【文章內(nèi)容簡介】 業(yè)心、責任心的培養(yǎng)教育以及相關(guān)技術(shù)培訓。 （ 2）建立完善的安全管理體制和制度，以起到對管理人員和操作人員鼓勵和監(jiān)督的作用。 （ 3）管理措施要標準化 、規(guī)范化和科學化。 8 大學畢業(yè)論文 第三章 防火墻概述 隨著 Inter 的迅速發(fā)展，網(wǎng)絡(luò)應(yīng)用涉及到越來越多的領(lǐng)域，網(wǎng)絡(luò)中各類重要的、敏感的數(shù)據(jù)逐漸增多 。同時由于黑客入侵以及網(wǎng)絡(luò)病毒的問題，使得網(wǎng)絡(luò)安全問題越來越突出。因此，保護網(wǎng)絡(luò)資源不被非授權(quán)訪問，阻止病毒的傳播感染顯得尤為重要。就目前而言，對于局部網(wǎng)絡(luò)的保護，防火墻仍然不失為一種有效的手段，防火墻技術(shù)主要分為包過濾和應(yīng)用代理兩類。其中包過濾作為最早發(fā)展起來的一種技術(shù)，其應(yīng)用非常廣泛。 防火墻的概念 防火墻是設(shè)置在被保護 網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的一道屏障，以防止發(fā)生不可預(yù)測的、潛在破壞性的侵入。 [4]防火墻是指設(shè)置在不同網(wǎng)絡(luò) (如可信任的企業(yè)內(nèi)部網(wǎng)和不可信的公共網(wǎng) )或網(wǎng)絡(luò)安全域之間的一系列部件的組合。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，能根據(jù)企業(yè)的安全政策控制 (允許、拒絕、監(jiān)測 )出入網(wǎng)絡(luò)的信息流，且本身具有較強的抗攻擊能力。它是提供信息安全服務(wù)，實現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。防火墻提供信息安全服務(wù)，是實現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。在邏輯上，防火墻是一個分離器，一個限制器，也是一個分析器，它有效地監(jiān)控了內(nèi)部網(wǎng)絡(luò)和互聯(lián)網(wǎng)之間 的任何活動，保證了內(nèi)部網(wǎng)絡(luò)的安全。 傳統(tǒng)防火墻介紹 目前的防火墻技術(shù)無論從技術(shù)上還是從產(chǎn)品發(fā)展歷程上，都經(jīng)歷了五個發(fā)展歷程。圖 1表示了防火墻技術(shù)的簡單發(fā)展歷史。 圖 1 第一代防火墻 第一代防火墻技術(shù)幾乎與路由器同時出現(xiàn)，采用了包過濾（ Packet filter）技術(shù)。 第二代、第三代防火墻 1989年，貝爾實驗室的 Dave Presotto和 Howard Trickey推 9 大學畢業(yè)論文 出了第二代防火墻，即電路層防火墻，同時提出了第三代防火墻 ——應(yīng)用層防火墻（代理防火墻）的初步結(jié)構(gòu)。 第四代防火墻 1992年， USC信息科學院的 BobBraden開發(fā)出了基于動態(tài)包過濾（ Dynamic packet filter）技術(shù)的第四代防火墻，后來演變?yōu)槟壳八f的狀態(tài)監(jiān)視（ Stateful inspection）技術(shù)。 1994年，以色列的 CheckPoint公司開發(fā)出了第一個采用這種技術(shù)的商業(yè)化的產(chǎn)品。 第五代防火墻 1998 年， NAI 公司推出了一種自適應(yīng)代理（ Adaptive proxy）技術(shù)，并在其產(chǎn)品 Gauntlet Firewall for NT 中得以實現(xiàn)，給代理類型的防火墻賦予了全新的意義，可以稱之為第五代防火墻。 [5] 但傳統(tǒng)的防火墻并沒有解決目前網(wǎng)絡(luò)中主要的安全問題。目前網(wǎng)絡(luò)安全的三大主要問題是 :以拒絕訪問 (DDOS)為主要代表的網(wǎng)絡(luò)攻擊，以蠕蟲 (Worm)為主要代表的病毒傳播和以垃圾電子郵件 (SPAM)為代表的內(nèi)容控制。這三大安全問題占據(jù)網(wǎng)絡(luò)安全問題九成以上。而這三大問題，傳統(tǒng)防火墻都無能為力。主要有以下三個原因 : 一是傳統(tǒng)防火墻的計算能力的限制。傳統(tǒng)的防火墻是以高強度的檢查為代價，檢查的強度越高，計算的代價越大。二是傳統(tǒng)防火墻的訪 問控制機制是一個簡單的過濾機制。它是一個簡單的條件過濾器，不具有智能功能，無法檢測復雜的攻擊。三是傳統(tǒng)的防火墻無法區(qū)分識別善意和惡意的行為。該特征決定了傳統(tǒng)的防火墻無法解決惡意的攻擊行為。 現(xiàn)在防火墻正在向分布、智能的方向發(fā)展，其中智能防火墻可以很好的解決上面的問題。 智能防火墻簡介 智能防火墻 [6]是相對傳統(tǒng)的防火墻而言的，從技術(shù)特征上智能防火墻是利用統(tǒng)計、記憶、概率和決策的智能方法來對數(shù)據(jù)進行識別，并達到訪問控制的目的。新的數(shù)學方法，消除了匹配檢查所需要的海量計算，高效發(fā)現(xiàn)網(wǎng)絡(luò)行為的特 征值，直接進行訪問控制。由于這些方法多是人工智能學科采用的方法，因此，又稱為智能防火墻。 10 大學畢業(yè)論文 防火墻的功能 防火墻的主要功能 1．包過濾。 包過濾是一種網(wǎng)絡(luò)的數(shù)據(jù)安全保護機制，它可用來控制流出和流入網(wǎng)絡(luò)的數(shù)據(jù)，它通常由定義的各條數(shù)據(jù)安全規(guī)則所組成，防火墻設(shè)置可基于源地址、源端口、目的地址、目的端口、協(xié)議和時間 ?？筛鶕?jù)地址簿進行設(shè)置規(guī)則。 2．地址轉(zhuǎn)換。 網(wǎng)絡(luò)地址變換是將內(nèi)部網(wǎng)絡(luò)或外部網(wǎng)絡(luò)的 IP 地址轉(zhuǎn)換，可分為源地址轉(zhuǎn)換 Source NAT(SNAT)和目的地址轉(zhuǎn)換 Destination NAT(DNAT)。 SNAT用于對內(nèi)部網(wǎng)絡(luò)地址進行轉(zhuǎn)換，對外部網(wǎng)絡(luò)隱藏起內(nèi)部網(wǎng)絡(luò)的結(jié)構(gòu)，避免受到來自外部其他網(wǎng)絡(luò)的非授權(quán)訪問或惡意攻擊。并將有限的 IP 地址動態(tài)或靜態(tài)的與內(nèi)部 IP 地址對應(yīng)起來，用來緩解地址空間的短缺問題，節(jié)省資源，降低成本。 DNAT 主要用于外網(wǎng)主機訪問內(nèi)網(wǎng)主機。 3．認證和應(yīng)用代理。 認證指防火墻對訪問網(wǎng)絡(luò)者合法身分的確定。代理指防火墻內(nèi)置用戶認證數(shù)據(jù)庫 。提供HTTP、 FTP 和 SMTP代理功能，并可對這三種協(xié)議進行訪問控制 。同時支持 URL過濾功能。 4．透明和路由 指防火墻將網(wǎng)關(guān)隱藏在公共系統(tǒng)之后使其免遭直接攻擊。隱蔽智能網(wǎng)關(guān)提供了對互聯(lián)網(wǎng)服務(wù)進行幾乎透明的訪問，同時阻止了外部未授權(quán)訪問者對專用網(wǎng)絡(luò)的非法訪問 。防火墻還支持路由方式，提供靜態(tài)路由功能，支持內(nèi)部多個子網(wǎng)之間的安全訪問。 入侵檢測功能 入侵檢測技術(shù) [7]就是一種主動保護自己免受黑客攻擊的一種網(wǎng)絡(luò)安全技術(shù)，包括以下內(nèi)容 : 。端口掃描就是指黑客通過遠程端口掃描的工具，從中發(fā)現(xiàn)主機的哪些非常用端口是打開的 。是否支持 FTP、 Web 服務(wù) 。且 FTP 服務(wù)是否支持 “匿名 ”，以及 IIS版本，是否有可以被成功攻破的 IIS漏洞，進而對內(nèi)部網(wǎng)絡(luò)的主機進行攻擊。顧名思義反端口掃描就是防范端口掃描的方法，目前常用的方法有 :關(guān)閉閑置和有潛在危險的端口 。檢查各端口，有端口掃描的癥狀時，立即屏蔽該端口，多數(shù)防火墻設(shè)備采用的都是這種反端口掃描方式。 。拒絕服務(wù) (DoS)攻擊就是利用合理的服務(wù)請求來占用過多的服務(wù)資源，從而使合法用戶無法得到服務(wù)的響應(yīng)，其攻擊方式有很多種 。 11 大學畢業(yè)論文 而分布式的拒絕服務(wù)攻擊 (DDoS)攻擊手段則是在傳統(tǒng)的 DoS 攻擊基礎(chǔ)之上 產(chǎn)生的一類攻擊方式，分布式的拒絕服務(wù)攻擊 (DDoS)。其原理很簡單，就是利用更多的受控主機同時發(fā)起進攻，以比 DoS 更大的規(guī)模 (或者說以更高于受攻主機處理能力的進攻能力 )來進攻受害者?，F(xiàn)在的防火墻設(shè)備通常都可檢測 Synflod、 Land、 Ping of Death、 TearDrop、 ICMP flood和 UDPflod等多種 DOS/DDOS攻擊。 (Buffer Overflow)。緩沖區(qū)溢出 (Buffer Overflow)攻擊指利用軟件的弱點將任意數(shù)據(jù)添加進某個程序中，造成緩沖區(qū)的溢出，從而破壞程序的堆棧，使程序轉(zhuǎn)而執(zhí)行其它指令，以達到攻擊的目的。更為嚴重的是，可以利用它執(zhí)行非授權(quán)指令，甚至可以取得系統(tǒng)特權(quán)，進而進行各種非法操作，防火墻設(shè)備可檢測對 FTP、 Tel、 SSH、 RPC和 SMTP 等服務(wù)的遠 程堆棧溢出入侵。 CGI/IIS服務(wù)器入侵。 CGI就是 Common Gateway Inter——face的簡稱。是 World Wide Web主機和 CGI程序間傳輸資訊的定義。 IIS就是 Inter Information server的簡稱，也就是微軟的 Inter信息服務(wù)器。防火墻設(shè)備可檢測包括針對 Unicode、 ASP 源碼泄漏、 PHF、NPH、 CGI/IIS進行的探測和攻擊方式。 、木馬及其網(wǎng)絡(luò)蠕蟲。后門程序是指采用 某種方法定義出一個特殊的端口并依靠某種程序在機器啟動之前自動加載到內(nèi)存，強行控制機器打開那個特殊的端口的程序。木馬程序的全稱是 “特洛依木馬 ”，它們是指尋找后門、竊取計算機的密碼的一類程序。網(wǎng)絡(luò)蠕蟲病毒分為 2類，一種是面向企業(yè)用戶和局域網(wǎng)而一言，這種病毒利用系統(tǒng)漏洞，主動進行攻擊，可以對整個互聯(lián)網(wǎng)造成癱瘓性的后果，以 “紅色代碼 ”， “尼姆達 ”，以及最新的 “sql蠕蟲王 ”為代表。另外一種是針對個人用戶的，通過網(wǎng)絡(luò) (主要是電子郵件，惡意網(wǎng)頁形式 )迅速傳播的蠕蟲病毒，以愛蟲病毒，求職信病毒為例。防火墻設(shè)備可檢測試圖穿 透防火墻系統(tǒng)的木馬控制端和客戶端程序 。檢測試圖穿透防火墻系統(tǒng)的蠕蟲程序。 虛擬專網(wǎng)功能 指在公共網(wǎng)絡(luò)中建立專用網(wǎng)絡(luò)，數(shù)據(jù)通過安全的 “加密通道 ”在公共網(wǎng)絡(luò)中傳播。 VPN的基本原理是通過 IP包的封裝及加密、認證等手段，從而達到安全的目的。 其他功能 地址 /MAC地址綁定。可支持任一網(wǎng)絡(luò)接口的 IP地址和 MAC地址的綁 12 大學畢業(yè)論文 定，從而禁止用戶隨意修改 IP地址。 。要求對使用身份標識和認證的機制，文件的創(chuàng)建，修改，系統(tǒng)管理的所有操作以及其他有關(guān)安 全事件進行記錄，以便系統(tǒng)管理員進行安全跟蹤。一般防火墻設(shè)備可以提供三種日志審計功能 :系統(tǒng)管理日志、流量日志和入侵日志。 。內(nèi)置特殊站點數(shù)據(jù)庫，用戶可選擇是否封禁色情、反動和暴力等特殊站點。 防火墻的原理及分類 國際計算機安全委員會 ICSA 將防火墻分成三大類 :包過濾防火墻，應(yīng)用級代理服務(wù)器 [8]以及狀態(tài)包檢測防火墻。 包過濾防火墻 顧名思義，包過濾防火墻 [9]就是把接收到的每個數(shù)據(jù)包同預(yù)先設(shè)定的包過濾規(guī)則相比較，從而決定是否阻塞或通過。過濾規(guī)則是基于網(wǎng)絡(luò)層 IP 包包頭信息的比較。包過濾防火墻工作在網(wǎng)絡(luò)層，