安全連入internet防火墻(編輯修改稿)
2025-01-26 14:57 本頁面
【文章內(nèi)容簡介】 辦法保護170。審計不夠詳細170。無法支持高級的用戶認證170。無法防止高級攻擊，如 IP地址假冒w 目前，很難找到只有包過濾功能的防火墻170。路由器， SOHO防火墻，操作系統(tǒng)自帶的防火墻包過濾防火墻的過濾規(guī)則原地址 原端口目標(biāo)地址 目標(biāo)端口操作 說明Any Any 1024 Allow 回答 Any Any Any Allow 內(nèi)訪外Any Any SMTP Allow 郵件Any Any HTTP Allow WebAny Any Any Any Deny 拒絕過濾規(guī)則w 動作：170。允許 (Accept/Allow)170。拒絕 (Deny)170。丟棄 (Discard)w 規(guī)則間的關(guān)系170。凡是沒有定義的就禁止／允許？170。一條禁止和一條允許 ?禁止還是允許？170。一般：不要忘記最后禁止所有的通信170。外出通信和進入通信同等重要狀態(tài)檢查防火墻Stateful Inspection Firewallsw 工作在 2， 3， 4層w 不是簡單開放大于 1023的端口而是記住每個 TCP連接或 UDP通信的狀態(tài) 1098 80 Established 1046 25 Established 1356 80 Established應(yīng)用代理網(wǎng)關(guān)防火墻ApplicationProxy Gateway Firewallsw 代理網(wǎng)關(guān)防火墻主要工作在應(yīng)用層 (2,3,4,7)w 部分語義的檢查w 可以進行用戶認證170。身份認證 ,基于生物特征的認證w 可以進行原地址檢查w 不足170。慢 ,不適合快速網(wǎng)絡(luò)170。針對新的應(yīng)用 ,升級麻煩一個代理網(wǎng)關(guān)防火墻的例子DNSFingerFTPHTTPHTTPSLDAPNNTPSMTPTel內(nèi)網(wǎng) 外網(wǎng)Proxy Agent代理網(wǎng)關(guān)的運行步驟w 用戶 Tel網(wǎng)關(guān)并輸入內(nèi)部主機名w 網(wǎng)關(guān)檢查用戶的 IP地址決定是否允許連接w 網(wǎng)關(guān)要求用戶進行認證，可以是基于硬件的或生物基礎(chǔ)的w 代理服務(wù)建立一個從代理到內(nèi)部主機的Tel連接w 代理在這兩個連接中傳輸數(shù)據(jù)w 網(wǎng)關(guān)記錄這次連接專用代理防火墻Dedicated Proxy Servers混合的防火墻Hybrid Firewallw 現(xiàn)有的防火墻基本都是混合功能的w 配置，安裝更加復(fù)雜w 考察功能參數(shù)就很重要w 后面介紹防火墻的一些其他基本功能NAT:網(wǎng)絡(luò)地址轉(zhuǎn)換Network Address Traslationw 目的：170。隱藏內(nèi)部網(wǎng)絡(luò)地址170。減少真實 IP地址的使用w 方法：170。靜態(tài)地址轉(zhuǎn)換（ Static NAT）170。隱藏網(wǎng)絡(luò)地址轉(zhuǎn)換 (Hiding NAT)170。端口地址轉(zhuǎn)換 (Port Address Translation)防火墻功能總結(jié)w 包過濾防火墻w 狀態(tài)檢查機制防火墻w 應(yīng)用代理網(wǎng)關(guān)防火墻w 專用代理防火墻w 混合型防火墻w 網(wǎng)絡(luò)地址轉(zhuǎn)換w 基于主機的防火墻w 個人防火墻／個人防火墻設(shè)備防火墻的布置與環(huán)境w 布置防火墻及環(huán)境的四條建議w 非軍事區(qū) (DMZ)w VPN及其的布置w IDSw DNSw 一個服務(wù)器布放的例子布置防火墻的建議（ NIST Guidelines）w 越簡單越好 (Keep It Simple)170。不要追求復(fù)雜方案 ,要能夠易懂才能易于管理和維護 ,和進行事件處理；復(fù)雜必然不安全。w 按照設(shè)計使用設(shè)備170。不要用路由器中的包過濾當(dāng)防火墻，不要指望交換機中的安全機制。這樣容易錯誤地配置w 設(shè)計有深度的防御 (Defense in Depth)170。安全分層：路由安全，多防火墻墻，操作系統(tǒng)w 注意內(nèi)部威脅170。并非懷疑同事的攻擊，攻擊可能越過 Firewall重要建議w 所有的規(guī)則都會被打破170。在防火墻布置時牢記170。在防火墻設(shè)計時牢記w 各自的系統(tǒng)有各自的需求，應(yīng)該具針對具體
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1