【文章內(nèi)容簡介】 來執(zhí)行分組過濾。良好的網(wǎng)絡(luò)安全在實現(xiàn)的同時，也應(yīng)該使內(nèi)部用戶難以妨害 5 網(wǎng)絡(luò)安全，但這通常不是網(wǎng)絡(luò)安全工作的重點。網(wǎng)絡(luò)安 全策略的一個主要目標(biāo)是向用戶 提供透明的網(wǎng)絡(luò)服務(wù)機(jī)制。由于分組過濾執(zhí)行在 0SI 模型的網(wǎng)絡(luò)層和傳輸層，而不是在 應(yīng)用層，所以這種途徑通常比防火墻產(chǎn)品提供更強(qiáng)的透明性。 當(dāng)前 ， 幾 乎所有的分組過濾裝置都按下面方式進(jìn)行操作 : 1)對于分組過濾的相關(guān)端日必須設(shè)置分組過濾規(guī)則 . 2)當(dāng)一個分組到達(dá)過濾端口時，將對該分組的頭部進(jìn)行分析。大多數(shù)分組過濾裝置只檢查IP 、 TCP 或印 P 頭部內(nèi)的相關(guān)字段。 3)分組過濾規(guī)則按一定的順序存儲。當(dāng)一個分組到達(dá)時，將按分組規(guī)則的存儲順序依次運用每條規(guī)則對分組進(jìn)行檢查。 4)如果 某一條規(guī)則阻塞傳遞或接收一個分組，則不允許該分組通過。 5)如果某一條規(guī)則允許傳遞或接收一個分組，則允許該分組通過。 6)如果一個分組不滿足任何規(guī)則，則該分組被阻塞。 從規(guī)則 4 和 5 我們可以看到將規(guī)則按適當(dāng)?shù)捻樞蚴欠浅１匾?。在配置分組過濾規(guī)則時常犯的錯誤就是將分組過濾規(guī)則按錯誤的順序排列。如果一個分組過濾規(guī)則排序有錯，我們就有可能拒絕某些合法的訪問，而又允許本想拒絕的服務(wù)。規(guī)則 6 遵循以下原則 :未被明確允許的就將被禁止。這是一個在設(shè)計安全可靠的網(wǎng)絡(luò)時應(yīng)該遵循的失效安全原則。與之相對的是一種寬容的原則，即沒 有被明確禁止的就是允許的。如果采用后一種思想來設(shè)計分組過濾規(guī)則，就必須仔細(xì)考慮分組過濾規(guī)則沒有包括的每一種可能的情況來確保網(wǎng)絡(luò)的安全。當(dāng)一個新的服務(wù)被加入到網(wǎng)絡(luò)中時，我們可以很容易地遇到?jīng)]有規(guī)則與之相匹配的情況。 (2)代理服務(wù)和應(yīng)用層網(wǎng)關(guān) 代理服務(wù)使用的方法與分組過濾器不同，代理 (Porxy)使用一個客戶程序與特定的中 間結(jié)點連接，然后這個中間結(jié)點與期望的服務(wù)器進(jìn)行實際連接。與分組過濾器所不同的 是，使用這類防火墻時外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)之間不存在直接連接。因此，即使防火墻發(fā) 生了問題，外部網(wǎng)絡(luò)也無法與 被保護(hù)的網(wǎng)絡(luò)連接。中間結(jié)點通常為雙宿主機(jī)。代理服務(wù) 可提供詳細(xì)的日志記錄及審計功能，這大大提高了網(wǎng)絡(luò)的安全性，也為改進(jìn)現(xiàn)有軟件的 安全性能提供了可能性。代理服務(wù)器可運行在雙宿主機(jī)上，它是基于特定應(yīng)用程序的。 代理服務(wù)通常由兩部分構(gòu)成 :代理服務(wù)器程序和客戶程序。相當(dāng)多的代理服務(wù)器要 求使用固定的客戶程序。如果網(wǎng)絡(luò)管理員不能改變所有的代理服務(wù)器和客戶程序，系統(tǒng) 就不能正常工作。代理使網(wǎng)絡(luò)管理員有了更大的能力改善網(wǎng)絡(luò)的安全特性。然而，它也 給軟件開發(fā)者、網(wǎng)絡(luò)管理員和最終用戶帶來了很大的不便，這就是使用代理的代價。 也 有一些標(biāo)準(zhǔn)的客戶程序可以利用代理服務(wù)器通過防火墻運行，如 Mail、 FTP 和 Tel 等。 即便如此，最終用戶也許還需要學(xué)習(xí)特定的步驟以通過防火墻進(jìn)行通信。透明性對基于 代理服務(wù)器的防火墻顯然是一個大問題。即使是那些聲稱是透明性防火墻的代理也期望 應(yīng)用程序使用特定的 TcP 或 UDP 端口。如果一個節(jié)點在非標(biāo)準(zhǔn)端口上運行一個標(biāo)準(zhǔn)應(yīng)用程 序，代理將不支持這個應(yīng)用程序。許多防火墻允許系統(tǒng)管理員運行兩個代理拷貝，一個 在標(biāo)準(zhǔn)端口運行，另一個在非標(biāo)準(zhǔn)端口運行，常用服務(wù)的最大數(shù)目取決于不同的防火墻 產(chǎn)品。 基于代理服務(wù) 的防火墻廠商正在開始解決這個問題?；诖淼漠a(chǎn)品開始改進(jìn)成能 夠設(shè)置常用服務(wù)和非標(biāo)準(zhǔn)端口。然而，只要應(yīng)用程序進(jìn)行升級，基于代理的用戶會發(fā)現(xiàn) 他們必須發(fā)展新的代理。一個明顯的例子就是許多的 Web 瀏覽器中加入了大量的安全措 施。 應(yīng)用層網(wǎng)關(guān)可以處理存儲轉(zhuǎn)發(fā)通信業(yè)務(wù)，也可以處理交互式通信業(yè)務(wù)。通過適當(dāng)?shù)? 程序設(shè)計，應(yīng)用層網(wǎng)關(guān)可以理解在用戶應(yīng)用層 (通常指 051 模型第七層 )的通信業(yè)務(wù)。這 樣便可以在用戶層或應(yīng)用層提供訪問控制，并且可以用來對各種應(yīng)用程序的使用情況維 6 持一個智能性的日志文件。采用應(yīng)用層網(wǎng)關(guān)的主 要優(yōu)點是能夠記錄和控制所有進(jìn)出的網(wǎng) 絡(luò)通信業(yè)務(wù)。在需要時，在網(wǎng)關(guān)本身中還可以增加額外的安全措施。對于所中轉(zhuǎn)的每種 應(yīng)用，應(yīng)用層網(wǎng)關(guān)需要使用專用的程序代碼。由于有這種專用的程序代碼，應(yīng)用層網(wǎng)關(guān) 可以提供高可靠性的安全機(jī)制。每當(dāng)一個新的需保護(hù)的應(yīng)用加入網(wǎng)絡(luò)中時，必須為其編 制專門的程序代碼。正是如此，許多應(yīng)用層網(wǎng)關(guān)只能提供有限的應(yīng)用和服務(wù)功能。 (3)狀態(tài)監(jiān)視技術(shù) 狀態(tài)監(jiān)視可通過提取相關(guān)數(shù)據(jù)來對網(wǎng)絡(luò)通信的各層實施監(jiān)視并作為決策時的依據(jù)。監(jiān)視功能支持多種網(wǎng)絡(luò)協(xié)議，可以方便地實現(xiàn)應(yīng)用和服務(wù)的擴(kuò)充，特別是可監(jiān)視 RPC(遠(yuǎn)程進(jìn)程調(diào)用 )和 UDP(用戶數(shù)據(jù)報文 )端口信息，這是其它安全服務(wù)所不能完成的。 防火墻的作用 (1) 網(wǎng)絡(luò)安全的屏障 防火墻作為阻塞點、控制點能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)來降低風(fēng)險。由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。如防火墻可以禁止眾所周知的不安全的 NFS 協(xié)議進(jìn)出受保護(hù)網(wǎng)絡(luò)，這樣外部的攻擊者就不可能利用這些脆弱的協(xié)議來攻擊內(nèi)部網(wǎng)絡(luò)。防火墻同時可以保護(hù)網(wǎng)絡(luò)免受基于路由的攻擊，如 IP 選項中的源路由攻擊和 IcMP 重定向中的重定向 路徑攻擊。防火墻可以拒絕所有以上類型攻擊的報文并通知管理員。 (2)強(qiáng)化網(wǎng)絡(luò)安全策略 通過以防火墻為中心的安全方案配置，能將所有安全軟件如口令、加密、身份認(rèn)證、 審計等配置在防火墻上。與將網(wǎng)絡(luò)安全問題分散到各個主機(jī)上相比，防火墻的集中安全 管理更經(jīng)濟(jì)。例如在網(wǎng)絡(luò)訪問時，一次加密口令系統(tǒng)和其它的身份認(rèn)證系統(tǒng)完全可以不 必分散在各個主機(jī)上，而集中在防火墻身上。 (3) 對網(wǎng)絡(luò)存取和訪問進(jìn)行監(jiān)控審計 因為所有的訪問都經(jīng)過防火墻，所以防火墻能記錄下這些訪問并做出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。當(dāng)發(fā)生可 疑動作時，防火墻能進(jìn)行適當(dāng)?shù)膱缶? 并提供網(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細(xì)信息。另外，收集一個網(wǎng)絡(luò)的使用和誤用情況也 是非常重要的。管理員可以清楚了解防火墻是否能夠抵擋攻擊者的探測和攻擊，并且清 楚防火墻的控制是否充足。此外，網(wǎng)絡(luò)使用統(tǒng)計功能對網(wǎng)絡(luò)需求分析和威脅分析等而言 也是非常重要的。 (4)防止內(nèi)部信息的外泄 利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，網(wǎng)絡(luò)管理員可實現(xiàn)內(nèi)部網(wǎng)絡(luò)重點網(wǎng)段的隔離，從而 限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。再者，隱私是內(nèi)部網(wǎng)絡(luò)非 常關(guān)心的問題，一個內(nèi)部網(wǎng)絡(luò)中不引人注意的細(xì)節(jié)就 可能包含了有關(guān)安全的線索從而引 起外部攻擊者的興趣，甚至因此而暴露了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就可以 隱蔽那些內(nèi)部細(xì)節(jié)如 Finger、 DNS 等服務(wù)。 (5)阻塞有關(guān)內(nèi)部網(wǎng)絡(luò)中的 ONS 信息 通過 這 種 方法一臺主機(jī)的域名和 IP 地址就不會被外界所了解。 (6) 提供網(wǎng)絡(luò)地址轉(zhuǎn)換 (NAT) 網(wǎng)絡(luò)地址 轉(zhuǎn)換是對 Interent 隱藏內(nèi)部地址，防止內(nèi)部地址公開。這一功能可以 克服 IP 尋址方式的諸多限制，完善內(nèi)部尋址模式。把未注冊 IP 地址映射成合法地址，就 可以對工 nter 進(jìn)行訪問。對于 NAT 的另一個名字 是工 P 地址隱藏。 RFC1918 概述了私有地址并且因特網(wǎng)域名分配組織 IANA 建議使用內(nèi)部地址機(jī)制。以下地址作為保留地址 : 7 ~。 255 ~ .0~ 如果你選擇上述列表中的網(wǎng)絡(luò)地址，那么不需要向任何互聯(lián)網(wǎng)授權(quán)機(jī)構(gòu)注冊即可使 用。使用這些網(wǎng)絡(luò)地址的一個好處就是在互聯(lián)網(wǎng)上永遠(yuǎn)不會被路由。互聯(lián)網(wǎng)上所有的路 由器發(fā)現(xiàn)源或目標(biāo)地址含有這些私有網(wǎng)絡(luò) ID 時都會自動地丟棄數(shù)據(jù)包。 (7)提供 非軍事化區(qū)域 (DMZ) DMz 是一個小型網(wǎng)絡(luò)，存在于公司的內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間。這個網(wǎng)絡(luò)由路由器 建立。 DMZ 用來作為一個額外的緩沖區(qū)以進(jìn)一步隔離公網(wǎng)和你的內(nèi)部私有網(wǎng)絡(luò)，從物理 上和內(nèi)部網(wǎng)隔開，并在此部署 WWW 和 FTP 等服務(wù)器，將其作為向外部發(fā)布內(nèi)部信息的地點 . 但是這種實施的缺點在于存在于 DMZ 區(qū)域的任何服務(wù)器都不會得到防火墻的完全保護(hù)。 (8)其他 除了安全作用，防火墻還支持虛擬專用網(wǎng) vNP。通過 VNP，將企事業(yè)單位分布在全世 界各地的 LAN 或?qū)Ｓ米泳W(wǎng)有機(jī)地聯(lián)成一個整體。不僅省去了專用通信線路， 而且為信息 共享提供了技術(shù)保障。 邊界防火墻的局限性 從安全角度講 :傳統(tǒng)邊界防火墻只在網(wǎng)絡(luò)邊界具有安全保障功能，作用范圍有限， 而當(dāng)前的網(wǎng)絡(luò)犯罪又多源于網(wǎng)絡(luò)內(nèi)部 。傳統(tǒng)防火墻位于網(wǎng)絡(luò)邊界，容易產(chǎn)生并形成單一 故障點，邊界防火墻一旦被攻破，將成為黑客攻擊內(nèi)部網(wǎng)絡(luò)的最佳平臺 。傳統(tǒng)防火墻采 用 IP 地址表示內(nèi)部網(wǎng)絡(luò)可信任節(jié)點，難以抵御 IP 偽裝 [1]。 從技術(shù)角度講 :所有對外流出和對內(nèi)流入的網(wǎng)絡(luò)數(shù)據(jù)都必須經(jīng)過防火墻，容易產(chǎn)生 流量瓶頸 。傳統(tǒng)防火墻的實現(xiàn)是基于人為地將網(wǎng)絡(luò)分為了內(nèi)部可信任網(wǎng)絡(luò)和外部不 可信 網(wǎng)絡(luò)，這種針對特定的網(wǎng)絡(luò)拓?fù)鋵崿F(xiàn)的防火墻難以滿足網(wǎng)絡(luò)多元化的發(fā)展要求 。雖然代 理防火墻可以解決會話的上下文關(guān)系，但必須對不同的服務(wù)編寫不同的程序，實現(xiàn)起來 十分復(fù)雜 。傳統(tǒng)防火墻不是信息的最終用戶，對于加密數(shù)據(jù)由于沒有信息解密密鑰而無 法進(jìn)行檢測，難以抵御隧道攻擊。上述缺陷嚴(yán)重制約了網(wǎng)絡(luò)技術(shù)的應(yīng)用和發(fā)展。傳統(tǒng)的 防火墻均是集中式的，主要缺陷在于 [6]: (1) 邊界防火墻設(shè)置在網(wǎng)絡(luò)邊界，在內(nèi)部企業(yè)網(wǎng)與外部互聯(lián)網(wǎng)之間構(gòu)成一道屏障， 對網(wǎng)絡(luò)數(shù)據(jù)流進(jìn)行訪問控制。由于邊界式防火墻把檢查機(jī)制集中在網(wǎng)絡(luò)邊界處的單點 上，產(chǎn)成了網(wǎng)絡(luò)的瓶頸和單點故障隱患。從性能的角度來說，防火墻極易成為網(wǎng)絡(luò)流量 的瓶頸。從網(wǎng)絡(luò)可達(dá)性的角度來說，由于其帶寬的限制，防火墻并不能保證所有請求都 能及時響應(yīng)，所以在可達(dá)性方面防火墻也是整個網(wǎng)絡(luò)中的一個脆弱點。邊界防火墻難以 平衡網(wǎng)絡(luò)效率與安全性設(shè)定之間的矛盾，無法為網(wǎng)絡(luò)中的每臺服務(wù)器訂制規(guī)則，它只能 使用一個折衷的規(guī)則來近似滿足所有被保護(hù)的服務(wù)器的需要，因此或者損失效率，或者 損失安全性。 (2)邊界防火墻建立在受限拓?fù)浜褪芸厝肟邳c的概念上，準(zhǔn)確地說，它們建立在這樣的假定之上，處于防火墻內(nèi)部的用 戶是可信的，外部的用戶至少是潛在的敵人。其對網(wǎng)絡(luò)內(nèi)部數(shù)據(jù)流無法進(jìn)行監(jiān)控，但在實際環(huán)境中，越來越多的攻擊和越權(quán)訪問來自于網(wǎng)絡(luò)內(nèi)部。上述工作模型能很好地工作在中小網(wǎng)絡(luò)中，但當(dāng)網(wǎng)絡(luò)規(guī)模增大、網(wǎng)絡(luò)新技術(shù)不斷現(xiàn)時，這種工作模型的缺陷日益暴露出來。 (3) “ 單 點失效”問題 :防火墻將所有任務(wù)集于一身，所以一旦防火墻配置錯誤或出現(xiàn) 8 問題，則全網(wǎng)會暴露在攻擊者面前。 (4) 未 授 權(quán)訪問問題 :多種連接技術(shù)的實現(xiàn)，比如說現(xiàn)在常用到的撥號、 VNP 隧道技術(shù)可以很容易的繞過防火墻建立與外網(wǎng)之間的連接，給網(wǎng)路留下“后門”，造成網(wǎng) 絡(luò)安全隱患。 (5) 數(shù)據(jù)加密對防火墻造成威脅 :傳統(tǒng)的網(wǎng)絡(luò)協(xié)議沒有使用加密，因而防火墻能對數(shù)據(jù)流實施過濾。當(dāng)加密技術(shù)和新一代網(wǎng)絡(luò)協(xié)議被使用的時候，防火墻因為沒有密鑰而不能理解流過的數(shù)據(jù)包的內(nèi)容，從而不能實施檢查。 (6)安全模式單一 :傳統(tǒng)防火墻的安全策略是針對全網(wǎng)制定的，全網(wǎng)中的所有主機(jī)遵從單一的安全模式，網(wǎng)絡(luò)中的主機(jī)和服務(wù)器在安全性上不具體針對個性特點 分布式防火墻的提出 由于傳統(tǒng)防火墻的缺陷不斷顯露，于是有人認(rèn)為防火墻與現(xiàn)代網(wǎng)絡(luò)的發(fā)展是容 的，并認(rèn)為加密的廣泛使用可以廢除防火墻。但加密不能解決所 有的安全問題，防火墻 依然有它的優(yōu)勢，比如通過防火墻可以關(guān)閉危險的應(yīng)用，通過防火墻管理員可以實施統(tǒng) 一的監(jiān)控，也能對新發(fā)現(xiàn)的漏洞快速做出反應(yīng)等。也有人提出了對傳統(tǒng)防火墻進(jìn)行改進(jìn) 的方案，如多重邊界防火墻，內(nèi)部防火墻等，但這些方案都沒有從根本上擺脫拓?fù)湟蕾嚕? 因而也就不能消除傳統(tǒng)防火墻的固有缺陷，反而增加了網(wǎng)絡(luò)安全管理的難度。為了克服 以上缺陷而又保留傳統(tǒng)防火墻的優(yōu)點，美國 ATamp。T 實驗室研究員 StevenMBenovin 在他 的論文“分布式防火墻”中首次提出 T 分布式防火墻 (DistributedFirewall， DF 的 的概念，給出了分布式防火墻的原型框架，奠定了分布式防火墻研究的基礎(chǔ)。按照 Steven 的說法，分布式防火墻是由一個中心來制定安全策略，并將安全策略分發(fā)到主機(jī)上執(zhí)行。 它使用一種策略語言 (如 Ke 州 ote)來制定安全策略，并被編譯成內(nèi)部形式存于策略數(shù)據(jù) 庫中，系統(tǒng)管理軟件將安全策略分發(fā)到被保護(hù)的主機(jī)上，而主機(jī)根據(jù)這些安全策略和加 密的證書來決定是接受還是丟棄數(shù)據(jù)包，從而對主機(jī)實施保護(hù)。分布式防火墻要負(fù)責(zé)網(wǎng) 絡(luò)邊界，各子網(wǎng)和網(wǎng)絡(luò)內(nèi)部各節(jié)點的安全防護(hù)，所以它是一套完整的系統(tǒng)，而不是單一的產(chǎn)品 [8] 根據(jù)其所需要完成的功能，分布式防火墻可以認(rèn)為是由三部分組成的立體防護(hù)系統(tǒng) :一部分是網(wǎng)絡(luò)防火墻，它承擔(dān)著傳統(tǒng)邊界防火墻看守大門的職責(zé) 。一部分是主機(jī)防火墻，它解決了傳統(tǒng)邊界防火墻不能解決的問題 (例如來自內(nèi)部的攻擊和結(jié)構(gòu)限制等 )。還有一部分是集中管理，它解決了由分布技術(shù)而帶來的管理問題。分布式防火墻最重要的優(yōu)勢在于它能夠保護(hù)物理拓?fù)渖喜粚儆趦?nèi)部網(wǎng)絡(luò)、但位于邏輯上的“內(nèi)部”網(wǎng)絡(luò)的那些主機(jī)。 在新的安全體系結(jié)構(gòu)下，分布式防火墻代表新一代防火墻技術(shù)的潮流，它可以在網(wǎng)絡(luò)的任何交界和節(jié)點處設(shè)置屏 障，從而形成了一個多層次、多協(xié)議、內(nèi)外皆防的全方位安全體系 .主要性能如下 [6]: (1)增