【文章內(nèi)容簡(jiǎn)介】 態(tài)路由功能，支持內(nèi)部多個(gè)子網(wǎng) 之間的安全訪問。 入侵檢測(cè)功能 入侵檢測(cè)技術(shù)[7]就是一種主動(dòng)保護(hù)自己免受黑客攻擊的一種網(wǎng)絡(luò)安全技 術(shù)，包括以下內(nèi)容: 。端口掃描就是指黑客通過遠(yuǎn)程端口掃描的工具，從中發(fā)現(xiàn)主 機(jī)的哪些非常用端口是打開的。是否支持 FTP、服務(wù)。且 FTP 服務(wù)是否支持 Web “匿 名”，以及 IIS 版本，是否有可以被成功攻破的 IIS 漏洞，進(jìn)而對(duì)內(nèi)部網(wǎng)絡(luò)的主 機(jī)進(jìn)行攻擊。顧名思義反端口掃描就是防范端口掃描的方法，目前常用的方法有: 關(guān)閉閑置和有潛在危險(xiǎn)的端口。檢查各端口，有端口掃描的癥狀時(shí)，立即屏蔽該 端口，多數(shù)防火墻設(shè)備采用的都是這種反端口掃描方式。拒絕服務(wù)(DoS)攻擊就是利用合理的服務(wù)請(qǐng)求來占用 過多的服務(wù)資源，從而使合法用戶無法得到服務(wù)的響應(yīng)，其攻擊方式有很多種。11 計(jì)算機(jī)防火墻技術(shù)論文而分布式的拒絕服務(wù)攻擊(DDoS)攻擊手段則是在傳統(tǒng)的 DoS 攻擊基礎(chǔ)之上產(chǎn)生 的一類攻擊方式，分布式的拒絕服務(wù)攻擊(DDoS)。其原理很簡(jiǎn)單，就是利用更多 的受控主機(jī)同時(shí)發(fā)起進(jìn)攻，以比 DoS 更大的規(guī)模(或者說以更高于受攻主機(jī)處理 能力的進(jìn)攻能力)來進(jìn)攻受害者?，F(xiàn)在的防火墻設(shè)備通常都可檢測(cè) Synflod、Land、Ping of Death、TearDrop、ICMP flood 和 UDPflod 等多種 DOS/DDOS 攻 擊。 測(cè) 多 種 緩 沖 區(qū) 溢 出 攻 擊(Buffer Overflow)。緩 沖 區(qū) 溢 出(Buffer Overflow)攻擊指利用軟件的弱點(diǎn)將任意數(shù)據(jù)添加進(jìn)某個(gè)程序中，造成緩沖區(qū)的 溢出，從而破壞程序的堆棧，使程序轉(zhuǎn)而執(zhí)行其它指令，以達(dá)到攻擊的目的。更 為嚴(yán)重的是，可以利用它執(zhí)行非授權(quán)指令，甚至可以取得系統(tǒng)特權(quán)，進(jìn)而進(jìn)行各 種非法操作，防火墻設(shè)備可檢測(cè)對(duì) FTP、Telnet、SSH、RPC 和 SMTP 等服務(wù)的遠(yuǎn) 程堆棧溢出入侵。 CGI/IIS 服務(wù)器入侵。CGI 就是 Common Gateway Inter——face 的 簡(jiǎn)稱。是 World Wide Web 主機(jī)和 CGI 程序間傳輸資訊的定義。IIS 就是 Internet Information server 的簡(jiǎn)稱，也就是微軟的 Internet 信息服務(wù)器。防火墻設(shè)備 可檢測(cè)包括針對(duì) Unicode、ASP 源碼泄漏、PHF、NPH、 等已知上 百種的有安全隱患的 CGI/IIS 進(jìn)行的探測(cè)和攻擊方式。、木馬及其網(wǎng)絡(luò)蠕蟲。后門程序是指采用某種方法定義出一個(gè) 特殊的端口并依靠某種程序在機(jī)器啟動(dòng)之前自動(dòng)加載到內(nèi)存，強(qiáng)行控制機(jī)器打開 那個(gè)特殊的端口的程序。木馬程序的全稱是 “特洛依木馬” 它們是指尋找后門、竊取計(jì)算機(jī)的密碼的一類程序。網(wǎng)絡(luò)蠕蟲病毒分為 2 類，一種是面向企業(yè)用戶和 局域網(wǎng)而一言，這種病毒利用系統(tǒng)漏洞，主動(dòng)進(jìn)行攻擊，可以對(duì)整個(gè)互聯(lián)網(wǎng)造成 癱瘓性的后果，以“紅色代碼”，“尼姆達(dá)”，以及最新的“sql 蠕蟲王”為代 表。另外一種是針對(duì)個(gè)人用戶的，通過網(wǎng)絡(luò)(主要是電子郵件，惡意網(wǎng)頁形式)迅速傳播的蠕蟲病毒，以愛蟲病毒，求職信病毒為例。防火墻設(shè)備可檢測(cè)試圖穿 透防火墻系統(tǒng)的木馬控制端和客戶端程序。檢測(cè)試圖穿透防火墻系統(tǒng)的蠕蟲程 序。 虛擬專網(wǎng)功能 指在公共網(wǎng)絡(luò)中建立專用網(wǎng)絡(luò)，數(shù)據(jù)通過安全的“加密通道”在公共網(wǎng)絡(luò) 中傳播。VPN 的基本原理是通過 IP 包的封裝及加密、認(rèn)證等手段，從而達(dá)到安 全的目的。 其他功能 地址/MAC 地址綁定?？芍С秩我痪W(wǎng)絡(luò)接口的 IP 地址和 MAC 地址的綁 12 計(jì)算機(jī)防火墻技術(shù)論文定，從而禁止用戶隨意修改 IP 地址。要求對(duì)使用身份標(biāo)識(shí)和認(rèn)證的機(jī)制，文件的創(chuàng)建，修改，系統(tǒng)管 理的所有操作以及其他有關(guān)安全事件進(jìn)行記錄，以便系統(tǒng)管理員進(jìn)行安全跟蹤。一般防火墻設(shè)備可以提供三種日志審計(jì)功能:系統(tǒng)管理日志、流量日志和入侵日 志。內(nèi)置特殊站點(diǎn)數(shù)據(jù)庫，用戶可選擇是否封禁色情、反動(dòng) 和暴力等特殊站點(diǎn)。 防火墻的原理及分類國際計(jì)算機(jī)安全委員會(huì) ICSA 將防火墻分成三大類:包過濾防火墻，應(yīng)用級(jí)代理服務(wù)器[8]以及狀態(tài)包檢測(cè)防火墻。 包過濾防火墻 顧名思義，包過濾防火墻[9]就是把接收到的每個(gè)數(shù)據(jù)包同預(yù)先設(shè)定的包過 濾規(guī)則相比較，從而決定是否阻塞或通過。過濾規(guī)則是基于網(wǎng)絡(luò)層 IP 包包頭信 息的比較。包過濾防火墻工作在網(wǎng)絡(luò)層，IP 包的包頭中包含源、目的 IP 地址，封裝協(xié)議類型(TCP，UDP，ICMP 或 IP Tunnel)，TCP/UDP 端口號(hào)，ICMP 消息類型，TCP 包頭中的 ACK 等等。如果接收的數(shù)據(jù)包與允許轉(zhuǎn)發(fā)的規(guī)則相匹配，則數(shù)據(jù)包 按正常情況處理。如果與拒絕轉(zhuǎn)發(fā)的規(guī)則相匹配，則防火墻丟棄數(shù)據(jù)包。如果沒有 匹配規(guī)則，則按缺省情況處理。包過濾防火墻是速度最快的防火墻，這是因?yàn)樗?處于網(wǎng)絡(luò)層，并且只是粗略的檢查連接的正確性，所以在一般的傳統(tǒng)路由器上就 可以實(shí)現(xiàn)，對(duì)用戶來說都是透明的。但是它的安全程度較低，很容易暴露內(nèi)部網(wǎng) 絡(luò)，使之遭受攻擊。例如，HTTP。通常是使用 80 端口。如果公司的安全策略允 許內(nèi)部員工訪問網(wǎng)站，包過濾防火墻可能設(shè)置允所有 80 端口的連接通過，這時(shí)，意識(shí)到這一漏洞的外部人員可以在沒有被認(rèn)證的情況下進(jìn)入私有網(wǎng)絡(luò)。包過濾防 火墻的維護(hù)比較困難，定義過濾規(guī)則也比較復(fù)雜，因?yàn)槿魏我粭l過濾規(guī)則的不完 善都會(huì)給網(wǎng)絡(luò)黑客造成可乘之機(jī)。同時(shí)，包過濾防火墻一般無法提供完善的日志。 應(yīng)用級(jí)代理防火墻 應(yīng)用級(jí)代理技術(shù)通過在 OSI 的最高層檢查每一個(gè) IP 包，從而實(shí)現(xiàn)安全策略。代理技術(shù)與包過濾技術(shù)完全不同，包過濾技術(shù)在網(wǎng)絡(luò)層控制所有的信息流，而代 理技術(shù)一直處理到應(yīng)用層，在應(yīng)用層實(shí)現(xiàn)防火墻功能。它的代理功能，就是在防 火墻處終止客戶連接并初始化一個(gè)新的連接到受保護(hù)的內(nèi)部網(wǎng)絡(luò)。這一內(nèi)建代理 13 計(jì)算機(jī)防火墻技術(shù)論文機(jī)制提供額外的安全，這是因?yàn)樗鼘?nèi)部和外部網(wǎng)絡(luò)隔離開來，使網(wǎng)絡(luò)外部的黑 客在防火墻內(nèi)部網(wǎng)絡(luò)上進(jìn)行探測(cè)變得困難，更重要的是能夠讓網(wǎng)絡(luò)管理員對(duì)網(wǎng)絡(luò) 服務(wù)進(jìn)行全面的控制。但是，這將花費(fèi)更多的處理時(shí)間，并且由于代理防火墻支 持的應(yīng)用有限，每一種應(yīng)用都需要安裝和配置不同的應(yīng)用代理程序。比如訪問 WEB 站點(diǎn)的 HTTP，用于文件傳輸?shù)?FTP，用于 E 一 MAIL 的 SMTP/POP3 等等。如 果某種應(yīng)用沒有安裝代理程序，那么該項(xiàng)服務(wù)就不被支持并且不能通過防火墻進(jìn) 行轉(zhuǎn)發(fā)。同時(shí)升級(jí)一種應(yīng)用時(shí)，相應(yīng)的代理程序也必須同時(shí)升級(jí)。 代理服務(wù)型防火墻 代理服務(wù)(Proxy Service)也稱鏈路級(jí)網(wǎng)關(guān)或 TCP 通道(Circuit Level Gateways or TCP Tunnels)，也有人將它歸于應(yīng)用級(jí)網(wǎng)關(guān)一類。它是針對(duì)數(shù)據(jù)包 過濾[10]和應(yīng)用網(wǎng)關(guān)技術(shù)存在的缺點(diǎn)而引入的防火墻技術(shù)，其特點(diǎn)是將所有跨越 防火墻的網(wǎng)絡(luò)通信鏈路分為兩段。防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)間應(yīng)用層的“鏈接”，由兩個(gè)終止代理服務(wù)器上的“鏈接”來實(shí)現(xiàn)，外部計(jì)算機(jī)的網(wǎng)絡(luò)鏈路只能到達(dá)代 理服務(wù)器，從而起到了隔離防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)的作用。此外，代理服務(wù)也對(duì) 過往的數(shù)據(jù)包進(jìn)行分析、注冊(cè)登記，形成報(bào)告，同時(shí)當(dāng)發(fā)現(xiàn)被攻擊跡象時(shí)會(huì)向網(wǎng) 絡(luò)管理員發(fā)出警報(bào)，并保留攻擊痕跡。應(yīng)用代理型防火墻是內(nèi)部網(wǎng)與外部網(wǎng)的隔 離點(diǎn)，起著監(jiān)視和隔絕應(yīng)用層通信流的作用。同時(shí) 也常結(jié)合入過濾器的功能。它工作在 OSI 模型的最高層，掌握著應(yīng)用系統(tǒng)中可用 作安全決策的全部信息。 復(fù)合型防火墻 由于對(duì)更高安全性的要求，常把基于包過濾的方法與基于應(yīng)用代理的方法 結(jié)合起來，形成復(fù)合型防火墻產(chǎn)品。這種結(jié)合通常是以下兩種方案。屏蔽主機(jī)防 火墻體系結(jié)構(gòu)，在該結(jié)構(gòu)中，分組過濾路由器或防火墻與 Internet 相連，同時(shí) 一個(gè)堡壘機(jī)安裝在內(nèi)部網(wǎng)絡(luò)，通過在分組過濾器路由器或防火墻上過濾規(guī)則的設(shè) 置，使堡壘機(jī)成為 Internet 上其他節(jié)點(diǎn)所能到達(dá)的唯一節(jié)點(diǎn)，這確保了內(nèi)部網(wǎng) 絡(luò)不受未授權(quán)外部用戶的攻擊。屏蔽子網(wǎng)防火墻體系結(jié)構(gòu)：堡壘機(jī)放在一個(gè)子網(wǎng) 內(nèi)，形成非軍事化區(qū)，兩個(gè)分組過濾路由器放在這一子網(wǎng)的兩端，使這一子網(wǎng)與 Internet 及內(nèi)部網(wǎng)絡(luò)分離。在屏蔽子網(wǎng)防火墻體系結(jié)構(gòu)中，堡壘機(jī)和分組過濾 路由器共同構(gòu)成了整個(gè)防火墻的安全基礎(chǔ)。 防火墻包過濾技術(shù)隨著 Internet 的迅速發(fā)展，網(wǎng)絡(luò)應(yīng)用涉及到越來越多的領(lǐng)域，網(wǎng)絡(luò)中各類 14 計(jì)算機(jī)防火墻技術(shù)論文重要的、敏感的數(shù)據(jù)逐漸增多。同時(shí)由于黑客入侵以及網(wǎng)絡(luò)病毒的問題，使得網(wǎng) 絡(luò)安全問題越來越突出。因此，保護(hù)網(wǎng)絡(luò)資源不被非授權(quán)訪問，阻止病毒的傳播 感染顯得尤為重要。就目前而言，對(duì)于局部網(wǎng)絡(luò)的保護(hù)，防火墻仍然不失為一種 有效的手段，防火墻技術(shù)主要分為包過濾和應(yīng)用代理兩類。其中包過濾作為最早 發(fā)展起來的一種技術(shù)，其應(yīng)用非常廣泛。所謂包過濾，就是對(duì)流經(jīng)網(wǎng)絡(luò)防火墻的所有數(shù)據(jù)包逐個(gè)檢查，并依據(jù)所制定 的安全策略來決定數(shù)據(jù)包是通過還是不通過。包過濾最主要的優(yōu)點(diǎn)在于其速度與 透明性。也正是由于此。包過濾技術(shù)歷經(jīng)發(fā)展演變而未被淘汰。由于其主要是對(duì)數(shù)據(jù)包的過濾操作，所以數(shù)據(jù)包結(jié)構(gòu)是包過濾技術(shù)的基礎(chǔ)?？紤]包過濾技術(shù)的發(fā)展過程，可以認(rèn)為包過濾的核心問題就是如何充分利用數(shù)據(jù) 包中各個(gè)字段的信息，并結(jié)合安全策略來完成防火墻的功能[11][15] 數(shù)據(jù)表結(jié)構(gòu) 當(dāng)應(yīng)用程序用 TCP 傳送數(shù)據(jù)時(shí)，數(shù)據(jù)被送入?yún)f(xié)議棧中，然后逐個(gè)通過每一層 直到被當(dāng)作一串比特流送入網(wǎng)絡(luò)。其中每一層對(duì)接收到的數(shù)據(jù)都要增加一些首部 信息。TCP 傳給 IP 的數(shù)據(jù)單元稱作 TCP 報(bào)文段(TCP Segment)。IP 傳給網(wǎng)絡(luò)接口 層的數(shù)據(jù)單元稱作 IP 數(shù)據(jù)報(bào)(IP Datagram)；通過以太網(wǎng)傳輸?shù)谋忍亓鞣Q作幀(Frame)。對(duì)于進(jìn)防火墻的數(shù)據(jù)包，順序正好與此相反，頭部信息逐層剝掉。IP，TCP 首部格式如表 21 表 22 所示。表 21 IP 首部格式 版本 首部長 服務(wù)類型 標(biāo)識(shí) 生存時(shí)間 協(xié)議 源 IP 地址 目的 IP 地址 選項(xiàng) 標(biāo)志 首部校驗(yàn)和總 長 度 片偏移表 22 TCP 首部格式 源端口號(hào) 目的端口號(hào) 序列號(hào) 15 計(jì)算機(jī)防火墻技術(shù)論文確認(rèn)號(hào) 首 保 L 部 留 R 長 C T B L P R C B C J H T H TCP 校驗(yàn)和 H J R 窗口大小緊急指針 選項(xiàng)對(duì)于幀的頭部信息主要是源/目的主機(jī)的 MAC 地址。IP 數(shù)據(jù)報(bào)頭部信息主要 是源/目的主機(jī)的 IP 地址。TCP 頭部的主要字段包括源/目的端口、發(fā)送及確認(rèn)序 號(hào)、狀態(tài)標(biāo)識(shí)等。理論上講，數(shù)據(jù)包所有頭部信息以及有效載荷都可以作為判斷包通過與否的 依據(jù)，但是在實(shí)際情況中，包過濾技術(shù)上的問題主要是選取哪些字段信息，以及 如何有效地利用這些字段信息并結(jié)合訪問控制列表來執(zhí)行包過濾操作，并盡可能 提高安全控制力度。 傳統(tǒng)包過濾技術(shù) 傳統(tǒng)包過濾技術(shù)，大多是在 IP 層實(shí)現(xiàn)，它只是簡(jiǎn)單的對(duì)當(dāng)前正在通過的單 一數(shù)據(jù)包進(jìn)行檢測(cè)，查看源/目的 IP 地址、端口號(hào)以及協(xié)議類型(UDP/TCP)等，結(jié)合訪問控制規(guī)則對(duì)數(shù)據(jù)包實(shí)施有選擇的通過。這種技術(shù)實(shí)現(xiàn)簡(jiǎn)單，處理速度快，對(duì)應(yīng)用透明，但是它存在的問題也很多，主要表現(xiàn)有: 。若允許建立 HTTP 連接，就需 要開放 1024 以上所有端口，這無疑增加了被攻擊的可能性。如接收到一個(gè) ACK 數(shù)據(jù)包，就認(rèn)為這是 一個(gè)己建立的連接，這就導(dǎo)致許多安全隱患，一些惡意掃描和拒絕服務(wù)攻擊就是 利用了這個(gè)缺陷。即使通過防火墻的數(shù)據(jù)包有攻擊性或 包含病毒代碼，也無法進(jìn)行控制和阻斷。綜合上述問題，傳統(tǒng)包過濾技術(shù)的缺陷在于:(l)缺乏狀態(tài)檢測(cè)能力。(2)缺 乏應(yīng)用防御能力。(3)只對(duì)當(dāng)前正在通過的單一數(shù)據(jù)包進(jìn)行檢測(cè)，而沒有考慮前 后數(shù)據(jù)包之間的聯(lián)系。(4)只檢查包頭信息，而沒有深入檢測(cè)數(shù)據(jù)包的有效載荷。傳統(tǒng)包過濾技術(shù)必須發(fā)展進(jìn)化，在繼承其優(yōu)點(diǎn)的前提下，采用新的技術(shù)手 段，克服其缺陷，并進(jìn)一步滿足新的安全應(yīng)用要求。從數(shù)據(jù)包結(jié)構(gòu)出發(fā)考慮，目 前包過濾技術(shù)向兩個(gè)方向發(fā)展:(l)橫向聯(lián)系。即在包檢測(cè)中考慮前后數(shù)據(jù)包之間 的關(guān)系，充分利用包頭信息中能體現(xiàn)此關(guān)系的字段，如 IP 首部的標(biāo)識(shí)字段和片 16 計(jì)算機(jī)防火墻技術(shù)論文偏移字段、TCP 首部的發(fā)送及確認(rèn)序號(hào)、滑動(dòng)窗口的大小、狀態(tài)標(biāo)識(shí)等，動(dòng)態(tài)執(zhí) 行數(shù)據(jù)包過濾。(2)縱向發(fā)展。深入檢測(cè)數(shù)據(jù)包有效載荷，識(shí)別并阻止病毒代碼 和基于高層協(xié)議的攻擊，以此來提高應(yīng)用防御能力。這兩種技術(shù)的發(fā)展并不是獨(dú) 立的，動(dòng)態(tài)包過濾可以說是基于內(nèi)容檢測(cè)技術(shù)的基礎(chǔ)。實(shí)際上，在深度包檢測(cè)技 術(shù)中己經(jīng)體現(xiàn)了兩種技術(shù)的融合趨勢(shì)。 動(dòng)態(tài)包過濾 動(dòng)態(tài)包過濾[16]又稱為基于狀態(tài)的數(shù)據(jù)包過濾，是在傳統(tǒng)包過濾技術(shù)基礎(chǔ) 之上發(fā)展起來的一項(xiàng)過濾技術(shù)，最早由 Checkpoint 提出。與傳統(tǒng)包過濾技術(shù)只檢查單個(gè)、孤立的數(shù)據(jù)包不同，動(dòng)態(tài)包過濾試圖將數(shù) 據(jù)包的上下文聯(lián)系起來，建立一種基于狀態(tài)的包過濾機(jī)制。對(duì)于新建的應(yīng)用連接，防火墻檢查預(yù)先設(shè)置的安全規(guī)則，允許符合規(guī)則的連接通過，并在內(nèi)存中記錄下 該連接的相關(guān)信息，這些相關(guān)信息構(gòu)成一個(gè)狀態(tài)表。這樣，當(dāng)一個(gè)新的數(shù)據(jù)包到 達(dá)，如果屬于已經(jīng)建立的連接，則檢查狀態(tài)表，參考數(shù)據(jù)流上下文決定當(dāng)前數(shù)據(jù) 包通過與否。如果是新建連接，則檢查靜態(tài)規(guī)則表。動(dòng)態(tài)包過濾通過在內(nèi)存中動(dòng)態(tài)地建立和維護(hù)一個(gè)狀態(tài)表，數(shù)據(jù)包到達(dá)時(shí)，對(duì)該數(shù)據(jù)包的處理方式將綜合靜態(tài)安全規(guī)則和數(shù)據(jù)包所處的狀態(tài)進(jìn)行。這種方法 的好處在于由于不需要對(duì)每個(gè)數(shù)據(jù)包進(jìn)行規(guī)則檢查，而是一個(gè)連接的后續(xù)數(shù)據(jù)包(通常是大量的數(shù)據(jù)包)通過散列算法，直接進(jìn)行狀態(tài)檢查，從而使性能得到了較 大提高。而且，由于狀態(tài)表是動(dòng)態(tài)的，因而可以有選擇地、動(dòng)態(tài)地開通 1024 號(hào)以 上的端口，使安全性得到進(jìn)一步地提高。動(dòng)態(tài)包過濾技術(shù)克服了傳統(tǒng)包過濾僅僅孤立的檢查單個(gè)數(shù)據(jù)包和安全規(guī)則 靜態(tài)不可變的缺陷，使得防火墻的安全控制力度更為細(xì)致。 深度包檢測(cè) 目前許多造成大規(guī)模損害的網(wǎng)絡(luò)攻擊，比如紅色代碼和尼姆達(dá)，都是利用 了應(yīng)用的弱點(diǎn)。利用高層協(xié)議的攻擊和網(wǎng)絡(luò)病毒的頻繁出現(xiàn)，對(duì)防火墻提出了新 的要求。防火墻必須深入檢查數(shù)據(jù)包的內(nèi)部來確認(rèn)出惡意行為并阻止它們。深度包檢測(cè)(Deep Packet Inspection)就是針對(duì)這種需求，深入檢測(cè)數(shù)據(jù) 包有效載荷，執(zhí)行基于應(yīng)用層的內(nèi)容過濾，以此提高系統(tǒng)應(yīng)用防御能力。應(yīng)用防御的技術(shù)問題主要包括:(l)需要對(duì)有效載荷知道得更清楚。(2)也需 要高速檢查它