)，提供對進入內(nèi)部網(wǎng)絡(luò)連接的訪問控制能力。它能根據(jù)預(yù)先定義的安全策略，允許合法連接進入內(nèi)部網(wǎng)，阻止非法連接。防火墻的基本功能包括：訪問控制、數(shù)據(jù) 過濾、身份驗證、告警、日志和審計。 （三）、防火墻各階段的特點 防火墻技術(shù)經(jīng)歷了以下階段： 包過濾防火墻（ Pack Filter Firewall） 這是最早的防火墻技術(shù)，它根據(jù)數(shù)據(jù)包頭信息和過濾規(guī)則阻止或允許數(shù)據(jù)包通過防火墻。當(dāng)數(shù)據(jù)包到達防火墻時，防火墻檢查數(shù)據(jù)包包頭的源地址、目的地址、源端口、目的端口及其協(xié)議類型。若是可信連接，就允許通過；否則丟失數(shù)據(jù)包。但它有自身的弱點，因此它一般用于對安全性要求不高、要求高速處理數(shù)據(jù)的網(wǎng)絡(luò)路由器上。它的優(yōu)點和缺點分別是： ① 優(yōu)點 高速度、用戶透明、若過濾規(guī)則簡單、 則容易配置。 ② 缺點 低安全性、過濾規(guī)則復(fù)雜，難以配置，且其完備性難以得到檢驗、不能檢查應(yīng)用層數(shù)據(jù)、沒有用戶和應(yīng)用驗證。 應(yīng)用代理防火墻（ Application Proxy Filewall） 應(yīng)用代理防火墻檢查數(shù)據(jù)包的應(yīng)用數(shù)據(jù)，并且保持完整的連接狀態(tài)，它能夠分析不同協(xié)議的完整命令集，根據(jù)安全規(guī)則禁止或允許某些特殊的協(xié)議命令；還具有其他類似于 UPL過濾、數(shù)據(jù)修改、用戶驗證、日志等功能。 應(yīng)用代理防火墻包含 3 個模塊；代理服務(wù)器、代量客戶和協(xié)議分析模塊。這種防火墻在通信中執(zhí)行二傳手的角色，能很好地從 Inter 中隔離出受信網(wǎng)絡(luò)，不允許受信網(wǎng)絡(luò)和不受信網(wǎng)絡(luò)之間的直接通信，獲得很高的安全性。但是由于所有的數(shù)據(jù)包都要經(jīng)過防火墻 TCP/IP協(xié)議棧并返回，因此處理速度較慢，其優(yōu)點和缺點分別是： ① 優(yōu)點 較高的安全性、要檢查應(yīng)用層數(shù)據(jù)、具有完整的用戶和應(yīng)用驗證、有效隔離內(nèi)外網(wǎng)的直接通信。 ② 缺點 速度慢、不能檢測未攻擊。 入侵狀態(tài)檢測防火墻（ Stateful Inspection Firewall） 也叫自適應(yīng)防火墻，或動態(tài)包過濾防火墻， Check point 公司的 Filewall1 就是基于這種技術(shù)的。它根據(jù)過去的通 信信息和其他應(yīng)用程序獲得的狀態(tài)信息動態(tài)生成過濾規(guī)則，根據(jù)新生成的過濾規(guī)則過濾新的通信。當(dāng)新的通信結(jié)束是，新生成的過濾規(guī)則將自動從規(guī)則表中刪 8 除。這種類型防火墻的主要優(yōu)缺點分別是： ① 優(yōu)點 高速度、保存數(shù)據(jù)包的狀態(tài)信息，提高了安全性 ② 缺點 不能完全檢查應(yīng)用層數(shù)據(jù)、不能檢測未知攻擊 自適應(yīng)代理防火墻（ Adaptive Proxy Filrwall） 這種防火墻整合了動態(tài)包過濾防火墻和應(yīng)用代理技術(shù)，本質(zhì)上是狀態(tài)檢測防火墻。它通過應(yīng)用層驗證新的連接，若新的連接是合法的，它可以被重定向到網(wǎng)絡(luò)層。這種防火墻同時具有代理 防火墻和狀態(tài)檢測防火墻的特性，其優(yōu)缺點是： ①優(yōu)點 處理數(shù)據(jù)包的速度比應(yīng)用代理防火墻快、安全性比包過濾防火墻好、可以進行相應(yīng)的用戶和應(yīng)用論證。 ②缺點 不能完全檢查應(yīng)用層數(shù)據(jù)、不能檢測未知攻擊。 （四）、防火墻的體系結(jié)構(gòu) 防火墻的體系結(jié)構(gòu)主要以下幾種分別是：屏蔽路由器、雙穴主機網(wǎng)關(guān)、被屏蔽主機網(wǎng)關(guān)、被屏蔽子網(wǎng)。 屏蔽路由器 (ScreeningRouter) 屏蔽路由器可以由廠家專門生產(chǎn)的路由器實現(xiàn)，也可以用主機來實現(xiàn)。屏蔽路由器作為內(nèi)外連接的惟一通道，要求所有的報文都必須在此通過檢查。路由器上可以安裝基 于 IP 層的報文過濾軟件，實現(xiàn)報文過濾功能。許多路由器本身帶有報文過濾配置選項，但一般比較簡單。單純由屏蔽路由器構(gòu)成的防火墻的危險包括路由器本身及路由器允許訪問的主機。屏蔽路由器的缺點是一旦被攻隱后很難發(fā)現(xiàn)，而且不能識別不同的用戶。 雙穴主機網(wǎng)關(guān) (DualHomedGateway) 雙穴主機網(wǎng)關(guān)是用一臺裝有兩塊網(wǎng)卡的堡壘主機的做防火墻。兩塊網(wǎng)卡各自與受保護網(wǎng)和外部網(wǎng)相連。堡壘主機上運行著防火墻軟件，可以轉(zhuǎn)發(fā)應(yīng)用程序，提供服務(wù)等。與屏蔽路由器相比，雙穴主機網(wǎng)關(guān)堡壘主機的系統(tǒng)軟件可用于維護系統(tǒng)日志、硬件拷貝 日志或遠程日志。但弱點也比較突出，一旦黑客侵入堡壘主機并使其只具有路由功能，任何網(wǎng)上用戶均可以隨便訪問內(nèi)部網(wǎng)。 被屏蔽主機網(wǎng)關(guān) (ScreenedGateway) 屏蔽主機網(wǎng)關(guān)易于實現(xiàn)也最為安全。一個堡壘主機安裝在內(nèi)部網(wǎng)絡(luò)上，通常在路由器上設(shè)立過濾規(guī)則，并使這個堡壘主機成為從外部網(wǎng)絡(luò)惟一可直接到達的主機，這確保了內(nèi)部網(wǎng)絡(luò)不受未被授權(quán)的外部用戶的攻擊。如果受保護網(wǎng)是一個虛擬擴展的本地網(wǎng)，即沒有子網(wǎng)和路由器，那么內(nèi)部網(wǎng)的變化不影響堡壘主機和屏蔽路由器的配置。危險帶限制在堡壘主機和 9 屏蔽路由器。網(wǎng)關(guān)的基本控制 策略由安裝在上面的軟件決定。如果攻擊者沒法登錄到它上面，內(nèi)網(wǎng)中的其余主機就會受到很大威脅。這與雙穴主機網(wǎng)關(guān)受攻擊時的情形差不多。 被屏蔽子網(wǎng) (ScreenedSub) 被屏蔽子網(wǎng)就是在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間建立一個被隔離的子網(wǎng)，用兩臺分組過濾路由器將這一子網(wǎng)分別與內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)分開。在很多實現(xiàn)中，兩個分組過濾路由器放在子網(wǎng)的兩端，在子網(wǎng)內(nèi)構(gòu)成一個 DNS，內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)均可訪問被屏蔽子網(wǎng)，但禁止它們穿過被屏蔽子網(wǎng)通信。有的屏蔽子網(wǎng)中還設(shè)有一堡壘主機作為惟一可訪問點，支持終端交互或作為應(yīng)用網(wǎng) 關(guān)代理。這種配置的危險僅包括堡壘主機、子網(wǎng)主機及所有連接內(nèi)網(wǎng)、外網(wǎng)和屏蔽子網(wǎng)的路由器。如果攻擊者試圖完全破壞防火墻，他必須重新配置連接三個網(wǎng)的路由器，既不切斷連接又不要把自己鎖在外面，同時又不使自己被發(fā)現(xiàn)，這樣也還是可能的。但若禁止網(wǎng)絡(luò)訪問路由器或只允許內(nèi)網(wǎng)中的某些主機訪問它，則攻擊會變得很困難。在這種情況下，攻擊者得先侵入堡壘主機，然后進入內(nèi)網(wǎng)主機，再返回來破壞屏蔽路由器，并且整個過程中不能引發(fā)警報。 （五）、防火墻的展望 目前，防火墻技術(shù)已經(jīng)引起了人們的普遍關(guān)注，隨著新技術(shù)的發(fā)展，逐步出現(xiàn)了一些混合使用 包過濾技術(shù)、代理服務(wù)技術(shù)和其他一些新技術(shù)的防火墻。包過濾系統(tǒng)向著更具靈活性和多功能的方向發(fā)展。比如動態(tài)包過濾系統(tǒng)在 CheckPoint、 Firewall Karl Brige/Karl Brouter 以及 Morning Star Secure connect Router 中的包過濾規(guī)則可由路由器靈活、快速地設(shè)置。一個輸出的 UDP 數(shù)據(jù)包可以引起對應(yīng)的允許應(yīng)答， UDP 創(chuàng)立一個臨時的包過濾規(guī)則，允許其對應(yīng)的 UDP 包進入內(nèi)部網(wǎng)。 隨著 Inter 基礎(chǔ)技術(shù)的發(fā)展，也要求防火墻技術(shù)不斷更新，而作為 Inter 的協(xié)議 IP也面臨著巨大的變革，促使 IP 變革的主要原因是：現(xiàn)在 IP 協(xié)議的四字節(jié)方式（也稱為 IP Version 4）已不能提供足夠多的相互獨立的 IP 網(wǎng)址以滿足越來越多的 Inter 用戶對網(wǎng)址的要求。為了解決這個問題，人們曾試圖將 IP 地址的組成數(shù)據(jù)劃小，以使有更高比例的理論地址投入實際使用。但這樣做不但會引起路由協(xié)議方面的問題，實際上也沒有提供更多的地址。據(jù)專家估計，在最近幾年內(nèi)， Inter 上的現(xiàn)存網(wǎng)址資源將被用盡 目前，人們正在設(shè)計新 的 IP 協(xié)議（也稱為 IP Version 6）。 IP 協(xié)議的變化將對防火墻的建立與運行產(chǎn)生深刻的影響。同時，目前大多數(shù)網(wǎng)絡(luò)上的機器信息流都有可能被偷看到，但采用如幀中繼、異步傳輸模式（ ATM）可將數(shù)據(jù)包從源地址直接發(fā)送給目的地址，從而防止信息流在傳輸中途被泄露。 四、防火墻技術(shù) 防火墻技術(shù)主要分為兩大類分別是：包過濾技術(shù)和代理技術(shù)。 （一）、包過濾技術(shù) 包過濾 (PacketFilter)是在網(wǎng)絡(luò)層中對數(shù)據(jù)包實施有選擇的通過，依據(jù)系統(tǒng)事先設(shè)定好的 10 過濾邏輯，檢查數(shù)據(jù)流中的每個數(shù)據(jù)包，根據(jù)數(shù)據(jù)包的源地址、目標(biāo)地址、以 及包所使用端口確定是否允許該類數(shù)據(jù)包通過。在互聯(lián)網(wǎng)這樣的信息包交換網(wǎng)絡(luò)上，所有往來的信息都被分割成許許多多一定長度的信息包，包中包括發(fā)送者的 IP 地址和接收者的 IP 地址。當(dāng)這些包被送上互聯(lián)網(wǎng)時，路由器會讀取接收者的 IP 并選擇一條物理上的線路發(fā)送出去，信息包可能以不同的路線抵達目的地，當(dāng)所有的包抵達后會在目的地重新組裝還原。包過濾式的防火墻會檢查所有通過信息包里的 IP 地址，并按照系統(tǒng)管理員所給定的過濾規(guī)則過濾信息包。 數(shù)據(jù)包過濾的工作原理 ①包過濾技術(shù)依據(jù)以下根