計算機系統(tǒng)安全防火墻-文庫吧資料
2025-01-12 12:10本頁面
【正文】 包過濾技術(shù) 包過濾技術(shù) 33 包過濾技術(shù)的原理 包過濾技術(shù) 在路由器上加入 IP Filtering 功能 ， 這樣的路由器就成為 Screening Router 。因此 ， 有時我們需要在同一結(jié)構(gòu)的兩個部分之間 ， 或者在同一內(nèi)部網(wǎng)的兩個不同組織結(jié)構(gòu)之間再建立防火墻 （ 也被稱為內(nèi)部防火墻 ） 。 30 內(nèi)部防火墻問題 防火墻體系結(jié)構(gòu) 在大部分討論中 ,都假定建立防火墻的目的在于保護(hù)內(nèi)部網(wǎng)免受外部網(wǎng)的侵?jǐn)_ 。 實際上 ， 外部路由器傾向于允許幾乎任何東西從周邊網(wǎng)出站 ， 并且它們通常只執(zhí)行非常少的數(shù)據(jù)包過濾 。 限制堡壘主機與內(nèi)部網(wǎng)之間的通信可減少堡壘機被攻破時對內(nèi)部網(wǎng)的危害 。這些服務(wù)是用戶使用數(shù)據(jù)包過濾而不是通過代理服務(wù)提供 。 內(nèi)部路由器為用戶的防火墻執(zhí)行大部分的數(shù)據(jù)包過濾工作 。 但是禁止內(nèi)部的客戶端與外部世界之間直接通信 (如撥號上網(wǎng) )。 （ 如果用戶的防火墻使用代理軟件 ） 來允許內(nèi)部的客戶端間接地訪問外部的服務(wù)器 。 26 防火墻體系結(jié)構(gòu) 2） 堡壘主機 接受來自外界連接的主要入口： 1對于進(jìn)來的電子郵件 （ SMTP） 會話 ， 傳送電子郵件到站點； 2對于進(jìn)來的 FTP連接 ， 轉(zhuǎn)接到站點的匿名 FTP服務(wù)器； 3對于進(jìn)來的域名服務(wù) （ DNS） 站點查詢等 。 因為沒有嚴(yán)格的內(nèi)部通信 (即在兩臺內(nèi)部主機之間的通信 ， 這通常是敏感的或者專有的 )能越過周邊網(wǎng) 。 25 防火墻體系結(jié)構(gòu) 周邊網(wǎng)絡(luò)的作用 對于周邊網(wǎng)絡(luò) ， 如果某人侵入周邊網(wǎng)上的堡壘主機 ， 他僅能探聽到周邊網(wǎng)上的通信 。 要想侵入用這種類型的體系結(jié)構(gòu)構(gòu)筑的內(nèi)部網(wǎng)絡(luò) ， 侵襲者必須通過外部路由器 ， 堡壘主機 ，內(nèi)部路由器三道關(guān)口 。 23 屏蔽子網(wǎng)體系結(jié)構(gòu) 24 防火墻體系結(jié)構(gòu) 屏蔽子網(wǎng)防火墻中 ， 添加周邊網(wǎng)絡(luò)進(jìn)一步地把內(nèi)部網(wǎng)絡(luò)與 Inter隔離開 。 實施策略：針對不同的服務(wù)，選擇其中的一種或兩種保護(hù)措施。 兩道屏障：網(wǎng)絡(luò)層的包過濾；應(yīng)用層代理服務(wù) 注：與雙宿主機網(wǎng)關(guān)不同，這里的應(yīng)用網(wǎng)關(guān)只有一塊網(wǎng)卡。 在建立雙宿主機時 ，應(yīng)關(guān)閉操作系統(tǒng)的路由功能 （ IP轉(zhuǎn)發(fā) ） ， 否則兩塊網(wǎng)卡間的通信會繞過代理服務(wù)器軟件 。 缺點： ? 日志沒有或很少，難以判斷是否被入侵 ? 規(guī)則表會隨著應(yīng)用變得很復(fù)雜 ? 單一的部件保護(hù)，脆弱 17 防火墻體系結(jié)構(gòu) 18 防火墻體系結(jié)構(gòu) 用一臺裝有兩塊網(wǎng)卡的計算機作為堡壘主機（ Bastion host） ， 兩塊網(wǎng)卡分別與內(nèi)部網(wǎng)和外部網(wǎng) （ 或屏蔽路由器 ） 相連 ， 每塊網(wǎng)卡有各自的 IP地址 。 2. “ 沒有明確禁止的都是被允許的 ” ；也即是允許一切未被特別拒絕的東西 允許 拒絕 15 六、防火墻的體系結(jié)構(gòu) 1） 屏蔽路由器 （ Screened Router） 2） 雙宿主機網(wǎng)關(guān)； Dual Homed Host Gateway 3） 屏蔽主機防火墻； Screened Gateway 4） 屏蔽子網(wǎng)防火墻 。 另一個典型政策是允許從 Inter進(jìn)行某些訪問 ， 但是或許只許可訪問經(jīng)過選擇的系統(tǒng) ，如 Web服務(wù)器和電子郵件服務(wù)器 。 13 服務(wù)訪問政策 二、網(wǎng)絡(luò)政策 服務(wù)訪問政策是整個機構(gòu)信息安全政策的延伸 ， 既要可靠又要切合實際 。 11 五、防火墻的特點 一、防火墻概述 廣泛的服務(wù)支持：通過將動態(tài)的 、 應(yīng)用層的過濾能力和認(rèn)證相結(jié)合 ， 可實現(xiàn) WWW瀏覽器 、HTTP服務(wù)器 、 FTP等； 對私有數(shù)據(jù)的加密支持：保證通過 Inter進(jìn)行虛擬私人網(wǎng)絡(luò)和商務(wù)活動的安全； 客戶端認(rèn)證：只允許指定的用戶訪問內(nèi)部網(wǎng)絡(luò)或選擇服務(wù)：企業(yè)本地網(wǎng)與分支機構(gòu) 、 商業(yè)伙伴和移動用戶間安全通信的附加部分； 12 五、防火墻的特點 一、防火墻概述 反欺騙：欺騙是從外部獲取網(wǎng)絡(luò)訪問權(quán)的常用手段 ， 它使數(shù)據(jù)包好似來自網(wǎng)絡(luò)內(nèi)部 。 當(dāng)有些表面看來無害的數(shù)據(jù)被郵寄或復(fù)制到內(nèi)部網(wǎng)主機上并被執(zhí)行而發(fā)起攻擊時 ， 就會發(fā)生數(shù)據(jù)驅(qū)動攻擊 。 這只能在每臺主機上裝反病毒軟件 。 3） 防火墻配置復(fù)雜 ， 容易出現(xiàn)安全漏洞 4） 防火墻往往只認(rèn)機器 （ IP地址 ） 不認(rèn)人（ 用戶身份 ） ， 并且控制粒度較粗 。 9 一、防火墻概述 2） 不能防范繞過防火墻的攻擊 防火墻能夠有效地防止通過它進(jìn)行傳輸信息 ，然而不能防止不通過它而傳輸?shù)男畔?。內(nèi)部用戶偷竊數(shù)據(jù) ， 破壞硬件和軟件 ， 并且巧妙地修改程序而不接近防火墻 。 8 四、防火墻的局限性 一、防火墻概述 1） 防火墻防外不防內(nèi) 防火墻可以禁止系統(tǒng)用戶經(jīng)過網(wǎng)絡(luò)連接發(fā)送專有的信息 ， 但用戶可以將數(shù)據(jù)復(fù)制到磁盤 、磁帶上 ， 放在公文包中帶出去 。 、 濫用
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1