【文章內(nèi)容簡介】 機，它的目的就是保護內(nèi)部網(wǎng)的訪問安全。防火墻可以安裝在兩個組織結(jié)構(gòu)的內(nèi)部網(wǎng)與外部的 Inter 之間，同時在多個組織結(jié)構(gòu)的內(nèi)部網(wǎng)和 Inter 之間也會起到同樣的保護作用。它主要的保護就是加強外部 Inter 對內(nèi)部網(wǎng)的訪問控制，它主要任務(wù)是允許特別的連接通過，也可以阻止其它不允許的連接。防火墻只是網(wǎng)絡(luò)安全策略的一部分，它通過少數(shù)幾個良好的監(jiān)控位置來進行內(nèi)部網(wǎng)與 Inter 的連接。防火墻的核心功能主要是包過濾。其中入侵檢測，控管規(guī)則過濾，實時監(jiān)防火墻技術(shù)研究15控及電子郵件過濾這些功能都是基于封包過濾技術(shù)的。防火墻的主體功能歸納為以下幾點：(1) 防火墻是網(wǎng)絡(luò)安全的屏障 一個防火墻(作為阻塞點、控制點)能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性, 并通過過濾不安全的服務(wù)而降低風(fēng)險。由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻, 所以網(wǎng)絡(luò)環(huán)境變得更安全。如防火墻可以禁止諸如眾所周知的不安全的 NFS 協(xié)議進出受保護網(wǎng)絡(luò), 這樣外部的攻擊者就不可能利用這些脆弱的協(xié)議來攻擊內(nèi)部網(wǎng)絡(luò)。防火墻同時可以保護網(wǎng)絡(luò)免受基于路由的攻擊, 如IP 選項中的源路由攻擊和 ICMP 重定向中的重定向路徑。防火墻應(yīng)該可以拒絕所有以上類型攻擊的報文并通知防火墻管理員。(2) 防火墻可以強化網(wǎng)絡(luò)安全策略通過以防火墻為中心的安全方案配置,能將所有安全軟件(如口令、加密、身份認證、審計等)配置在防火墻上。與將網(wǎng)絡(luò)安全問題分散到各個主機上相比, 防火墻的集中安全管理更經(jīng)濟。例如在網(wǎng)絡(luò)訪問時, 一次一密口令系統(tǒng)和其它的身份認證系統(tǒng)完全可以不必分散在各個主機上,而集中在防火墻一身上。(3) 對網(wǎng)絡(luò)存取和訪問進行監(jiān)控審計如果所有的訪問都經(jīng)過防火墻, 那么,防火墻就能記錄下這些訪問并作出日志記錄, 同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。當(dāng)發(fā)生可疑動作時, 防火墻能進行適當(dāng)?shù)膱缶? 并提供網(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細信息。另外, 收集一個網(wǎng)絡(luò)的使用和誤用情況也是非常重要的。首先的理由是可以清楚防火墻是否能夠抵擋攻擊者的探測和攻擊, 并且清楚防火墻的控制是否充足。而網(wǎng)絡(luò)使用統(tǒng)計對網(wǎng)絡(luò)需求分析和威脅分析等而言也是非常重要的。防火墻技術(shù)研究16(4)防止內(nèi)部信息的外泄通過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分,可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離, 從而限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。再者, 隱私是內(nèi)部網(wǎng)絡(luò)非常關(guān)心的問題, 一個內(nèi)部網(wǎng)絡(luò)中不引人注意的細節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣, 甚至因此而暴漏了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就可以隱蔽那些透漏內(nèi)部細節(jié)如 Finger、DNS 等服務(wù)。Finger 顯示了主機的所有用戶的注冊名、真名,最后登錄時間和使用 shell 類型等。但是 Finger 顯示的信息非常容易被攻擊者所獲悉。攻擊者可以知道一個系統(tǒng)使用的頻繁程度, 這個系統(tǒng)是否有用戶正在連線上網(wǎng), 這個系統(tǒng)是否在被攻擊時引起注意等等。防火墻可以同樣阻塞有關(guān)內(nèi)部網(wǎng)絡(luò)中的 DNS 信息,這樣一臺主機的域名和 IP 地址就不會被外界所了解。(5)被攔阻時能通過聲音或閃爍圖標給用戶報警提示。防火墻僅靠這些核心技術(shù)功能是遠遠不夠的。核心技術(shù)是基礎(chǔ),必須在這個基礎(chǔ)之上加入輔助功能才能流暢的工作。而實現(xiàn)防火墻的核心功能是封包過濾3 防火墻的不足防火墻對網(wǎng)絡(luò)的威脅進行極好的防范，但是，它們不是安全解決方案的全部。某些威脅是防火墻力所不及的。(1)防火墻可以阻斷攻擊,但不可消滅攻擊源“各家自掃門前雪, 不管他人瓦上霜”就是目前網(wǎng)絡(luò)安全的現(xiàn)狀。互聯(lián)網(wǎng)上的病毒,惡意試探等造成的攻擊行為絡(luò)繹不絕。設(shè)置得當(dāng)?shù)姆阑饓δ軌蜃钃跛麄?但是無法消除攻擊源。即使防火墻進行了很好的設(shè)置,使得攻擊無法滲透防火墻, 但各種攻擊仍然會源源不斷地向防火墻發(fā)出嘗試。(2) 防火墻不能夠抵抗最新的未設(shè)置策略的攻擊漏洞就如殺毒軟件與病毒一樣, 總是先出現(xiàn)病毒, 殺毒軟件經(jīng)過分析出其特征防火墻技術(shù)研究17碼后加入到病毒庫內(nèi)才能查殺。防火墻的各種策略,也是在該攻擊方式經(jīng)過專家分析后根據(jù)其特征而進行設(shè)置的, 如果世界上新發(fā)現(xiàn)某個主機漏洞的 CRACKER 把第一個攻擊對象擊中了您的網(wǎng)絡(luò),那么防火墻也沒有辦法幫助您的。(3) 防火墻的并發(fā)連接數(shù)限制容易導(dǎo)致?lián)砣蛘咧u出由于要判斷處理流經(jīng)防火墻的每一個包, 因此防火墻在某些流量大, 并發(fā)請求多的情況下, 很容易導(dǎo)致?lián)砣?成為整個網(wǎng)絡(luò)的瓶頸影響性能。而當(dāng)防火墻謚出的時候, 整個防線就如同虛設(shè), 原本被禁止的連接也能從容通過了。(4) 防火墻對服務(wù)器合法開放的端口攻擊大多無法阻止某些情況下, 攻擊者利用服務(wù)器提供服務(wù)進行缺陷攻擊。(5)防火墻對待內(nèi)部主動發(fā)起連接的攻擊一般無法阻擊“外緊內(nèi)松”是一般局域網(wǎng)絡(luò)的特點, 或許一道嚴密防火墻內(nèi)部的網(wǎng)絡(luò)是一片混亂也有可能。通過社會工程學(xué)發(fā)送帶木馬的郵件、帶木馬的 URL 等方式, 然后由中木馬的機器主動對攻擊者連接, 將壁一樣的防火墻瞬間破壞掉。另外,防火墻內(nèi)部各主機間的攻擊行為,防火墻出只有如旁觀者一樣冷視而愛莫能助。(6) 防火墻本身也會出現(xiàn)問題和受到攻擊防火墻也是一個 OS , 也有著其硬件系統(tǒng)和軟件系統(tǒng),因此依然有著漏洞和 bug 。所以其本身也有可能受到攻擊和出現(xiàn)軟、硬件方面的故障。4 防火墻主要技術(shù)特點1）應(yīng)用層采用 Winsock 2 SPI 進行網(wǎng)絡(luò)數(shù)據(jù)控制、過濾； 2）核心層采用 NDIS HOOK 進行控制，尤其是在 Windows 2021 下，此技術(shù)屬微軟未公開技術(shù)。 此防火墻還采用兩種封包過濾技術(shù)：一是應(yīng)用層封包過濾，采用 Winsock 防火墻技術(shù)研究182 SPI ；二是核心層封包過濾，采用 NDIS_HOOK。Winsock 2 SPI 工作在 API 之下、Driver 之上，屬于應(yīng)用層的范疇。利用這項技術(shù)可以截獲所有的基于 Socket 的網(wǎng)絡(luò)通信。比如 IE、OUTLOOK 等常見的應(yīng)用程序都是使用 Socket 進行通信。采用 Winsock 2 SPI 的優(yōu)點是非常明顯的：其工作在應(yīng)用層以 DLL 的形式存在，編程、測試方便；跨 Windows 平臺，可以直接在 Windows98/ME/NT/2021/XP 上通用，Windows95 只需安裝上Winsock 2 for 95，也可以正常運行；效率高，由于工作在應(yīng)用層，CPU 占用率低；封包還沒有按照低層協(xié)議進行切片，所以比較完整。而防火墻正是在TCP/IP 協(xié)議在 windows 的基礎(chǔ)上才得以實現(xiàn)。防火墻技術(shù)研究19第三章 防火墻的體系結(jié)構(gòu) 雙重宿主主機體系結(jié)構(gòu)雙重宿主主機體系結(jié)構(gòu)是圍繞具有雙重宿主的主機計算機而構(gòu)筑的，該計算機至少有兩個網(wǎng)絡(luò)接口。這樣的主機可以充當(dāng)與這些接口相連的網(wǎng)絡(luò)之間的路由器；它能夠從一個網(wǎng)絡(luò)到另一個網(wǎng)絡(luò)發(fā)送 IP 數(shù)據(jù)包。然而，實現(xiàn)雙重宿主主機的防火墻體系結(jié)構(gòu)禁止這種發(fā)送功能。因而，IP 數(shù)據(jù)包從一個網(wǎng)絡(luò)( 例如，因特網(wǎng)) 并不是直接發(fā)送到其他網(wǎng)絡(luò) (例如，內(nèi)部的、被保護的網(wǎng)絡(luò))。防火墻內(nèi)部的系統(tǒng)能與雙重宿主主機通信，同時防火墻外部的系統(tǒng)(在因特網(wǎng)上)能與雙重宿主主機通信，但是這些系統(tǒng)不能直接互相通信。它們之間的 IP 通信被完全阻止。但這種體系結(jié)構(gòu)中用戶訪問因特網(wǎng)的速度會較慢，也會因為雙重宿主主機的被侵襲而失效。雙重宿主主機的防火墻體系結(jié)構(gòu)是相當(dāng)簡單的：雙重宿主主機位于兩者之間，并且被連接到因特網(wǎng)和內(nèi)部的網(wǎng)絡(luò)，如圖 4 所示防火墻技術(shù)研究20圖 4 雙重宿主主機體系結(jié)構(gòu) 屏蔽主機體系結(jié)構(gòu)雙重宿主主機體系結(jié)構(gòu)提供來自與多個網(wǎng)絡(luò)相連的主機的服務(wù)(但是路由關(guān)閉), 而被屏蔽主機體系結(jié)構(gòu)使用一個單獨的路由器提供來自僅僅與內(nèi)部的網(wǎng)絡(luò)相連的主機的服務(wù)。在這種體系結(jié)構(gòu)中,主要的安全由數(shù)據(jù)包過濾。其結(jié)構(gòu)如下圖 5 所示 防火墻技術(shù)研究21圖 5 屏蔽主機體系結(jié)構(gòu)在屏蔽的路由器上的數(shù)據(jù)包過濾是按這樣一種方法設(shè)置的: 堡壘主機是因特網(wǎng)上的主機能連接到內(nèi)部網(wǎng)絡(luò)上的系統(tǒng)的橋梁(例如，傳送進來的電子郵件)。即使這樣，也僅有某些確定類型的連接被允許。任何外部的系統(tǒng)試圖訪問內(nèi)部的系統(tǒng)或服務(wù)將必須連接到這臺堡壘主機上。因此，堡壘主機需要擁有高等級的安全。數(shù)據(jù)包過濾也允許堡壘主機開放可允許的連接(什么是“可允許”將由用戶的站點的安全策略決定)到外部世界。在屏蔽的路由器中數(shù)據(jù)包過濾配置可以按下列之一執(zhí)行：(1)允許其他的內(nèi)部主機為了某些服務(wù)與因特網(wǎng)上的主機連接(即允許那些已經(jīng)由數(shù)據(jù)包過濾的服務(wù))。(2)不允許來自內(nèi)部主機的所有連接(強迫那些主機經(jīng)由堡壘主機使用代理服務(wù)) 。用戶可以針對不同的服務(wù)混合使用這些手段；某些服務(wù)可以被允許直接經(jīng)防火墻技術(shù)研究22由數(shù)據(jù)包過濾，而其他服務(wù)可以被允許僅僅間接地經(jīng)過代理。這完全取決于用戶實行的安全策略。因為這種體系結(jié)構(gòu)允許數(shù)據(jù)包從因特網(wǎng)向內(nèi)部網(wǎng)的移動，所以它的設(shè)計比沒有外部數(shù)據(jù)包能到達內(nèi)部網(wǎng)絡(luò)的雙重宿主主機體系結(jié)構(gòu)似乎是更冒風(fēng)險。實際上，雙重宿主主機體系結(jié)構(gòu)在防備數(shù)據(jù)包從外部網(wǎng)絡(luò)穿過內(nèi)部的網(wǎng)絡(luò)也容易產(chǎn)生失敗( 因為這種失敗類型是完全出乎預(yù)料的，不太可能防備黑客侵襲)。進而言之，保衛(wèi)路由器比保衛(wèi)主機較易實現(xiàn)，因為它提供非常有限的服務(wù)組。多數(shù)情況下，被屏蔽的主機體系結(jié)構(gòu)提供比雙重宿主主機體系結(jié)構(gòu)具有更好的安全性和可用性。然而，比較其他體系結(jié)構(gòu)，如在下面要討論的屏蔽子網(wǎng)體系結(jié)構(gòu)也有一些缺點。主要是如果侵襲者沒有辦法侵入堡壘主機時，而且在堡壘主機和其余的內(nèi)部主機之間沒有任何保護網(wǎng)絡(luò)安全的東西存在的情況下，路由器同樣出現(xiàn)一個單點失效。如果路由器被損害，整個網(wǎng)絡(luò)對侵襲者是開放的。 屏蔽子網(wǎng)體系結(jié)構(gòu)屏蔽子網(wǎng)體系結(jié)構(gòu)添加額外的安全層到被屏蔽主機體系結(jié)構(gòu)，即通過添加周邊網(wǎng)絡(luò)更進一步地把內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)(通常是 Inter)隔離開。屏蔽子網(wǎng)體系結(jié)構(gòu)的最簡單的形式為：兩個屏蔽路由器，每一個都連接到周邊網(wǎng)。一個位于周邊網(wǎng)與內(nèi)部網(wǎng)絡(luò)之間，另一個位于周邊網(wǎng)與外部網(wǎng)絡(luò)(通常為 Inter)之間。這樣就在內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間形成了一個“ 隔離帶” 。為了侵入用這種體系結(jié)構(gòu)構(gòu)筑的內(nèi)部網(wǎng)絡(luò)，侵襲者必須通過兩個路由器。即使侵襲者侵入堡壘主機，它將仍然必須通過內(nèi)部路由器，如圖 6 所示防火墻技術(shù)研究23圖 6 被屏蔽子網(wǎng)體系結(jié)構(gòu)對圖 6 的要點說明如下：(1)周邊網(wǎng)絡(luò)周邊網(wǎng)絡(luò)是另一個安全層,是在外部網(wǎng)絡(luò)與用戶的被保護的內(nèi)部網(wǎng)絡(luò)之間的附加的網(wǎng)絡(luò)。如果侵襲者成功地侵入用戶的防火墻的外層領(lǐng)域，周邊網(wǎng)絡(luò)在那個侵襲者與用戶的內(nèi)部系統(tǒng)之間提供一個附加的保護層。對于周邊網(wǎng)絡(luò)的作用，舉例說明如下。在許多網(wǎng)絡(luò)設(shè)置中，用給定網(wǎng)絡(luò)的任何機器來查看這個網(wǎng)絡(luò)上的每一臺機器的通信是可能的，對大多數(shù)以太網(wǎng)為基礎(chǔ)的網(wǎng)絡(luò)確實如此(而且以太網(wǎng)是當(dāng)今使用最廣泛的局域網(wǎng)技術(shù))；對若干其他成熟的技術(shù)，諸如令牌環(huán)和 FDDI 也是如此。探聽者可以通過查看那些在Tel、FTP 以及 Rlogin 會話期間使用過的口令成功地探測出口令。即使口令沒被攻破，探聽者仍然能偷看或訪問他人的敏感文件的內(nèi)容，或閱讀他們感興趣的電子郵件等；探聽者能完全監(jiān)視何人在使用網(wǎng)絡(luò)。對于周邊網(wǎng)絡(luò)，如果某人侵入周邊網(wǎng)上的堡壘主機，他僅能探聽到周邊網(wǎng)上的通信。因為所有周邊網(wǎng)上的通信來自或通往堡壘主機或 Inter。因為沒有嚴格的內(nèi)部通信(即在兩臺內(nèi)部主機之間的通