安全連入internet防火墻(編輯修改稿)
2025-01-26 14:57 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 辦法保護(hù)170。審計(jì)不夠詳細(xì)170。無(wú)法支持高級(jí)的用戶認(rèn)證170。無(wú)法防止高級(jí)攻擊，如 IP地址假冒w 目前，很難找到只有包過(guò)濾功能的防火墻170。路由器， SOHO防火墻，操作系統(tǒng)自帶的防火墻包過(guò)濾防火墻的過(guò)濾規(guī)則原地址 原端口目標(biāo)地址 目標(biāo)端口操作 說(shuō)明Any Any 1024 Allow 回答 Any Any Any Allow 內(nèi)訪外Any Any SMTP Allow 郵件Any Any HTTP Allow WebAny Any Any Any Deny 拒絕過(guò)濾規(guī)則w 動(dòng)作：170。允許 (Accept/Allow)170。拒絕 (Deny)170。丟棄 (Discard)w 規(guī)則間的關(guān)系170。凡是沒(méi)有定義的就禁止／允許？170。一條禁止和一條允許 ?禁止還是允許？170。一般：不要忘記最后禁止所有的通信170。外出通信和進(jìn)入通信同等重要狀態(tài)檢查防火墻Stateful Inspection Firewallsw 工作在 2， 3， 4層w 不是簡(jiǎn)單開(kāi)放大于 1023的端口而是記住每個(gè) TCP連接或 UDP通信的狀態(tài) 1098 80 Established 1046 25 Established 1356 80 Established應(yīng)用代理網(wǎng)關(guān)防火墻ApplicationProxy Gateway Firewallsw 代理網(wǎng)關(guān)防火墻主要工作在應(yīng)用層 (2,3,4,7)w 部分語(yǔ)義的檢查w 可以進(jìn)行用戶認(rèn)證170。身份認(rèn)證 ,基于生物特征的認(rèn)證w 可以進(jìn)行原地址檢查w 不足170。慢 ,不適合快速網(wǎng)絡(luò)170。針對(duì)新的應(yīng)用 ,升級(jí)麻煩一個(gè)代理網(wǎng)關(guān)防火墻的例子DNSFingerFTPHTTPHTTPSLDAPNNTPSMTPTel內(nèi)網(wǎng) 外網(wǎng)Proxy Agent代理網(wǎng)關(guān)的運(yùn)行步驟w 用戶 Tel網(wǎng)關(guān)并輸入內(nèi)部主機(jī)名w 網(wǎng)關(guān)檢查用戶的 IP地址決定是否允許連接w 網(wǎng)關(guān)要求用戶進(jìn)行認(rèn)證，可以是基于硬件的或生物基礎(chǔ)的w 代理服務(wù)建立一個(gè)從代理到內(nèi)部主機(jī)的Tel連接w 代理在這兩個(gè)連接中傳輸數(shù)據(jù)w 網(wǎng)關(guān)記錄這次連接專用代理防火墻Dedicated Proxy Servers混合的防火墻Hybrid Firewallw 現(xiàn)有的防火墻基本都是混合功能的w 配置，安裝更加復(fù)雜w 考察功能參數(shù)就很重要w 后面介紹防火墻的一些其他基本功能NAT:網(wǎng)絡(luò)地址轉(zhuǎn)換Network Address Traslationw 目的：170。隱藏內(nèi)部網(wǎng)絡(luò)地址170。減少真實(shí) IP地址的使用w 方法：170。靜態(tài)地址轉(zhuǎn)換（ Static NAT）170。隱藏網(wǎng)絡(luò)地址轉(zhuǎn)換 (Hiding NAT)170。端口地址轉(zhuǎn)換 (Port Address Translation)防火墻功能總結(jié)w 包過(guò)濾防火墻w 狀態(tài)檢查機(jī)制防火墻w 應(yīng)用代理網(wǎng)關(guān)防火墻w 專用代理防火墻w 混合型防火墻w 網(wǎng)絡(luò)地址轉(zhuǎn)換w 基于主機(jī)的防火墻w 個(gè)人防火墻／個(gè)人防火墻設(shè)備防火墻的布置與環(huán)境w 布置防火墻及環(huán)境的四條建議w 非軍事區(qū) (DMZ)w VPN及其的布置w IDSw DNSw 一個(gè)服務(wù)器布放的例子布置防火墻的建議（ NIST Guidelines）w 越簡(jiǎn)單越好 (Keep It Simple)170。不要追求復(fù)雜方案 ,要能夠易懂才能易于管理和維護(hù) ,和進(jìn)行事件處理；復(fù)雜必然不安全。w 按照設(shè)計(jì)使用設(shè)備170。不要用路由器中的包過(guò)濾當(dāng)防火墻，不要指望交換機(jī)中的安全機(jī)制。這樣容易錯(cuò)誤地配置w 設(shè)計(jì)有深度的防御 (Defense in Depth)170。安全分層：路由安全，多防火墻墻，操作系統(tǒng)w 注意內(nèi)部威脅170。并非懷疑同事的攻擊，攻擊可能越過(guò) Firewall重要建議w 所有的規(guī)則都會(huì)被打破170。在防火墻布置時(shí)牢記170。在防火墻設(shè)計(jì)時(shí)牢記w 各自的系統(tǒng)有各自的需求，應(yīng)該具針對(duì)具體
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1