2005年度千兆防火墻公開比較評(píng)測(cè)報(bào)告-資料下載頁(yè)
2025-08-14 20:47本頁(yè)面
【正文】 600是一樣的，Skype聯(lián)機(jī)成功與否完全取決于防火墻是否打開控制功能。Check Point iSECURITY SP5500應(yīng)用智能的P2P控制部分有MSN和Kazaa等項(xiàng)目，盡管其中沒有對(duì)Skype的控制選項(xiàng)，但在P2P和其他很多針對(duì)應(yīng)用層的控制欄目中，Check Point都提供了新增特征的功能。即通過輸入某種軟件的應(yīng)用層特征，來實(shí)現(xiàn)對(duì)該軟件的控制。這是一個(gè)非常好的特性!因?yàn)楝F(xiàn)在每天都會(huì)有新的P2P軟件被開發(fā)出來，使用這種特性可以使用戶不必等到下次產(chǎn)品升級(jí)就可以對(duì)其進(jìn)行控制。Check Point的工程師在測(cè)試過程中將Skype的特征碼發(fā)給了我們。令人欣喜的是，F(xiàn)ortiGate 3600也支持新增特征?！ ≡跍y(cè)試前，我們聽說有一些網(wǎng)關(guān)產(chǎn)品通過訪問控制規(guī)則而不是應(yīng)用層特征來控制IM，這些規(guī)則過濾掉了到Internet上IM用戶注冊(cè)服務(wù)器的部分或全部通信。我們認(rèn)為這種方法不靈活而且容易失效。因而設(shè)計(jì)了Skype穿過防火墻通過代理服務(wù)器進(jìn)行聯(lián)機(jī)的測(cè)試拓?fù)洹！ ?shí)際應(yīng)用中，防火墻可以封掉到某些代理服務(wù)器的通信。我們這個(gè)測(cè)試主要想觀察一下設(shè)備在過濾Skype通信時(shí)的做法，因而需要在防火墻上設(shè)置允許到代理服務(wù)器的數(shù)據(jù)通過?！ 〗?jīng)過測(cè)試，Check Point iSECURITY SP5500和FortiGate 3600都能控制成功，而此時(shí)Skype用戶的筆記本電腦上MSN依然可以登陸(MSN未加控制)。由于內(nèi)網(wǎng)Skype用戶所有的通信都指向了代理服務(wù)器(經(jīng)Sniffer抓包確實(shí)如此)，所以它們應(yīng)該都是通過在應(yīng)用層分析Skype的特征來實(shí)現(xiàn)控制的。防DoS攻擊 測(cè)試工程師:我們沒有將測(cè)試儀中所有的DoS攻擊武器都搬出來考驗(yàn)防火墻，而是僅僅選取了Ping_Flood和Syn_Flood兩種攻擊。這兩種攻擊都會(huì)使目標(biāo)主機(jī)在極短時(shí)間內(nèi)陷入癱瘓，比較而言，Syn_Flood由于半開連接更耗資源等因素，其危害更大?！ y(cè)試實(shí)況:正如我們所料，這些產(chǎn)品都可以對(duì)這兩種DoS攻擊進(jìn)行防范?！ ∥覀?cè)跍y(cè)試儀IXIA 1600T上使用攻擊軟件IxAttack和IxExplorer來模擬攻擊源。由于我們還要考察攻擊情況下的Web應(yīng)用的性能，為避免形成帶寬瓶頸，我們所有的攻擊測(cè)試都在測(cè)試儀的百兆端口上進(jìn)行。測(cè)試拓?fù)淙鐖D4所示，當(dāng)防火墻不啟動(dòng)相應(yīng)的DoS攻擊防御時(shí)，測(cè)試儀的攻擊按鈕剛剛按下，位于DMZ的Windows Server 2003立即“死機(jī)”。圖為：防DoS拓?fù)鋱D 所有參測(cè)產(chǎn)品都可以設(shè)置攻擊數(shù)據(jù)包數(shù)目的閾值，當(dāng)啟動(dòng)防御后，再次進(jìn)行攻擊，服務(wù)器可以正常工作，CPU利用率維持在10%以下，通過Sniffer抓包，也可以發(fā)現(xiàn)不同廠商在應(yīng)對(duì)DoS攻擊時(shí)的不同做法。有的仍讓很少量的包通過，有的則丟棄所有的包。我們此次測(cè)試沒有對(duì)防DoS攻擊的漏包數(shù)目的精確度進(jìn)行衡量。 需要說明的一點(diǎn)，首信CF 2000EP500的防DoS攻擊表現(xiàn)有所不同。一開始，我們?cè)谄渖线M(jìn)行防御配置后，DMZ的服務(wù)器仍然會(huì)迅速“死機(jī)”。它此時(shí)并不認(rèn)為這是一種攻擊，而將攻擊源發(fā)來的數(shù)據(jù)轉(zhuǎn)發(fā)給DMZ的服務(wù)器。后來，我們?cè)跍y(cè)試儀上將攻擊源的IP地址設(shè)為不斷變化，它可以防范成功。在使用攻擊軟件xdos進(jìn)行嘗試也可以成功防御?！ ≡诠暨^程中，我們還考察了防火墻是否可以將攻擊事件準(zhǔn)確地記錄到日志中。對(duì)于支持Syslog服務(wù)器的產(chǎn)品，我們使用3CDeamon作為SyslogVoIP支持 測(cè)試工程師:，也使用較多的動(dòng)態(tài)端口進(jìn)行通信。有些防火墻，只能通過規(guī)則靜態(tài)地打開一段端口來保證IP電話的正常運(yùn)行，這一段打開的端口，在黑客眼中，就像是一扇打開的大門。此次測(cè)試。 測(cè)試實(shí)況:結(jié)果發(fā)現(xiàn)。，一臺(tái)Windows XP筆記本位于防火墻內(nèi)，一臺(tái)裝有Windows 2000 Pro的臺(tái)式機(jī)位于防火墻的外網(wǎng)，它們都預(yù)裝了NetMeeting，測(cè)試拓?fù)湟妶D5所示。圖為：VoIP測(cè)試拓?fù)鋱D 經(jīng)測(cè)試，每個(gè)防火墻都支持這項(xiàng)服務(wù)。一開始，防火墻的策略設(shè)置為“permit any”， 端點(diǎn)連接到防火墻，并針對(duì)對(duì)方的IP發(fā)起呼叫，結(jié)果通話可以順利進(jìn)行?！ ∨c此同時(shí)，我們用Sniffer對(duì)通信的全過程進(jìn)行抓包?？梢园l(fā)現(xiàn)固定使用的TCP端口1720和其他的TCP、UDP動(dòng)態(tài)端口?！ ∪缓?，我們刪除“permit any”這條策略。當(dāng)端點(diǎn)發(fā)起呼叫后，對(duì)方接受并開始通話，沒有感覺到和第一次有何不同?！ ?duì)于添加了關(guān)守或網(wǎng)關(guān)的組網(wǎng)模式，各家也都提出了解決辦法。測(cè)試中，我們僅測(cè)試了端點(diǎn)到端點(diǎn)這一種拓?fù)?
化學(xué)相關(guān)推薦
鄂ICP備17016276號(hào)-1