【文章內容簡介】 比較嚴重的后果，你都必須假設它們對信息系統(tǒng)的威脅總是存在的。因為一旦你的信息系統(tǒng)受到攻擊，你也許會蒙受無法估量的損失。所以在任何時候，對信息系統(tǒng)實施連續(xù)不斷的保護是非常必要的。 經(jīng)過對攻防技術發(fā)展和網(wǎng)絡安全實踐的 研究分析 ， 我們可以得知單一的安全保護往往效果不理想 ， 而最佳途徑就是采用“多層安全防護措施”對信息系統(tǒng)進行全方位的保護。 但是 對攻防技術發(fā)展和網(wǎng)絡安全實踐的研究分析表明， 單一的 防火墻有許多“ 難言之隱 ” —— 即 “ 三難防 ” 困擾 。 “ 一難防 ” 。 單一的 防火墻不能防范不經(jīng)由防火墻的攻擊。如果外部網(wǎng)絡用戶直接從因特網(wǎng)服務提供商那里購置直接的 SLIP 或 PPP 鏈接，繞過了防火墻系統(tǒng)所提供的安全保護，就會造成一個潛在的后門攻擊渠道。 “ 二難防 ” 。 單一的 防火墻不能阻止已受到病毒感染的軟件或文件的傳輸，因而不能防止網(wǎng)絡受到病毒的 侵擾。由于操作系統(tǒng)、病毒、二進制文件類型的復雜性，而且更新速度很快， 它 無法逐個掃描每個文件查找病毒，病毒很可能隱藏在合法郵寄的數(shù)據(jù)包內， 它 很難對其進行識別。 “ 三難防 ” 。 單一的 防火墻不能防止數(shù)據(jù)驅動式的攻擊。當有些表面看起來無害的數(shù)據(jù)通過郵寄或拷貝到內部網(wǎng)的主機上并被執(zhí)行時，就會發(fā)生數(shù)據(jù)驅動式的攻擊。例如，一種數(shù)據(jù)驅動式的攻擊，可以導致主機修改與系統(tǒng)安全有關的配多層防火 墻技術的研究 —— 狀態(tài)檢測 14 置文件，從而使入侵者下一次更容易攻擊該系統(tǒng)。 正因為 上述單一的 防火墻 的 “ 三難防 ” 困擾， 我們提出了“多層次防護”的概念，它采用 多層安全防護措施對信 息系統(tǒng)進行全方位的保護。 在各個層次上部署相關的網(wǎng)絡安全產品以增加攻擊者侵入時所需花費的時間、成本和所需要的資源，大大減少了他們的攻擊頻度，從而卓有成效地降低被攻擊的危險，達到安全防護的目標。 多層防火墻技術的概論 針對上述單一防火墻系統(tǒng)安全性能不高，防護效果往往不夠理想的情況，我們提出 “多層次防護”即 多層防火墻的概念。 鞏固我們的網(wǎng)絡安全性能， 提高網(wǎng)絡的安全防范能力 ，使 信息系統(tǒng)的安全系數(shù)得到了大大的提升。 我們所研究的 多層防火墻系統(tǒng)就是 結合不同的防火墻安全策略和技術， 該防火墻的“多層次安全防護” 就是應用和實施一個基于 OSI 網(wǎng)絡參考模型的多層次安全系統(tǒng)的全面信息安全策略，采用了“多級過濾技術”在各個層次上部署相關的網(wǎng)絡安全產品，例如 地址翻譯技術、數(shù)據(jù)包過濾技術、狀態(tài)檢測技術、電路級網(wǎng)關技術和應用級網(wǎng)關技術等其他技術 ，來創(chuàng)建一個比單一防護有效得的多的綜合的保護屏障 ， 層層高度戒備。 所謂“多級過濾技術”，是指防火墻采用多級過濾措施，并輔以鑒別手段。在分組過濾（網(wǎng)絡層）一級，過濾掉所有的源路由分組和假冒的 IP 源地址；在傳輸層一級，遵循過濾規(guī)則，過濾掉所有禁止出或 /和入的協(xié)議和有害數(shù)據(jù)包如nuke 包、圣誕樹 包等；在應用網(wǎng)關（應用層）一級，能利用 FTP、 SMTP 等各種網(wǎng)關，控制和監(jiān)測 Inter 提供的所用通用服務。這是針對以上各種已有防火墻技術的不足而產生的一種綜合型過濾技術，它可以彌補以上各種單獨過濾技術的不足。這種過濾技術在分層上非常清楚，每種過濾技術對應于 OSI網(wǎng)絡參考模型上的不同的網(wǎng)絡層，從這個概念出發(fā)，又有很多內容可以擴展，為將來的防火墻技術發(fā)展打下基礎。 我們所研究的多層防火墻系統(tǒng)，就是采用多種防火墻技術構成多層防護屏障，對網(wǎng)絡中傳送的信息進行重重檢測，鑒定其安全性，從而來對網(wǎng)絡進行層層多層防火 墻技術的研究 —— 狀態(tài)檢測 15 防護。因 為多層次的防火墻和單一的防火墻相比起來，不是一個單一的物理實體，它除了具有防火墻的功能外，而且還能執(zhí)行其他的功能，如加解密和認證等，能更好的實現(xiàn)控制對受保護的網(wǎng)絡（即網(wǎng)點）的往返訪問。 該 多層防火墻最大的優(yōu)點就是可以成倍地增加了 攻擊者侵入時所需花費的時間、成本和所需要的資源，大大減少了他們的攻擊頻度，即而卓有成效地降低被攻擊的危險，達到安全防護的目標， 使信息系統(tǒng)得到連續(xù)不斷的保護 。事實上，多層次防護已經(jīng)成為網(wǎng)絡安全設計的主流策略。 多層防火 墻技術的研究 —— 狀態(tài)檢測 16 多層防火 墻技術的研究 —— 狀態(tài)檢測 17 第三章 多層防火墻系統(tǒng)的功 能及其組成 隨著網(wǎng)絡技術的快速發(fā)展和應用的日漸普及，黑客工具不僅變得越來越先進，而且也越來越容易被一般人獲取和濫用。黑客技術的提升和黑客工具的泛濫，造成大量的企業(yè)、機構和個人的電腦系統(tǒng)遭受程度不同的入侵和攻擊，或面臨隨時被攻擊的危險。這就迫使大家不得不加強對自身電腦網(wǎng)絡系統(tǒng)的安全防護，甚至追求所謂徹底的、一勞永逸的、 100%的網(wǎng)絡安全解決方案。 但是，正如一些網(wǎng)絡安全專家和專業(yè)廠商所強調的，沒有一個公司的安全系統(tǒng)能保證 100%的安全。安全總是相對的。本文闡釋的所謂 “ 多層次防護 ” ，就是應用和實施一個基于多層次 安全系統(tǒng)的全面信息安全策略 。 在各個層次上部署相關的網(wǎng)絡安全產品， 采用“多層過濾技術”， 構成多層防護屏障，對網(wǎng)絡中傳送的信息進行重重檢測，鑒定其安全性，從而來對網(wǎng)絡進行層層防護， 從而增加攻擊者侵入所花費的時間、成本和所需要的資源， 既而 卓有成效地降低被攻擊的危險，達到安全防護的目標。事實上，多層次防護已經(jīng)成為當今網(wǎng)絡安全的主流策略。 地址轉換技術 地址轉換技術（ Network Address Translation,NAT） 。也稱地址翻譯技術就是將一個 IP地址用另一個 IP地址代替。它是多層防火墻技術 的第一道防護屏障。通過此項功能就可以很好地屏蔽內部網(wǎng)絡的 IP 地址，對內部網(wǎng)絡用戶起到了保護作用。 NAT 的實現(xiàn)過程是這樣的：通常在一個 firewall 或者 router 上起 NAT，firewall 有兩個 NIC，一個接 Inter，為合法 IP，一個接 LAN，為保留 IP。LAN 的用戶的 defualt gateway 指向 NAT的內部 (LAN)接口，所有從 LAN 通過 NAT出去的包在 NAT 處會進行一個轉換，通常會把這些包的源 IP 地址轉換成 NAT 的外部接口的合法 I P 地址，同時 NAT在自己的連接表中添加一條記錄 ，以便這個包的應答包回來時知道應該送到哪里。改了源 IP地址的包送到 Inter，他的應答包肯定能夠回到 NAT 的外部接口， NAT 接到應答包后，通過查看自己的連接表的記錄，更改應答包的目標 I P，然后送到發(fā)出請求的工作站。 多層防火 墻技術的研究 —— 狀態(tài)檢測 18 當受保護網(wǎng)連到 Inter 上時，受保護網(wǎng)用戶若要訪問 Inter，必須使用一個合法的 IP地址。但由于合法因特網(wǎng) IP 地址有限，而且受保護網(wǎng)絡往往有自己的一套本地 IP 地址規(guī)劃。在防火墻上配置 NAT 技術，就需要在防火墻上配置一個合法 IP 地址集，當內部網(wǎng)絡用戶要訪問 Inter 時，防 火墻動態(tài)地從地址集中選一個未分配的地址分配給該用戶，該用戶即可使用這個合法地址進行通信。同時，對于內部的某些服務器如 Web服務器，網(wǎng)絡地址轉換器允許為其分配一個固定的合法地址，內部網(wǎng)絡用戶就可通過防火墻來訪問外部網(wǎng)絡。 在防火墻上部署 NAT 的方式可以有以下幾種： ① M1：多個內部網(wǎng)地址轉換到 1個 IP 地址 ② 11：簡單的一對一地址轉換 ③ MN：多個內部網(wǎng)地址轉換到 N個 IP 地址池 通過這樣的地址轉換后，既緩解了少量的因特網(wǎng) IP 地址和大量主機之間的矛盾，又對外隱藏了內部主機的 IP地址，提高了安全性。如果防火墻使用了 NAT技術，所有的內部地址將會被轉換成防火墻 WAN 端口上合法的因特網(wǎng) IP 地址，以達到隱藏了內部網(wǎng)絡用戶身份的目的。 NAT 技術又分為“ SNAT (Source NAT)”和“ DNAT (Destination NAT)”。 SNAT就是改變轉發(fā)數(shù)據(jù)包的源地址，對內部網(wǎng)絡地址進行轉換，對外部網(wǎng)絡是屏蔽的，使得外部非常用戶對內部主機的攻擊更加困難，同時可以節(jié)省有限的公網(wǎng) IP 資源，通過少數(shù)一個或幾個公網(wǎng) IP 地址共享上網(wǎng)。而 DNAT 就是改變轉發(fā)數(shù)據(jù)包的目的地址，外部網(wǎng)絡主機向內部網(wǎng) 絡主機發(fā)出通信連接時，防火墻首先把目的地址轉換為自己的地址，然后再轉發(fā)外部網(wǎng)絡的通信連接，這樣實際上外部網(wǎng)絡主機與內部網(wǎng)絡主機的通信變成了防火墻與內部網(wǎng)絡主機的通信。在防火墻中主要用于外部網(wǎng)絡主機對內部網(wǎng)絡和 DMZ 區(qū) (非軍事區(qū) )主機的訪問。 數(shù)據(jù)包過濾技術 數(shù)據(jù)包過濾技術工作在 OSI 網(wǎng)絡參考模型的網(wǎng)絡層和傳輸層，它是多層防火墻技術的第二道防護屏障。數(shù)據(jù)包過濾技術在網(wǎng)絡的入口，根據(jù)數(shù)據(jù)包頭源地址，目的地址、端口號和協(xié)議類型等標志確定是否允許通過。只有滿足過濾條件的數(shù)多層防火 墻技術的研究 —— 狀態(tài)檢測 19 據(jù)包才被轉發(fā)到相應的目的地，其 余數(shù)據(jù)包則被從數(shù)據(jù)流中丟棄。 所謂的數(shù)據(jù)包過濾技術。 又稱“報文過濾”技術 ，它是防火墻最傳統(tǒng)、最基本的過濾技術。防火墻的產生也是從這一技術開始的，最早是于 1989 所提出的。防火墻的包過濾技術就是對通信過程中數(shù)據(jù)進行過濾 (又稱篩選 )，使符合事先規(guī)定的安全規(guī)則 (或稱“安全策略” )的數(shù)據(jù)包通過，而使那些不符合安全規(guī)則的數(shù)據(jù)包丟棄。這個安全規(guī)則就是防火墻技術的根本，它是通過對各種網(wǎng)絡應用、通信類型和端口的使用來規(guī)定的。 包過濾方式是一種通用、廉價和有效的安全手段。它的 優(yōu)點是它對于用戶來說是透明的，處理速度快而且易于 維護，通常被做為一道基本防線。 不用改動客戶機和主機上的應用程序，因為它工作在網(wǎng)絡層和傳輸層，與應用層無關。之所以通用，是因為它不是針對各個具體的網(wǎng)絡服務采取特殊的處理方式，適用于所有網(wǎng)絡服務；之所以廉價，是因為大多數(shù)路由器都提供數(shù)據(jù)包過濾功能，所以這類防火墻多數(shù)是由路由器集成的；之所以有效，是因為它能很大程度上滿足了絕大多數(shù)企業(yè)安全要求。 防火墻對數(shù)據(jù)的過濾，首先是根據(jù)數(shù)據(jù)包中包頭部分所包含的源 IP 地址、目的 IP 地址、協(xié)議類型 (TCP 包、 UDP 包、 ICMP 包 )、源端口、目的端口及數(shù)據(jù)包傳遞方向等信息，判斷是 否符合安全規(guī)則，以此來確定該數(shù)據(jù)包是否允許通過。 先來看一下防火墻方案部署的網(wǎng)絡拓撲結構，所有的防火墻方案網(wǎng)絡拓撲結構都可簡化為如圖 所示。 圖 簡化的網(wǎng)絡拓撲結構 在這個網(wǎng)絡結構中防火墻位于內、外部網(wǎng)絡的邊界，內部網(wǎng)絡可能包括各種交換機、路由器等網(wǎng)絡設備。而外部網(wǎng)絡通常是直接通過防火墻與內部網(wǎng)絡連接，中間不會有其它網(wǎng)絡設備 。防火墻作為內、外部網(wǎng)絡的唯一通道，所以進、出的數(shù)據(jù)都必須通過防火墻來傳輸?shù)?。這就有效地保證了外部網(wǎng)絡的所有通信請求，當然包括黑客所發(fā)出的非法請求都能在防火墻中進行過濾。 多層防火 墻技術的研究 —— 狀態(tài)檢測 20 包過濾技術最先使用的是在路由器上進行的，它也是最原始的防火墻方案。實現(xiàn)起來非常容易，只需要在原有的路由器上進行適當?shù)呐渲眉纯蓪崿F(xiàn)防火墻方案。在整個防火墻技術的發(fā)展過程中，包過濾技術出現(xiàn)了兩種不同版本，稱為“第一代靜態(tài)包過濾”和“第二代動態(tài)包過濾”。 ①第一代靜態(tài)包過濾類型防火墻 這類防火墻幾乎是與路由器同時產生的，它是根據(jù)定義好的 過濾規(guī)則審查每個數(shù)據(jù)包，以便確定其是否與某一條包過濾規(guī)則匹配。過濾規(guī)則基于數(shù)據(jù)包的報頭信息進行制訂。報頭信息中包括 IP 源地址、 IP目標地址、傳輸協(xié)議 (TCP、 UDP、ICMP 等等 )、 TCP/UDP 目標端口、 ICMP 消息類型等。 ②第二代動態(tài)包過濾類型防火墻 這類防火墻采用動態(tài)設置包過濾規(guī)則的方法，避免了靜態(tài)包過濾所具有的問題。這種技術后來發(fā)展成為包狀態(tài)監(jiān)測 (Stateful Inspection)技術。采用這種技術的防火墻對通過其建立的每一個連接都進行跟蹤，并且根據(jù)需要可動態(tài)地在過濾規(guī)則中增加或更新條目。 包過濾技術的應用非常廣泛，因為包過濾技術相對較為簡單，只需對每個數(shù)據(jù)包與相應的安全規(guī)則進行比較即可得出是否通過的結論，所以防火墻主機 CPU用來處理包過濾的時間非常短，執(zhí)行效率也非常高。而且這種過濾機制對用戶來說完全是透明的，根本不用用戶先與防火墻取得任何合法身份，符合規(guī)則的通信，用戶根本感覺不到防火墻的存在，使用起來很方便。 狀態(tài)檢測技術 狀態(tài)檢測 （ Check Point） 技術 是基于 OSI 網(wǎng)絡 參考模型的 第四層的包過濾技術 。狀態(tài)檢測技術又稱動態(tài)包過濾技術， 它是針對高層協(xié)議（如 TCP）難以用簡單的包 過濾對數(shù)據(jù)連接進行有效控制，而必須采用上下文相關控制這一特點的，比如 FTP、 等協(xié)議。狀態(tài)檢測防火墻通過建立動態(tài) TCP 連接狀態(tài)表并對 每次會話連接進行驗證來實現(xiàn)網(wǎng)絡訪問控制。 狀態(tài)檢測技術是在傳統(tǒng)包過濾技術上的功能擴展，現(xiàn)在已經(jīng)成為防火墻技術的主流技術。狀態(tài)檢測防火墻技術示意如下圖 所示。 多層防火 墻技術的研究 —— 狀態(tài)檢測 21 這種防火墻具有非常好的安全特性，它使用了一個在網(wǎng)關上執(zhí)行網(wǎng)絡安全策略的軟件模塊，稱之為狀態(tài)監(jiān)測引擎。監(jiān)測引擎在不影響網(wǎng)絡正常運行的前提下，采用抽取有關數(shù)據(jù)的方法對網(wǎng)絡通信的各層實施監(jiān)測，抽取