第7章計算機(jī)安全-資料下載頁
2025-02-26 22:43本頁面
【正文】 何活動，保證了內(nèi)部網(wǎng)絡(luò)的安全。 30 防火墻的作用 1. 防火墻是網(wǎng)絡(luò)安全的屏障 一個防火墻（作為阻塞點、控制點）能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)而降低風(fēng)險。由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。如防火墻可以禁止諸如眾所周知的不安全的 NFS協(xié)議進(jìn)出受保護(hù)網(wǎng)絡(luò)，這樣外部的攻擊者就不可能利用這些脆弱的協(xié)議來攻擊內(nèi)部網(wǎng)絡(luò)。防火墻同時可以保護(hù)網(wǎng)絡(luò)免受基于路由的攻擊，如 IP選項中的源路由攻擊和 ICMP重定向中的重定向路徑。防火墻應(yīng)該可以拒絕所有以上類型攻擊的報文并通知防火墻管理員。 2. 防火墻可以強化網(wǎng)絡(luò)安全策略 通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認(rèn)證、審計等）配置在防火墻上。與將網(wǎng)絡(luò)安全問題分散到各個主機(jī)上相比，防火墻的集中安全管理更經(jīng)濟(jì)。例如在網(wǎng)絡(luò)訪問時，口令系統(tǒng)和其它的身份認(rèn)證系統(tǒng)完全可以不必分散在各個主機(jī)上，而集中在防火墻一身上。 31 3. 對網(wǎng)絡(luò)存取和訪問進(jìn)行監(jiān)控審計 如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并作出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。當(dāng)發(fā)生可疑動作時，防火墻能進(jìn)行適當(dāng)?shù)膱缶?，并提供網(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細(xì)信息。另外，收集一個網(wǎng)絡(luò)的使用和誤用情況也是非常重要的。首先的理由是可以清楚防火墻是否能夠抵擋攻擊者的探測和攻擊，并且清楚防火墻的控制是否充足。而網(wǎng)絡(luò)使用統(tǒng)計對網(wǎng)絡(luò)需求分析和威脅分析等而言也是非常重要的。 4. 防止內(nèi)部信息的外泄 通過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離，從而限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。再者，隱私是內(nèi)部網(wǎng)絡(luò)非常關(guān)心的問題，一個內(nèi)部網(wǎng)絡(luò)中不引人注意的細(xì)節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣，甚至因此而暴露了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就可以隱蔽那些透漏內(nèi)部細(xì)節(jié)如 Finger， DNS等服務(wù)。 Finger顯示了主機(jī)的所有用戶的注冊名、真名、最后登錄時間和使用 shell類型等。但是 Finger顯示的信息非常容易被攻擊者所獲悉。攻擊者可以知道一個系統(tǒng)使用的頻繁程度，這個系統(tǒng)是否有用戶正在連線上網(wǎng)，這個系統(tǒng)是否在被攻擊時引起注意等等。防火墻可以同樣阻塞有關(guān)內(nèi)部網(wǎng)絡(luò)中的 DNS信息，這樣一臺主機(jī)的域名和 IP地址就不會被外界所了解。 32 防火墻的種類 1. 分組過濾（ Packet filtering） 作用在網(wǎng)絡(luò)層和傳輸層，它根據(jù)分組包頭源地址，目的地址和端口號、協(xié)議類型等標(biāo)志確定是否允許數(shù)據(jù)包通過。只有滿足過濾邏輯的數(shù)據(jù)包才被轉(zhuǎn)發(fā)到相應(yīng)的目的地出口端，其余數(shù)據(jù)包則被從數(shù)據(jù)流中丟棄。 2. 應(yīng)用代理（ Application Proxy） 也叫應(yīng)用網(wǎng)關(guān)（ Application Gateway） ,它作用在應(yīng)用層，其特點是完全 阻隔 了網(wǎng)絡(luò)通信流，通過對每種應(yīng)用服務(wù)編制專門的代理程序，實現(xiàn)監(jiān)視和控制應(yīng)用層通信流的作用。實際中的應(yīng)用網(wǎng)關(guān)通常由專用工作站實現(xiàn)。 33 防火墻的局限性 防火墻設(shè)計時的安全策略一般有兩種：一種是沒有被允許的就是禁止；另一種是沒有被禁止的就是允許。如果采用第一種安全策略來設(shè)計防火墻的過濾規(guī)則，其安全性比較高，但靈活性差，只有被明確允許的數(shù)據(jù)包才能跨越防火墻，所有的其他數(shù)據(jù)包都將丟失。而第二種安全策略則允許所有沒有被明確禁止的數(shù)據(jù)包通過防火墻，這樣做當(dāng)然靈活方便，但同時也存在著很大的安全隱患。在實際應(yīng)用中一般要綜合考慮以上兩種策略，盡可能做到既安全又靈活。防火墻是網(wǎng)絡(luò)安全技術(shù)中非常重要的一個因素，但不等于裝了防火墻就可以保證系統(tǒng)百分之百的安全，防火墻仍存在許多局限性。如防火墻不能防范不經(jīng)過防火墻的攻擊。例如，如果允許從受保護(hù)的網(wǎng)絡(luò)內(nèi)部向外撥號，一些用戶就可能形成與Inter的直接連接。另外，防火墻很難防范來自于網(wǎng)絡(luò)內(nèi)部的攻擊以及病毒的威脅。據(jù)統(tǒng)計，網(wǎng)絡(luò)上的安全攻擊事件有 70%以上來自網(wǎng)絡(luò)內(nèi)部人員的攻擊。 34 知 識 產(chǎn) 權(quán) 計算機(jī)發(fā)展過程中帶來的另一問題是計算機(jī)軟件產(chǎn)品的盜版。軟件是抽象的、邏輯性的產(chǎn)品，它不以實物形態(tài)存在和傳播，很容易被復(fù)制和修改，這就為不法分子提供了可乘之機(jī)。盜版軟件給我國軟件業(yè)帶來的危害十分嚴(yán)重。因為軟件開發(fā)是高科技產(chǎn)品，它需要軟件公司作大量的前期投入，軟件的開發(fā)成本很高。這樣高投入的產(chǎn)品，由于盜版產(chǎn)品的侵入而得不到收益，軟件公司將無法維持，也不會有人愿意做軟件，軟件產(chǎn)業(yè)也不會有大的發(fā)展。在盜版大戰(zhàn)中真正的受益人是那些不法盜版廠商，而購買盜版軟件的用戶最終會發(fā)現(xiàn)那些沒有服務(wù)、沒有保障、沒有支持的盜版軟件不會給他們帶來任何收益。我國在 1990制定的著作權(quán)法中明確地將計算機(jī)軟件作為版權(quán)法的保護(hù)客體，并于 1991年制定了《計算機(jī)軟件保護(hù)條例》，又于 2023年修改了《計算機(jī)軟件保護(hù)條例》，對計算機(jī)軟件專門進(jìn)行保護(hù)。我們要自覺抵制盜版軟件，扶植我國還不太成熟的軟件工業(yè)，不給不法廠商以可乘之機(jī)。 35
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1