計(jì)算機(jī)網(wǎng)絡(luò)安全管理課件第8章防火墻安全管理-wenkub.com
2025-02-13 16:22 本頁面
【正文】 2023年 3月 5日星期日 9時(shí) 59分 22秒 09:59:225 March 2023 ● 1一個(gè)人即使已登上頂峰，也仍要自強(qiáng)不息。勝人者有力，自勝者強(qiáng)。 , March 5, 2023 ● 閱讀一切好書如同和過去最杰出的人談話。 。 :59:2209:59Mar235Mar23 ● 1世間成事，不求其絕對(duì)圓滿，留一份不足，可得無限完美。 2023年 3月 5日星期日 9時(shí) 59分 22秒 09:59:225 March 2023 ● 1做前，能夠環(huán)視四周；做時(shí)，你只能或者最好沿著以腳為起點(diǎn)的射線向前。 :59:2209:59:22March 5, 2023 ● 1他鄉(xiāng)生白發(fā)，舊國(guó)見青山。 , March 5, 2023 ● 雨中黃葉樹，燈下白頭人。 允許 X－ Windows或 OpenWindows； 強(qiáng)力攻擊； 通常情況下，有效的攻擊都是從相關(guān)的子網(wǎng)進(jìn)行的，因?yàn)檫@些網(wǎng)址得到了防火墻的信賴，雖說成功與否尚取決于機(jī)遇等其他因素，但對(duì)攻擊者而言很值得一試。 2. 防火墻的動(dòng)態(tài)維護(hù) 防火墻安裝和投入使用后，并非萬事大吉。 關(guān)閉并禁止所有的數(shù)據(jù)通行； 因?yàn)樯碳乙坏┌l(fā)現(xiàn)其產(chǎn)品存在安全漏洞，那么會(huì)盡快發(fā)布補(bǔ)救 (Patch)產(chǎn)品，此時(shí)應(yīng)盡快確認(rèn)真?zhèn)?(防止特洛伊木馬等病毒 )，并對(duì)防火墻軟件進(jìn)行更新。 前兩種狀態(tài)比較理想，而第四種最不安全。 未受傷害能夠繼續(xù)正常工作； 相當(dāng)于以前的 INPUT鏈的鏈名是 PREROUTING，也就是一切通過本機(jī) NIC進(jìn)入的都要通過PREROUTING，但事實(shí)上只有進(jìn)入本機(jī)的才通過 INPUT，類似地，所有通過本機(jī) NIC發(fā)出的數(shù)據(jù)都要通過 POSTROUTING，但只有本機(jī)發(fā)出的數(shù)據(jù)包才通過 OUTPUT。若包不匹配則送往該鏈下一條規(guī)則檢查；若匹配 ,則由目標(biāo)值確定下一條規(guī)則。在公共網(wǎng)絡(luò)和私有網(wǎng)絡(luò)之間構(gòu)成了一個(gè)隔離網(wǎng)，稱之為“停火區(qū)”（ DMZ，即 DemilitarizedZone）， Bastionhost放置在“?；饏^(qū)”內(nèi)。這種結(jié)構(gòu)沒有增加網(wǎng)絡(luò)安全的自我防衛(wèi)能力，并且它是入侵者的首選目標(biāo)，它極易被攻破，一旦被攻破，整個(gè)網(wǎng)絡(luò)也就暴露了，所以這種配置方式不利于安全的管理。 常用防火墻的配置與管理 防火墻配置一般有三種方式： Dualhomed方式、 Screenedhost方式和Screenedsub方式。當(dāng)防火墻上所執(zhí)行的軟件出現(xiàn)安全漏洞時(shí)，防火墻本身也將受到威脅。 好的防火墻應(yīng)該有雙重 DNS 好的防火墻應(yīng)該為使用者提供不同平臺(tái)的選擇 由于防火墻并非完全由硬件構(gòu)成，所以軟件 (操作系統(tǒng) )所提供的功能以及執(zhí)行效率一定會(huì)影響到整體的表現(xiàn)，而使用者的操作意愿及熟悉程度也是必須考慮的重點(diǎn)。 使用雙重宿主主機(jī)與屏蔽子網(wǎng)。 合并堡壘主機(jī)與內(nèi)部路由器； 一般有以下幾種形式： 167。 外部路由器由外部群組提供，同時(shí)用戶對(duì)它的訪問被限制。限制堡壘主機(jī)和內(nèi)部網(wǎng)之間服務(wù)的理由是減少由此而導(dǎo)致的受到來自堡壘主機(jī)侵襲的機(jī)器的數(shù)量。內(nèi)部路由器為用戶的防火墻執(zhí)行大部分的數(shù)據(jù)包過濾工作。 設(shè)置代理服務(wù)器在堡壘主機(jī)上運(yùn)行（如果用戶的防火墻使用代理軟件）來允許內(nèi)部的客戶端間接地訪問外部的服務(wù)器。 對(duì)于進(jìn)來的域名服務(wù)（ DNS）站點(diǎn)查詢等等。 2. 堡壘主機(jī) 在屏蔽的子網(wǎng)體系結(jié)構(gòu)中，用戶把堡壘主機(jī)連接到周邊網(wǎng)；這臺(tái)主機(jī)便是接受來自外界連接的主要入口。 因?yàn)闆]有嚴(yán)格的內(nèi)部通信能越過周邊網(wǎng)。如果侵襲者成功地侵入用戶的防火墻的外層領(lǐng)域，周邊網(wǎng)絡(luò)在那個(gè)侵襲者與用戶的內(nèi)部系統(tǒng)之間提供一個(gè)附加的保護(hù)層。即使侵襲者設(shè)法侵入堡壘主機(jī)，他將仍然必須通過內(nèi)部路由器。 通過在周邊網(wǎng)絡(luò)上隔離堡壘主機(jī)，能減少在堡壘主機(jī)上侵入的影響。任憑用戶盡最大的力氣去保護(hù)它，它仍是最有可能被侵襲的機(jī)器，因?yàn)樗举|(zhì)上是能夠被侵襲的機(jī)器。這完全取決于用戶實(shí)行的安全策略。 任何外部的系統(tǒng)試圖訪問內(nèi)部的系統(tǒng)或者服務(wù)將必須連接到這臺(tái)堡壘主機(jī)上。 屏蔽主機(jī)體系結(jié)構(gòu) 屏蔽主機(jī)體系結(jié)構(gòu)使用一個(gè)單獨(dú)的路由器提供來自僅僅與內(nèi)部的網(wǎng)絡(luò)相連的主機(jī)的服務(wù)。在雙重宿體主機(jī)體系中應(yīng)用最廣泛的是雙穴主機(jī)網(wǎng)關(guān)，這種網(wǎng)關(guān)是用一臺(tái)裝有兩塊網(wǎng)卡的堡壘主機(jī)做防火墻。所以 IP數(shù)據(jù)包從一個(gè)網(wǎng)絡(luò)并不是直接發(fā)送到其它網(wǎng)絡(luò)。 167。 防火墻體系結(jié)構(gòu) 防火墻體系結(jié)構(gòu)主要有三種： 狀態(tài)監(jiān)視器的另一個(gè)優(yōu)點(diǎn)是它會(huì)監(jiān)測(cè) RPC(Remote Procedure Call)和(UDP)User Data gram Protocol之類的端口信息。檢測(cè)模塊在不影響網(wǎng)絡(luò)正常工作的前提下，采用抽取相關(guān)數(shù)據(jù)的方法對(duì)網(wǎng)絡(luò)通信的各層實(shí)施監(jiān)測(cè)，抽取部分?jǐn)?shù)據(jù)，即狀態(tài)信息，并動(dòng)態(tài)地保存起來作為以后制定安全決策的參考。 規(guī)則檢查防火墻雖然集成前三者的特點(diǎn)，但是不同于一個(gè)應(yīng)用級(jí)網(wǎng)關(guān)的是，它并不打破客戶機(jī) /服務(wù)機(jī)模式來分析應(yīng)用層的數(shù)據(jù)，它允許受信任的客戶機(jī)和不受信任的主機(jī)建立直接連接。 規(guī)則檢查防火墻 規(guī)則檢查防火墻結(jié)合了包過濾防火墻、電路級(jí)網(wǎng)關(guān)和應(yīng)用級(jí)網(wǎng)關(guān)的特點(diǎn)。 實(shí)際上電路級(jí)網(wǎng)關(guān)并非作為一個(gè)獨(dú)立的產(chǎn)品存在，它與其他的應(yīng)用級(jí)網(wǎng)關(guān)結(jié)合在一起，如 TrustInformationSystems公司的 GauntletInterFirewall； DEC公司的 AltaVistaFirewall等產(chǎn)品。但是應(yīng)用級(jí)網(wǎng)關(guān)的訪問速度慢，因?yàn)樗辉试S用戶直接訪問網(wǎng)絡(luò)。當(dāng)代理服務(wù)器接受到用戶的請(qǐng)求后會(huì)檢查用戶請(qǐng)求的站點(diǎn)是否符合要求，如果允許用戶訪問該站點(diǎn)的話，代理服務(wù)器會(huì)象一個(gè)客戶一樣去那個(gè)站點(diǎn)取回所需信息再轉(zhuǎn)發(fā)給客戶。 167。 網(wǎng)絡(luò)級(jí)防火墻可以判斷這一點(diǎn)，它可以提供內(nèi)部信息以說明所通過的連接狀態(tài)和一些數(shù)據(jù)流的內(nèi)容，把判斷的信息同規(guī)則表進(jìn)行比較，在規(guī)則表中定義了各種規(guī)則來表明是否同意或拒絕包的通過。 6. 隔離域名服務(wù)器（ Split Domain Name Server） 這種技術(shù)是通過防火墻將受保護(hù)網(wǎng)絡(luò)的域名服務(wù)器與外部網(wǎng)的域名服務(wù)器隔離，使外部網(wǎng)的域名服務(wù)器只能看到防火墻的 IP地址，無法了解受保護(hù)網(wǎng)絡(luò)的具體情況，這樣可以保證受保護(hù)網(wǎng)絡(luò)的 IP地址不被外部網(wǎng)絡(luò)知悉。當(dāng)內(nèi)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1