防火墻ppt課件(參考版)
2024-10-22 05:52本頁面
【正文】 。 ? 6）防火墻無法從流量上判別那些是正常的，那些是異常的，因此容易受到流量攻擊； ? 7）防火墻的安全性與其速度和多功能成反比。 ? 2．防火墻的脆弱性 ? 防火墻的局限性必然導(dǎo)致其存在許多漏洞，這些漏洞表現(xiàn)在： ? 1）目前在防火墻都裝有固定的操作系統(tǒng)，而這個(gè)操作系統(tǒng)本身是不能保證沒有安全漏洞，即在防火墻內(nèi)部的操作系統(tǒng)存在隱患； ? 2）所有電子元器件都有一個(gè)生命周期，超過這個(gè)周期就會(huì)老化和失效，防火墻硬件設(shè)備也不例外； ? 3）防火墻的安全功能都是由應(yīng)用軟件實(shí)現(xiàn)的，開發(fā)人員在設(shè)計(jì)這個(gè)應(yīng)用軟件時(shí)是不能保證其沒有安全漏洞的。 ? 2）防火墻無法阻止繞過它的攻擊行為； ? 3）防火墻不能阻止感染病毒的程序和文件的傳輸； ? 4）防火墻不能防范全新的威脅，更不能防止可接觸的人為或自然的破壞； ? 5）當(dāng)使用端加密時(shí)，防火墻的作用將受到很大限制； ? 6）防火墻不能防止由自身安全漏洞引起的威脅； ? 7）防火墻對(duì)用戶不完全透明，難于管理和配置，易造成安全漏洞。正確認(rèn)識(shí)和應(yīng)用防火墻，全面了解防火墻的局限性和脆弱性，對(duì)增強(qiáng)以防火墻為核心的網(wǎng)絡(luò)安全系統(tǒng)的性能十分重要。 ? 3）采取多重過濾措施 ,保證服務(wù)器的安全。防火墻的非信任端與路由器相連，而信任端則與交換機(jī)相連，并且將所托管的主機(jī)也連接到該交換機(jī)上。 ? 當(dāng)企業(yè)選擇托管方式建立網(wǎng)站后，網(wǎng)站安全問題是不容忽視的，關(guān)于網(wǎng)站托管主機(jī)的安全問題涉及內(nèi)容較多，例如管理問題、法律問題、經(jīng)濟(jì)問題、技術(shù)問題等。相比之下，服務(wù)器托管方案既方便快捷、又經(jīng)濟(jì)實(shí)用。 ? 圖 案十分類似，區(qū)別在于一個(gè)是面向企業(yè)應(yīng)用，另一個(gè)是面向教學(xué)實(shí)踐，另外，圖 4個(gè)堡壘主機(jī)間是直連的。內(nèi)網(wǎng)到外網(wǎng)的訪問，以及兩個(gè)內(nèi)網(wǎng)間的互訪等都是通過代理技術(shù)實(shí)現(xiàn)的。該方案通過四臺(tái)堡壘主機(jī)（每臺(tái)主機(jī)帶四塊網(wǎng)卡）將 3個(gè)內(nèi)網(wǎng)和 1個(gè)外網(wǎng)互連成一個(gè)安全網(wǎng)絡(luò)。 ? 根據(jù)上述解決方案，可為該網(wǎng)絡(luò)制定如圖 的安全配置方案。對(duì)于企業(yè)內(nèi)部各種專用網(wǎng)中的用戶，允許其通過 DDN專線訪問Inter；對(duì)于企業(yè)許可的撥號(hào)用戶，允許其通過撥號(hào) VPN并經(jīng)嚴(yán)格訪問控制后可獲取企業(yè)內(nèi)部網(wǎng)中的各種服務(wù)資源，還可以通過防火墻與企業(yè)內(nèi)部各專用網(wǎng)中的用戶進(jìn)行加密通信。 ? 4）如果企業(yè)總部需要通過專線與其他分部安全連接時(shí)，也需要在防火墻上增加靜態(tài)路由以保證各分部與總部的 Web服務(wù)器和郵件服務(wù)器間的聯(lián)系。 ? 2）把 Web服務(wù)器、郵件服務(wù)器、電子郵件服務(wù)器和域名服務(wù)器放到 DMZ區(qū)，并設(shè)置安全策略允許內(nèi)部網(wǎng)和外部網(wǎng)的所有機(jī)器訪問 DMZ區(qū)。 ? 采用方案一實(shí)現(xiàn)網(wǎng)絡(luò)安全防護(hù)的具體措施如下： ? 1）由防火墻實(shí)現(xiàn) NAT功能，限制企業(yè)內(nèi)部的代理服務(wù)器執(zhí)行 NAT功能，只允許代理服務(wù)器去外網(wǎng)訪問，企業(yè)內(nèi)部所有 VLAN之間通過內(nèi)部的三層交換機(jī)實(shí)現(xiàn)互訪，企業(yè)內(nèi)部的其他用戶只能通過代理服務(wù)器上網(wǎng)訪問，可根據(jù)安全需要直接在三層交換機(jī)上進(jìn)行訪問控制。 堡壘主機(jī) 外部網(wǎng)絡(luò) R R 外部過濾路由 內(nèi)部過濾路由 圖 屏蔽子網(wǎng)模式 應(yīng)用防火墻的典型案例 ? 1．網(wǎng)絡(luò)安全解決方案 ? 在眾多的網(wǎng)絡(luò)安全解決方案中，使用防火墻技術(shù)的典型拓樸結(jié)構(gòu)有以下兩種形式，分別如圖 。堡壘主機(jī)使用兩個(gè)過濾路由器，分別與內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)連接，再通過代理服務(wù)系統(tǒng)處理經(jīng)過過濾路由器的信息。其網(wǎng)絡(luò)拓樸結(jié)構(gòu)如圖。 ? 2．屏蔽主機(jī)模式 ? 這種模式是在雙宿 /多宿主機(jī)模式的基礎(chǔ)上增加外部過濾路由設(shè)備實(shí)現(xiàn)的。其中，一塊網(wǎng)卡用于外部網(wǎng)絡(luò)，而其余網(wǎng)卡則用于內(nèi)部網(wǎng)絡(luò)，并通過代理服務(wù)系統(tǒng)來實(shí)現(xiàn)防火墻的各種功能。 ? 4．防火墻設(shè)計(jì)策略 ? 通常有三種設(shè)計(jì)策略，第一種：安全策略中明確禁止的服務(wù)一律關(guān)閉，其余服務(wù)全部開放；第二種：安全策略中明確允許的服務(wù)一律開放，其余服務(wù)全部關(guān)閉；第三種：安全策略中有明確規(guī)定的服務(wù)一律按規(guī)定執(zhí)行，其余服務(wù)均酌情考慮。 ? 依據(jù)網(wǎng)絡(luò)安全目標(biāo)，防火墻系統(tǒng)環(huán)境配置需要考慮： ? 1）取消危險(xiǎn)的系統(tǒng)調(diào)用； ? 2）限制命令的執(zhí)行權(quán)限； ? 3）取消 IP的轉(zhuǎn)發(fā)功能； ? 4）檢查每個(gè)分組的接口； ? 5）采用復(fù)雜的隨機(jī)連接序號(hào)； ? 6）駐留分組過濾模塊； ? 7）取消動(dòng)態(tài)路由功能； ? 8）采用多個(gè)安全內(nèi)核等可能導(dǎo)致安全問題發(fā)生的內(nèi)容。 ? （ 4）防火墻的完善性和售后服務(wù)體系 ? 防火墻不是一般的網(wǎng)絡(luò)設(shè)備，也不是隨意買賣的產(chǎn)品，因此，必須選購經(jīng)國(guó)家安全部門檢測(cè)通過的設(shè)備 ? 2．配置策略 ? 在制訂防火墻的
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1