防火墻安全技術(shù)論(參考版)
2025-01-11 11:20本頁面
【正文】 [4] 王淑紅 .網(wǎng)絡安全 .北京市：機械工業(yè)出版社 ,2022年， 57~89 頁。 [2] 賀雪晨 . 黑客入侵分析與防范 .北京市：清華大學出版社， 2022 年， 58 頁。在此我要向我的老 師致以最衷心的感謝和深深的敬意。老師的 嚴謹治學態(tài)度、淵博的知識、無私的奉獻精神使我深受啟迪。 河北大學人民武裝學院 謝 辭 在此我要感謝我的 專業(yè)老師，是你 的細心指導和關(guān)懷，使我能夠 順利的完成畢業(yè)論文。事實上 60%以上的網(wǎng)絡安全問題來自網(wǎng)絡內(nèi)部。如果使用得當，可以在很大程度上提高網(wǎng)絡安全。 河北大學人民武裝學院 結(jié) 論 隨著 Inter/Intra 技術(shù)的飛速發(fā)展，網(wǎng)絡安全問題必將愈來愈引起人們的重視。由于 UTM設(shè)備集多種功能于一身，因此，它必須具有能夠統(tǒng)一控制和管理的平臺，使用戶能夠有效地管理。 （ 3）有高可靠性、高性能的硬件平臺支撐。 IPS理念在 20 世紀 90年代就已經(jīng)被提出，但是目前全世界對 IPS 的部署非常有限，影響其部署的一個重要問題就是誤報率。 （ 2）通過分類檢測技術(shù)降低誤報率。 （ 1）網(wǎng)絡安全協(xié)議層防御。 由于 UTM 設(shè)備是串聯(lián)接入的安全設(shè)備，因此 UTM 設(shè)備本身必須具備良好的性能和高可靠性，同時， UTM 在統(tǒng)一的產(chǎn)品管理平臺下，集防火墻、 VPN、網(wǎng)關(guān)防病毒、 IPS、拒絕服務攻擊等眾多產(chǎn)品功能于一體，實現(xiàn)了多種防 御功能，因此，向UTM方向演進將是防火墻的發(fā)展趨勢。 從概念的定義上看， UTM既提出了具體產(chǎn)品的形態(tài)，又涵蓋了更加深遠的邏輯范疇。 由于狀態(tài)監(jiān)視技術(shù)相當于結(jié)合了包過濾技術(shù)和應用代理技術(shù)，因此是最先進的，但是由于實現(xiàn)技術(shù) 復雜，在實際應用中還不能做到真正的完全有效的數(shù)據(jù)安全檢測，而且在一般的計算機硬件系統(tǒng)上很難設(shè)計出基于此技術(shù)的完善防御措施（市面上大部分軟件防火墻使用的其實只是包過濾技術(shù)加上一點其他新特性而已）。 “狀態(tài)監(jiān)視”（ stateful inspection）技術(shù)在保留了對每個數(shù)據(jù)包的頭部、協(xié)議、地址、端口、類型等信息進行分析的基礎(chǔ)上，進一步發(fā)展了“會話過濾”（ session filtering）功能，在每個連接建立時，防火墻會為這個連接構(gòu)造一個會話狀態(tài)，里面包含了這個連接數(shù)據(jù)包的所有信息，以后這個連接都基于這個狀態(tài)信息進行，這種檢測的高明之處是能對每個數(shù)據(jù)包的內(nèi)容進行監(jiān)視，一旦建立了一個會話狀態(tài)，則此后的數(shù)據(jù)傳輸都要以此 會話狀態(tài)作為依據(jù)，例如一個連接的數(shù)據(jù)包源端口是 8000，那么在以后的數(shù)據(jù)傳輸過程里防火墻都會審核這個包的源端口還是不是 8000，否則這個數(shù)據(jù)包就被攔截，而且會話狀態(tài)的保留是有時河北大學人民武裝學院 間限制的，在超時的范圍內(nèi)如果沒有再進行數(shù)據(jù)傳輸，這個會話狀態(tài)就會被丟棄。 這是繼“包過濾”技術(shù)和“應用代理”技術(shù)后發(fā)展的防火墻技術(shù)，它是checkpoint 技術(shù)公司在基于“包過濾”原理的“動態(tài)包過濾”技術(shù)發(fā)展而來的，與之類似的有其他廠商聯(lián)合發(fā)展的“深度包檢測”（ deep packet inspection）技術(shù)。代理防火墻是以犧牲速度為代價換取了比包過濾防火墻更高的安全性能，在網(wǎng)絡吞吐量不是很大的情況下，也許用戶不會察覺到什么，然而到了數(shù)據(jù)交換頻繁的時刻，代理防火墻就成了整個網(wǎng)絡的瓶頸，而且一旦防火墻的硬件配置支撐不住高強度的數(shù)據(jù)流量而發(fā)生罷工，整個網(wǎng)絡可能就會因此癱瘓了。最后，由于代理防火墻采取是代理機制進行工作，內(nèi)外部網(wǎng)絡之間的通信都需先經(jīng)過代理服務器審核，通過后再由代理 服務器連接，根本沒有給分隔在內(nèi)外部網(wǎng)絡兩邊的計算機直接會話的機會，可以避免入侵者使用“數(shù)據(jù)驅(qū)動”攻擊方式（一種能通過包過濾技術(shù)防火墻規(guī)則的數(shù)據(jù)報文，但是當它進入計算機處理后，卻變成能夠修改系統(tǒng)設(shè)置和用戶數(shù)據(jù)的惡意代碼）滲透內(nèi)部網(wǎng)絡，可以說，“應用代理”是比包過濾技術(shù)更完善的防火墻技術(shù)。整個代理防火墻把自身映射為一條透明線路，在用戶方面和外界線路看來，它們之間的連接并沒有任何阻礙，但是這個連接的數(shù)據(jù)收發(fā)實際上是經(jīng)過了代理防火墻轉(zhuǎn)向的，當外界數(shù)據(jù)進入代理防火墻的客戶端時，“應用協(xié)議分析”模塊便根據(jù)應用層協(xié)議處理這個數(shù)據(jù)，通過預置的處理規(guī)則（沒錯，又是規(guī)則，防火墻離不開規(guī)則）查詢這個數(shù)據(jù)是否帶有危
公司管理相關(guān)推薦
鄂ICP備17016276號-1