數(shù)據(jù)中心解決方案安全技術白皮書-資料下載頁
2025-05-30 18:33本頁面
【正文】 st、DMZ、local，在提供三個最常用的安全邏輯區(qū)域的基礎上還新增加了本地邏輯安全區(qū)域，本地安全區(qū)域可以定義到防火墻本身的報文，保證了防火墻本身的安全防護，使得對防火墻本身的安全保護得到加強。例如，通過對本地安全區(qū)域的報文控制，可以很容易的防止不安全區(qū)域?qū)Ψ阑饓Ρ旧淼腡elnet、ftp等訪問。SecPath防火墻還提供自定義安全區(qū)域，可以最大定義16個安全區(qū)域，每個安全區(qū)域都可以加入獨立的接口。SecPath系列防火墻支持根據(jù)不同的安全區(qū)域之間的訪問設計不同的安全策略組，每條安全策略組支持若干個獨立的規(guī)則。這樣的規(guī)則體系使得防火墻的策略十分容易管理，方面用戶對各種邏輯安全區(qū)域的獨立管理。部分防火墻還是采用基于接口的安全策略管理機制，如圖。圖10 防火墻安全區(qū)域管理兩個接口：trust接口和DMZ接口共享untrust接口訪問internet，如果在接口上使用安全策略進行控制，則會導致策略混亂。因為在untrust接口流量中，即有從DMZ和internet之間的流量，也有從trust和internet之間的流量。這樣的策略控制模型不適合用戶進行策略配置。而基于安全區(qū)域的策略控制模型，可以清晰的分別定義從trust到untrust、從DMZ到untrust之間的各種訪問，這樣的策略控制模型使得SecPath防火墻的網(wǎng)絡隔離功能具有很好的管理能力。 防火墻DOS/DDOS防御Dos（Deny of service）是一類攻擊方式的統(tǒng)稱（DDos也是Dos的一種），其攻擊的基本原理就是通過發(fā)送各種垃圾報文導致網(wǎng)絡的阻塞、服務的癱瘓。Dos攻擊方式其利用IP無連接的特點，可以制造各種不同的攻擊手段，而且攻擊方式非常簡單。在Internet上非常流行，對企業(yè)網(wǎng)、甚至骨干網(wǎng)都造成了非常嚴重的影響，引發(fā)很大的網(wǎng)絡事故，因此優(yōu)秀的Dos攻擊防范功能是防火墻的必備功能。現(xiàn)在幾乎所有的防火墻設備都宣傳具有Dos攻擊防御功能，但是那么為什么Dos攻擊導致網(wǎng)絡癱瘓的攻擊事件為什么還是層出不窮呢？一個優(yōu)秀的Dos攻擊防御體系，應該具有如下最基本的特征： 防御手段的健全和豐富。因為Dos攻擊手段種類比較多，因此必須具有豐富的防御手段，才可以保證真正的抵御Dos攻擊。 優(yōu)秀的處理性能。因為Dos攻擊伴隨這一個重要特征就是網(wǎng)絡流量突然增大，如果防火墻本身不具有優(yōu)秀的處理能力，則防火墻在處理Dos攻擊的同時本身就成為了網(wǎng)絡的瓶頸，根本就不可能抵御Dos攻擊。因為Dos攻擊的一個重要目的就是使得網(wǎng)絡癱瘓，網(wǎng)絡上的關鍵設備點發(fā)生了阻塞，則Dos攻擊的目的就達到了。防火墻設備不但要注重轉(zhuǎn)發(fā)性能，同時一定要保證對業(yè)務的處理能力。在進行Dos攻擊防御的過程中，防火墻的每秒新建能力就成為保證網(wǎng)絡通暢的一個重要指標，Dos攻擊的過程中，攻擊者都是在隨機變化源地址因此所有的連接都是新建連接。準確的識別攻擊能力。很多防火墻在處理Dos攻擊的時候，僅僅能保證防火墻后端的流量趨于網(wǎng)絡可以接受的范圍，但是不能保證準確的識別攻擊報文。這樣處理雖然可以保證網(wǎng)絡流量的正常，可以保證服務器不會癱瘓，但是這樣處理還是會阻擋正常用戶上網(wǎng)、訪問等的報文，因此雖然網(wǎng)絡層面是正常的，但是真正的服務還是被拒絕了，因此還是不能達到真正的Dos攻擊防御的目的。SecPath系列防火墻產(chǎn)品，在對上述各個方面都做了詳盡的考慮，因此Dos防御的綜合性能、功能等方面在同類防火墻產(chǎn)品中都具有很強的優(yōu)勢。 防火墻TCP代理Tcp代理是SecPath系列防火墻為防止SYN Flood類的Dos攻擊，而專門開發(fā)的一個安全特性。SYN Flood攻擊可以很快的消耗服務器資源，導致服務器崩潰。在一般的Dos防范技術中，在攻擊發(fā)生的時候不能準確的識別哪些是合法用戶，哪些是攻擊報文。Eudemon防火墻采用了TCP透明代理的方式實現(xiàn)了對這種攻擊的防范，Eudemon防火墻通過精確的驗證可以準確的發(fā)現(xiàn)攻擊報文，對正常報文依然可以通過允許這些報文訪問防火墻資源，而攻擊報文則被Eudemon防火墻丟棄。有些攻擊是建立一個完整的TCP連接用來消耗服務器的資源。Eudemon系列防火墻可以實現(xiàn)增強代理的功能，在客戶端與防火墻建立連接以后察看客戶是否有數(shù)據(jù)報文發(fā)送，如果有數(shù)據(jù)報文發(fā)送防火墻再與服務器端建立連接否則丟棄客戶端的報文。這樣可以保證即使采用完成TCP三次握手的方式消耗服務器資源，也可以被Eudemon防火墻發(fā)現(xiàn)。圖11 防火墻TCP代理 防火墻在數(shù)據(jù)中心的部署點 ServerFarm 網(wǎng)絡邊界上的狀態(tài)防火墻園區(qū)網(wǎng)絡通常包括園區(qū)核心網(wǎng)、邊界網(wǎng)絡、內(nèi)部網(wǎng)絡、分支結(jié)構(gòu)網(wǎng)絡、數(shù)據(jù)中心(ServerFarm)網(wǎng)絡。核心網(wǎng)絡是所有網(wǎng)絡區(qū)域的中心，內(nèi)部網(wǎng)絡、數(shù)據(jù)中心、邊界網(wǎng)絡以星狀連接在核心周圍，邊界網(wǎng)的另一端還與Internet相連，可以為園區(qū)提供Internet出口，并且作為分支網(wǎng)絡的接入點，如圖所示。圖12 防火墻在數(shù)據(jù)中心的部署點防火墻應該部署在信任與非信任網(wǎng)絡的鄰接點上，避免不安全因素的擴散。上述園區(qū)網(wǎng)絡模型中存在兩個這樣的鄰接點，一是邊界網(wǎng)絡與Internet的接入點上，這個位置部署放火墻可以隔離來自Internet或外部網(wǎng)絡的有害數(shù)據(jù)；另一個在數(shù)據(jù)中心（ServerFarm）匯聚交換機與核心網(wǎng)交換機的接的接入點上，在此部署防火墻可避免來自內(nèi)部網(wǎng)絡的威脅，這種威脅可能是內(nèi)網(wǎng)員工惡意攻擊造成的，也可能是一些不恰當?shù)牟僮鲗W(wǎng)絡造成的。 多層服務器區(qū)內(nèi)部的狀態(tài)防火墻在ServerFarm內(nèi)部多層服務器區(qū)的各層之間也可以部署防火墻以增強不同層次之間的安全性，如圖。由于web服務器直接面對訪問者，通常來說是網(wǎng)絡中的薄弱環(huán)節(jié)，使用分層防御可以將重要的服務器通過防火墻進行保護，即使web服務器被攻陷，也不會造成應用服務器與數(shù)據(jù)庫服務器的進一步破壞。 數(shù)據(jù)中心應用防護技術IPS可以針對應用流量做深度分析與檢測能力，同時配合以精心研究的攻擊特征知識庫和用戶規(guī)則，即可以有效檢測并實時阻斷隱藏在海量網(wǎng)絡流量中的病毒、攻擊
公司管理相關推薦
鄂ICP備17016276號-1