08[1][1]信息系統(tǒng)安全技術(shù)-防火墻技術(shù)-資料下載頁(yè)
2025-02-18 14:35本頁(yè)面
【正文】 實(shí)際地址隱蔽起來(lái) ， 外部用戶很難知道內(nèi)部的 IP地址 ， 因而難以攻擊 。 第四代防火墻的抗攻擊能力 (cont.) 抗特洛伊木馬攻擊 特洛伊木馬能將病毒或破壞性程序傳入計(jì)算機(jī)網(wǎng)絡(luò) ，且通常是將這些惡意程序隱蔽在正常的程序 ， 尤其是熱門(mén)程序或游戲之中 ， 一些用戶下載并執(zhí)行這一程序 ，其中的病毒便會(huì)發(fā)作 。 第四代防火墻是建立在安全的操作系統(tǒng)之上的 ， 其安全內(nèi)核中不能執(zhí)行下載的程序 ，故而可防止特洛伊木馬的發(fā)生 。 必須指出的是 ， 防火墻能抗特洛伊木馬的攻擊并不表明受其保護(hù)的某個(gè)主機(jī)也能防止這類(lèi)攻擊 。 事實(shí)上 ， 內(nèi)部用戶可通過(guò)防火墻下載程序 ， 并執(zhí)行下載的程序 。 第四代防火墻的抗攻擊能力 (cont.) 抗口令字探尋攻擊 在網(wǎng)絡(luò)中探尋口令字的方法很多 ， 最常見(jiàn)的是口令字嗅探和口令字解密 。 嗅探是通過(guò)監(jiān)測(cè)網(wǎng)絡(luò)通信 ，截獲用戶傳給服務(wù)器的口令字 ， 記錄下來(lái) ， 以便使用；解密是指采用強(qiáng)力攻擊 、 猜測(cè)或截獲含有加密口令字的文件 ， 并設(shè)法解密 。 此外 ， 攻擊者還常常利用一些常用口令字直接登錄 。 第四代防火墻采用了一次性口令字和禁止直接登錄防火墻的措施 ， 能有效防止對(duì)口令字的攻擊 。 第四代防火墻的抗攻擊能力 (cont.) 抗網(wǎng)絡(luò)安全性分析 網(wǎng)絡(luò)安全性分析工具本是供管理人員分析網(wǎng)絡(luò)安全性之用的 ， 一旦這類(lèi)工具用作攻擊網(wǎng)絡(luò)的手段 ， 則能較方便地探測(cè)到內(nèi)部網(wǎng)絡(luò)的安全缺陷和弱點(diǎn)所在 ，目前 ， SATAN軟件可以從網(wǎng)上免費(fèi)獲得 ， Inter Scanner 可從市面上購(gòu)買(mǎi) ， 這些分析工具給網(wǎng)絡(luò)安全構(gòu)成了直接威脅 。 第四代防火墻采用了地址轉(zhuǎn)換技術(shù) ，將內(nèi)部網(wǎng)絡(luò)隱蔽起來(lái) ， 使網(wǎng)絡(luò)安全分析工具無(wú)法從外部對(duì)內(nèi)部網(wǎng)作分析 。 第四代防火墻的抗攻擊能力 (cont.) 抗郵件詐騙攻擊 郵件詐騙也是越來(lái)越突出的攻擊方式 ， 第四代防火墻不接收任何郵件 ， 故難以采用這種方式對(duì)它攻擊 ，同樣值得一提的是 ， 防火墻不接受郵件 ， 并不表示它不讓郵件通過(guò) ， 實(shí)際上用戶仍可收發(fā)郵件 ， 內(nèi)部用戶要防郵件詐騙 ， 最終的解決辦法是對(duì)郵件加密 。 第四代防火墻的抗攻擊能力 (cont.) 對(duì)防火墻技術(shù)的展望： 幾點(diǎn)趨勢(shì) ? 防火墻將從目前對(duì)子網(wǎng)或內(nèi)部網(wǎng)管理的方式向遠(yuǎn)程上網(wǎng)集中管理的方式發(fā)展； ? 過(guò)濾深度不斷加強(qiáng) ,從目前的地址 、 服務(wù)過(guò)濾 ， 發(fā)展到 URL（ 頁(yè)面 ） 過(guò)濾 ， 關(guān)鍵字過(guò)濾和對(duì) Active X、 Java等的過(guò)濾 ， 并逐漸有病毒掃除功能 。 ? 單向防火墻 （ 又叫網(wǎng)絡(luò)二極管 ） 將作為一種產(chǎn)品門(mén)類(lèi)而出現(xiàn) ； ? 利用防火墻建立專用網(wǎng) (VPN)是較長(zhǎng)一段時(shí)間的用戶使用的主流 ， IP的加密需求越來(lái)越強(qiáng) ， 安全協(xié)議的開(kāi)發(fā)是一大熱點(diǎn)； ? 對(duì)網(wǎng)絡(luò)攻擊的檢測(cè)和告警將成為防火墻的重要功能； ? 安全管理工具不斷完善 ， 特別是可疑活動(dòng)的日志分析工具等將成為防火墻產(chǎn)品中的一部分 。 對(duì)防火墻技術(shù)的展望： 幾點(diǎn)趨勢(shì) (cont.) 對(duì)防火墻技術(shù)的展望： 需求的變化 根據(jù)上述趨勢(shì) ， 人們選擇防火墻的標(biāo)準(zhǔn)將集 中在以下幾個(gè)方面： ?易于管理性； ?應(yīng)用透明性； ?鑒別與加密功能； ?操作環(huán)境和硬件要求； ? VPN的功能與 CA的功能； ?接口的數(shù)量； ?成本。 ? Linux IP防火墻及其原理簡(jiǎn)介 ? 常見(jiàn)防火墻的配置模式 ? 常見(jiàn)防火墻的基本工作總結(jié) Inter/ 公網(wǎng) 內(nèi)部網(wǎng) 路由器 NEsec300 FW 2 0 3 5 9 6 8 ? 告 警 內(nèi)網(wǎng)接口 外網(wǎng)接口 電 源 控制臺(tái) 服務(wù)器 服務(wù)器 服務(wù)器 主機(jī) 主機(jī) 內(nèi)外網(wǎng)絡(luò)隔離 ? 截取 IP包，根據(jù)安全策略控制其進(jìn) /出 ? 雙向網(wǎng)絡(luò)地址轉(zhuǎn)換（ NAT） ? 基于一次性口令對(duì)移動(dòng)訪問(wèn)進(jìn)行身份識(shí)別和控制 ? IPMAC捆綁，防止 IP地址的濫用 安全記錄 ? 通信事件記錄 ? 操作事件記錄 ? 違規(guī)事件記錄 ? 異常情況告警 移動(dòng)用戶 撥號(hào)用戶 局域網(wǎng)用戶 防火墻 （內(nèi)部地址） （內(nèi)部地址） 路由器 HTTP服務(wù)器 DNS服務(wù)器 Email服務(wù)器 防火墻 DMZ區(qū) （ Demilitarized Zone） 內(nèi)部專用網(wǎng)絡(luò) Inter DDN PSTN ATM ISDN 幀中繼 防火墻管理器 外部網(wǎng)絡(luò) 安裝方式之一 防火墻 防火墻管理工作站 分支機(jī)構(gòu) 受保護(hù)局域網(wǎng) 防火墻 防火墻 資源子網(wǎng) 路由器 路由器 路由器 分支機(jī)構(gòu) 受保護(hù)局域網(wǎng) 公共網(wǎng)絡(luò) 總部 路由器 路由器 安裝方式之二 安裝方式之三 ? 隔離內(nèi)外網(wǎng)絡(luò)通信 ? 控制外部用戶進(jìn)入內(nèi)部專網(wǎng) ? 限制內(nèi)部用戶出訪 ?鑒別移動(dòng)或異地辦公用戶的網(wǎng)絡(luò)訪問(wèn) ? 支持內(nèi)部網(wǎng)絡(luò)主機(jī)和服務(wù)器采用私有地址，對(duì)外界隱藏內(nèi)部網(wǎng)絡(luò)拓?fù)? ? 防止內(nèi)部主機(jī) IP地址的濫用和誤用 ? 對(duì)來(lái)自外部、內(nèi)部的網(wǎng)絡(luò)違規(guī)和入侵行為進(jìn)行檢測(cè)和集中監(jiān)控 ? 系統(tǒng)安全審計(jì)對(duì)違規(guī)通信、安全事件進(jìn)行實(shí)時(shí)報(bào)警和處置 ? 統(tǒng)計(jì)網(wǎng)絡(luò)通信流量，并根據(jù)策略進(jìn)行流量控制 ? 采用基于策略的方式對(duì)防火墻設(shè)備進(jìn)行配置 產(chǎn)品應(yīng)用功能 安全公理 /定理 /推理 公理： 所有的程序都有缺陷（摩菲定理） 大程序定律：大程序的缺陷甚至比它包含的內(nèi)容還多 推理： 一個(gè)安全相關(guān)程序有安全性缺陷 定理： 只要不運(yùn)行這個(gè)程序，那么這個(gè)程序有缺陷，也無(wú)關(guān)緊要 推理： 只要不運(yùn)行這個(gè)程序，那么這個(gè)程序有安全性漏洞，也無(wú)關(guān)緊要 定理： 對(duì)外暴露的計(jì)算機(jī)，應(yīng)盡可能少地運(yùn)行程序，且運(yùn)行的程序也盡可 能地小 推論： 防火墻基本法則：防火墻必須配置得盡可能地小，才能降低風(fēng)險(xiǎn)。 防火墻配置策略的基本準(zhǔn)則 一切未被允許的就是禁止的 。 防火墻缺省封鎖所有的信息流 ， 然后對(duì)希望提供的服務(wù)逐項(xiàng)開(kāi)放 。 優(yōu)點(diǎn) : 實(shí)用 ,安全 ， 可靠性高 。 按規(guī)則鏈來(lái)進(jìn)行匹配 使用源地址、目的地址、源端口、目的端口、協(xié)議、時(shí)間段進(jìn)行匹配 從頭到尾的匹配方式 匹配成功馬上停止 立刻使用該規(guī)則的”接受、禁止、拒絕…… ” 防火墻 網(wǎng)絡(luò)地址轉(zhuǎn)換 內(nèi)部網(wǎng)絡(luò)地址 外部網(wǎng)絡(luò) /Inter地址 網(wǎng)絡(luò)地址轉(zhuǎn)換 Inter 內(nèi)部網(wǎng) E_Mail Server FTP Server SFH02 FW Alarm 2 0 3 5 9 6 8 ? E1 E0 Power 防火墻 重定向（反向 NAT） 00:88:CC:A0:2C:4D 88:88:88:88:88:88 ?PASS ?NO IP包 IP包 IP / MAC 地址對(duì)應(yīng) 安全日志 記錄用戶訪問(wèn)的開(kāi)始和終止時(shí)間 記錄用戶的通信事件，例如主機(jī)地址、訪問(wèn)時(shí)間、協(xié)議等信息 記錄安全管理員的操作事件 記錄違規(guī)事件 ? 成都市黨政網(wǎng) ? 國(guó)家人事部 ? 檢察日?qǐng)?bào)社 ? 國(guó)家林業(yè)局 ? 北京市公安局 ? 四川省移動(dòng)通信公司 ? 中國(guó)工程院 防火墻應(yīng)用案例 謝謝！ 演講完畢，謝謝觀看！
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1