計(jì)算系統(tǒng)安全之防火墻(參考版)
2024-10-11 15:25本頁(yè)面
【正文】 當(dāng)改變這些標(biāo)志后 ，按保存鍵 。 規(guī)則列表 ：列出了所有的規(guī)則的名稱 ， 該規(guī)則所對(duì)應(yīng)的數(shù)據(jù)包的方向 ， 該規(guī)則所控制的協(xié)議 ， 本機(jī)端口 ，對(duì)方地址和對(duì)方端口 ， 以及當(dāng)數(shù)據(jù)包滿足本規(guī)則時(shí)所采取的策略 。 由于規(guī)則判斷是由上而下的 ， 可以通過(guò)點(diǎn)擊調(diào)“ 規(guī)則上下移動(dòng) ” 按鈕調(diào)整規(guī)則的順序 ， 當(dāng)調(diào)整好順序后 ， 可按保存按鈕保存修改 。 通過(guò)合理的設(shè)置規(guī)則就可以把有害的數(shù)據(jù)包擋在你的機(jī)器之外 。 可以非常靈活的設(shè)計(jì)合適自己使用的規(guī)則 。 代理服務(wù)器及防火墻軟件包： Wingate Microsoft Proxy Server 57 用戶眼中的代理 代理服務(wù) 免費(fèi)代理 出現(xiàn)原因：系統(tǒng)漏洞；管理員設(shè)置的代理；ISP提高影響 ， 在一段時(shí)間內(nèi)開(kāi)發(fā)的代理 。 56 代理服務(wù) 2)屏蔽子網(wǎng)防火墻體系結(jié)構(gòu)：堡壘機(jī)放在一個(gè)子網(wǎng)內(nèi) ， 形成非軍事化區(qū) ， 兩個(gè)包過(guò)濾路由器放在這一子網(wǎng)的兩端 ， 使這一子網(wǎng)與 Inter及內(nèi)部網(wǎng)絡(luò)分離 。 有兩種方案 。為防止用戶向匿名 FTP服務(wù)器寫數(shù)據(jù)，可拒絕使用 FTP 協(xié)議中的 put 命令； 能過(guò)濾數(shù)據(jù)內(nèi)容：文本過(guò)濾、圖像過(guò)濾、病毒掃描等。 路由器允許 Tel和 Ftp包只通過(guò)一個(gè)主系統(tǒng) ，即 Tel/Ftp應(yīng)用網(wǎng)關(guān) ， 然后再連接到目的主系統(tǒng)： 1. 用戶首先把 Tel連接到應(yīng)用網(wǎng)關(guān) ， 并輸入內(nèi)部主系統(tǒng)名字； 2. 網(wǎng)關(guān)檢驗(yàn)用戶的源 IP地址 ， 并根據(jù)訪問(wèn)準(zhǔn)則接受或拒絕； 3. 用戶可能需要證明自己的身份 （ 可使用一次性口令裝置 ） ； 4. 代理服務(wù)軟件在 網(wǎng)關(guān)和內(nèi)部主系統(tǒng)之間建立 Tel連接 ； 5. 代理服務(wù)軟件在兩個(gè)連接之間傳送數(shù)據(jù)； 6. 應(yīng)用網(wǎng)關(guān)記錄連接情況 。 電路網(wǎng)關(guān)與包過(guò)濾相似，但比包過(guò)濾高兩層，安全性更好。 電路網(wǎng)關(guān)適于限制內(nèi)部網(wǎng)對(duì)外部的訪問(wèn)，但不能實(shí)施協(xié)議過(guò)濾。電路網(wǎng)關(guān)在兩個(gè)通信端點(diǎn)之間復(fù)制字節(jié)。 48 應(yīng)用層上的過(guò)濾 應(yīng)用網(wǎng)關(guān) 49 應(yīng)用層網(wǎng)關(guān) 50 電路層網(wǎng)關(guān) (Circuit Gateway) 電路網(wǎng)關(guān)工作在 OSI的會(huì)話層。 并在過(guò)濾的同時(shí) ， 對(duì)數(shù)據(jù)包進(jìn)行必要的分析 、記錄和統(tǒng)計(jì) ， 形成報(bào)告 。 46 代理服務(wù)技術(shù) 代理服務(wù) 47 應(yīng)用層網(wǎng)關(guān) 應(yīng)用網(wǎng)關(guān) 應(yīng)用層網(wǎng)關(guān) （ Application Level Gateways）技術(shù)是在網(wǎng)絡(luò)的應(yīng)用層上實(shí)現(xiàn)協(xié)議過(guò)濾和轉(zhuǎn)發(fā)功能 。防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)間應(yīng)用層的連接，由兩個(gè)代理服務(wù)器之間的連接來(lái)實(shí)現(xiàn)，外部計(jì)算機(jī)的網(wǎng)絡(luò)鏈路只能到達(dá)代理服務(wù)器，從而起到隔離防火墻內(nèi)外計(jì)算機(jī)系統(tǒng)的作用。 難以針對(duì)用戶實(shí)施安全策略 。 日志能力較弱 。 不能理解上下文 。 管理困難 。 因?yàn)?Inter 訪問(wèn)一般被提供給一個(gè) WAN接口 。 這些特點(diǎn)都包含再標(biāo)準(zhǔn)的路由器軟件中 。 通過(guò)舍棄所有協(xié)議類型為 TCP、 IP報(bào)頭中 Fragment Offset=1的數(shù)據(jù)包 ， 即可挫敗殘片的攻擊 。 3） 殘片攻擊 入侵者利用 IP分段特性生成一個(gè)極小的片斷并將TCP報(bào)頭信息肢解成一個(gè)分離的信息包片斷 ， 使數(shù)據(jù)包繞過(guò)用戶定義的過(guò)濾規(guī)則 。 41 包過(guò)濾技術(shù) 2） 源路由攻擊 攻擊者為信息包指定一個(gè)穿越 Inter的路由 ，這類攻擊企圖繞過(guò)安全措施 ， 并使信息包沿一條意外(疏漏 )的路徑到達(dá)目的地 。 不依賴于服務(wù)的攻擊有三類： 1） 源 IP地址欺騙攻擊 入侵者從偽裝成源自一臺(tái)內(nèi)部主機(jī)的一個(gè)外部地點(diǎn)傳送一些信息包；這些信息包似乎像包含了一個(gè)內(nèi)部系統(tǒng)的源 IP地址 。 典型的過(guò)濾規(guī)則有以下幾種： .只允許進(jìn)來(lái)的 Tel會(huì)話連接到指定的一些內(nèi)部主機(jī) .只允許進(jìn)來(lái)的 FTP會(huì)話連接到指定的一些內(nèi)部主機(jī) .允許所有出去的 Tel 會(huì)話 . 允許所有出去的 FTP 會(huì)話 .拒絕從某些指定的外部網(wǎng)絡(luò)進(jìn)來(lái)的所有信息 40 獨(dú)立于服務(wù)的過(guò)濾 有些類型的攻擊很難用基本包頭信息加以鑒別 ， 因?yàn)楠?dú)立于服務(wù) 。 38 包過(guò)濾的依據(jù) 包過(guò)濾技術(shù) IP 源地址 IP目的地址 封裝協(xié)議 (TCP、 UDP、 或 IP Tunnel) TCP/UDP源端口 TCP/UDP目的端口 ICMP包類型 TCP報(bào)頭的 ACK位 包輸入接口和包輸出接口 39 依賴于服務(wù)的過(guò)濾 包過(guò)濾技術(shù) 多數(shù)服務(wù)對(duì)應(yīng)特定的端口 ， 例： Tel、 SMTP、 POP3分別為 2 2 110。 如果找到一個(gè)匹配 ， 且規(guī)則允許這包 ， 這個(gè)包則根據(jù)路由表中的信息前行； 如果找到一個(gè)匹配 ， 且規(guī)則允許拒絕此包 ， 這一包則被舍棄； 如果無(wú)匹配規(guī)則 ， 一個(gè)用戶配置的缺省參數(shù)將決定此包是前行還是被舍棄 。 應(yīng)用層 表示層 會(huì)話層 傳輸層 網(wǎng)絡(luò)層 鏈路層 物理層 包過(guò)濾 應(yīng)用網(wǎng)關(guān) 電路網(wǎng)關(guān) 32
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1