【文章內(nèi)容簡(jiǎn)介】 志記錄防火墻技術(shù)內(nèi)容－ 應(yīng)用代理 (cont.)優(yōu)點(diǎn)：l 在網(wǎng)絡(luò)連接建立之前可以對(duì)用戶(hù)身份進(jìn)行認(rèn)證l 所有通過(guò)防火墻的信息流可以被記錄下來(lái)l 易于配置l 支持內(nèi)部網(wǎng)絡(luò)的信息隱藏l 與分組過(guò)濾規(guī)則相比簡(jiǎn)單l 易于控制和管理防火墻技術(shù)內(nèi)容－ 應(yīng)用代理 (cont.) 缺點(diǎn)：4 對(duì)每種類(lèi)型的服務(wù)都需要一個(gè)代理4 網(wǎng)絡(luò)性能不高4 防火墻對(duì)用戶(hù)不透明4 客戶(hù)應(yīng)用可能需要修改4 需要多個(gè)防火墻主機(jī)防火墻技術(shù)內(nèi)容－ 應(yīng)用代理 (cont.)防火墻體系結(jié)構(gòu)l 分組過(guò)濾防火墻結(jié)構(gòu)l 分組過(guò)濾＋應(yīng)用網(wǎng)關(guān)（ I）l 分組過(guò)濾＋應(yīng)用網(wǎng)關(guān)（ II）l 屏蔽子網(wǎng)防火墻結(jié)構(gòu)分組過(guò)濾防火墻l 適合于較小的、簡(jiǎn)單的系統(tǒng)l 如規(guī)則復(fù)雜，則難于管理分組過(guò)濾＋應(yīng)用網(wǎng)關(guān)（ I）l 簡(jiǎn)化路由配置l 加強(qiáng)隱私l 雙重保護(hù)l 花費(fèi)高一些4只有網(wǎng)關(guān)上的代理服務(wù)支持的應(yīng)用才能通過(guò)分組過(guò)濾＋應(yīng)用網(wǎng)關(guān)（ II）l 路由器過(guò)濾應(yīng)用網(wǎng)關(guān)不支持的危險(xiǎn)協(xié)議l 應(yīng)用網(wǎng)關(guān)僅需一個(gè)網(wǎng)絡(luò)接口，不要求在應(yīng)用網(wǎng)關(guān)與路由器之間有一個(gè)分離的子網(wǎng)l 路由器允許轉(zhuǎn)發(fā)可信服務(wù)到網(wǎng)關(guān)周?chē)椭苯拥絻?nèi)部網(wǎng)絡(luò)分組過(guò)濾＋應(yīng)用網(wǎng)關(guān)（ II）l 也叫屏蔽主機(jī)防火墻結(jié)構(gòu)，屏蔽路由器使用分組過(guò)濾技術(shù)，堡壘主機(jī)運(yùn)行應(yīng)用網(wǎng)關(guān)程序，為內(nèi)部主機(jī)提供代理服務(wù)。l 路由過(guò)濾器根據(jù)以下規(guī)則來(lái)路由內(nèi)外部通信161。 路由從 Inter外部訪問(wèn)應(yīng)用網(wǎng)關(guān)的通信161。 拒絕來(lái)自任何 Inter外部的其它訪問(wèn)161。 拒絕路由任何內(nèi)部網(wǎng)絡(luò)訪問(wèn) Inter外部的請(qǐng)求，除非來(lái)自?xún)?nèi)部的應(yīng)用代理。l 適于需要靈活性的網(wǎng)絡(luò)，但安全性降低。屏蔽子網(wǎng)防火墻結(jié)構(gòu)4適于通信量很大或高速網(wǎng)絡(luò)通信的內(nèi)部網(wǎng)絡(luò)4強(qiáng)化安全，但配置較為復(fù)雜屏蔽子網(wǎng)防火墻結(jié)構(gòu) (cont.)屏蔽子網(wǎng)防火墻結(jié)構(gòu) (cont.)防火墻實(shí)現(xiàn)策略 (cont.)對(duì)防火墻系統(tǒng)而言，共有兩層網(wǎng)絡(luò)安全策略：l 網(wǎng)絡(luò)服務(wù)訪問(wèn)策略：是高層策略，定義了受保護(hù)網(wǎng)絡(luò)明確允許和明確拒絕的網(wǎng)絡(luò)服務(wù)，分析網(wǎng)絡(luò)服務(wù)的可用性（包括可用條件）、風(fēng)險(xiǎn)性等。l 防火墻設(shè)計(jì)策略：是低層策略，描述了防火墻如何根據(jù)高層的網(wǎng)絡(luò)服務(wù)訪問(wèn)策略中定義的策略來(lái)具體地限制訪問(wèn)和過(guò)濾服務(wù)。網(wǎng)絡(luò)服務(wù)訪問(wèn)策略l 不允許外部網(wǎng)絡(luò)或 Inter訪問(wèn)內(nèi)部網(wǎng)絡(luò)，但允許內(nèi)部網(wǎng)絡(luò)訪問(wèn)外部網(wǎng)絡(luò)或 Inter。l 允許外部網(wǎng)絡(luò)或 Inter訪問(wèn)部分內(nèi)部網(wǎng)絡(luò)，這些特定的網(wǎng)絡(luò)服務(wù)是經(jīng)過(guò)嚴(yán)格選擇和控制的，如一些信息服務(wù)器、電子郵件服務(wù)器或域名服務(wù)器等等。防火墻實(shí)現(xiàn)策略 (cont.)防火墻設(shè)計(jì)策略 防火墻設(shè)計(jì)策略必須針對(duì)具體的防火墻，它定義過(guò)濾規(guī)則等，以實(shí)現(xiàn)高層的網(wǎng)絡(luò)服務(wù)策略。這個(gè)策略在設(shè)計(jì)時(shí)必須考慮到防火墻本身的性能、限制及具體協(xié)議如 TCP/IP。常用的兩種基本防火墻設(shè)計(jì)策略是：l 允許所有除明確拒絕之外的通信或服務(wù)（很少考慮，因?yàn)檫@樣的防火墻可能帶來(lái)許多風(fēng)險(xiǎn)和安全問(wèn)題。攻擊者完全可以使用一種拒絕策略中沒(méi)有定義的服務(wù)而被允許并攻擊網(wǎng)絡(luò)）l 拒絕所有除明確允許之外的通信或服務(wù)（常用，但操作困難，并有可能拒絕網(wǎng)絡(luò)用戶(hù)的正常需求與合法服務(wù)） 防火墻實(shí)現(xiàn)策略 (cont.)作為一個(gè)安全策略的設(shè)計(jì)者，應(yīng)懂得以下問(wèn)題的要點(diǎn)：l 哪些 Inter服務(wù)是本網(wǎng)絡(luò)系統(tǒng)打算使用或提供的？（如 TELNET、 FTP、 HTTP）l 這些 Inter服務(wù)在哪或哪個(gè)范圍內(nèi)使用？（如在本地網(wǎng)內(nèi)、整個(gè) Inter或撥號(hào)服務(wù)等）l 可能有哪些額外或臨時(shí)的服務(wù)或需求？（如加密、撥入服務(wù)等）l 提供這些服務(wù)和訪問(wèn)有哪些風(fēng)險(xiǎn)和總的花費(fèi)？防火墻實(shí)現(xiàn)策略 (cont.)對(duì)防火墻技術(shù)與產(chǎn)品發(fā)展的介紹l 防火墻技術(shù)是建立在現(xiàn)代通信網(wǎng)絡(luò)技術(shù)和信息安全技 術(shù)基礎(chǔ)上的應(yīng)用性安全技術(shù)，越來(lái)越多地應(yīng)用于專(zhuān)用 網(wǎng)絡(luò)與公用網(wǎng)絡(luò)的互聯(lián)環(huán)境之中，尤其以接入 Inter網(wǎng)絡(luò)為最甚。 l Inter的迅猛發(fā)展，使得防火墻產(chǎn)品在短短的幾年內(nèi)異軍突起，很快形成了一個(gè)產(chǎn)業(yè)：據(jù)不完全統(tǒng)計(jì)，在國(guó)際上防火墻產(chǎn)品銷(xiāo)售從 1995年的不到 1萬(wàn)套， 猛增到 1997年底的 10萬(wàn)套。l 據(jù)國(guó)際權(quán)威商業(yè)調(diào)查機(jī)構(gòu)的預(yù)測(cè) ,防火墻市場(chǎng)將以 173％的復(fù)合增長(zhǎng)率增長(zhǎng)，到 2023年將達(dá) 150萬(wàn)套，市場(chǎng)營(yíng)業(yè)額將從 1995年的 2023年的 美元。防火墻發(fā)展歷程第一階段：基于路由器的防火墻第二階段：用戶(hù)化的防火墻工具套第三階段：建立在通用操作系統(tǒng)上的防火墻第四階段：具有安全操作系統(tǒng)的防火墻對(duì)防火墻技術(shù)與產(chǎn)品發(fā)展的介紹 (cont.)第一代防火墻產(chǎn)品的特點(diǎn)是：l 利用路由器本身對(duì)分組的解析 ,以訪問(wèn)控制表（ access list）方式實(shí)現(xiàn)對(duì)分組的過(guò)濾；l 過(guò)濾判決的依據(jù)可以是：地址、端口號(hào)、 IP旗標(biāo)及其它 網(wǎng)絡(luò)特征；l 只有分組過(guò)濾的功能，且防火墻與路由器是一體的，對(duì) 安全要求低的網(wǎng)絡(luò)可采用路由器附帶防火墻功能的方法， 對(duì)安全性要求高的網(wǎng)絡(luò)則可單獨(dú)利用一臺(tái)路由器作防火墻。第一階段：基于路由器的防火墻第一階段：基于路由器的防火墻 (cont.)第一代防火墻產(chǎn)品的不足之處為：161。 路由協(xié)議十分靈活，本身具有安全漏洞，外部網(wǎng)絡(luò)要探尋內(nèi)部網(wǎng)絡(luò)十分容易。161。 路由器上的分組過(guò)濾規(guī)則的設(shè)置和配置存在安全隱患。161。 攻擊者可以 “ 假冒 ” 地址，由于信息在網(wǎng)絡(luò)上是以明文傳送的，黑客可以在網(wǎng)絡(luò)上偽造假的路由信息欺騙防火墻。161。 防火墻的規(guī)則設(shè)置會(huì)大大降低路由器的性能。第二階段：用戶(hù)化的防火墻工具套 作為第二代防火墻產(chǎn)品，用戶(hù)化的防火墻工具套具有以下特征：l 將過(guò)濾功能從路由器中獨(dú)立出來(lái)，并加上審計(jì)和告警功能；l 針對(duì)用戶(hù)需求，提供模塊化的軟件包；l 軟件可通過(guò)網(wǎng)絡(luò)發(fā)送，用戶(hù)可根據(jù)需要構(gòu)造防火墻；l 與第一代防火墻相比，安全性提高了，價(jià)格降低了。第二階段：用戶(hù)化的防火墻工具套 (cont.)不足之處：161。 配置和維護(hù)過(guò)程復(fù)雜、費(fèi)時(shí)；161。 對(duì)用戶(hù)的技術(shù)要求高；161。 全軟件實(shí)現(xiàn)，安全性和處理速度均有局限；161。 實(shí)踐表明，使用中出現(xiàn)差錯(cuò)的情況很多。第三階段：建立在通用操作系統(tǒng)上的防火墻具有以下特點(diǎn)：161。 是批量上市的專(zhuān)用防火墻產(chǎn)品；161。 包括分組過(guò)濾或者借用路由器的分組過(guò)濾功能；161。 裝有專(zhuān)用的代理系統(tǒng)，監(jiān)控所有協(xié)議的數(shù)據(jù)和指令；161。 保護(hù)用戶(hù)編程空間和用戶(hù)可配置內(nèi)核參數(shù)的設(shè)置；161。 安全性和速度大為提高。第三階段：建立在通用操作系統(tǒng)上的防火墻 (cont.)存在的問(wèn)題：l 作為基礎(chǔ)的操作系統(tǒng)及其內(nèi)核往往不為防火墻管理者所知，由于原碼的保密，其安全性無(wú)從保證；l 由于大多數(shù)防火墻廠商并非通用操作系統(tǒng)的廠商，通用操作系統(tǒng)廠商不會(huì)對(duì)操作系統(tǒng)的安全性負(fù)責(zé)；l 從本質(zhì)上看，第三代防火墻既要防止來(lái)自外部網(wǎng)絡(luò)的攻擊，還要防止來(lái)自操作系統(tǒng)廠商的攻擊。l 用戶(hù)必須依賴(lài)兩方面的安全支持：一是防火墻廠商、一是操作系統(tǒng)廠商。 第四階段：具有安全操作系統(tǒng)的防火墻 具有以下特點(diǎn)：l 防火墻廠商具有操