網(wǎng)絡(luò)安全第二章ppt課件-文庫(kù)吧資料
2025-01-14 22:05本頁(yè)面
【正文】 度只限于源地址、目的地址和端口號(hào)等，不能保存與傳輸或與應(yīng)用相關(guān)的狀態(tài)信息，因而只能進(jìn)行較為初步的安全控制，安全性較低； ② 數(shù)據(jù)包的源地址、目的地址以及端口號(hào)等都在數(shù)據(jù)包的頭部，很有可能被竊聽(tīng)或假冒。 含義？ 表示禁止地址 1的計(jì)算機(jī)連接地址 2的計(jì)算機(jī)的 WWW服務(wù)。 ? 依據(jù)在系統(tǒng)內(nèi)設(shè)置的過(guò)濾規(guī)則（通常稱為訪問(wèn)控制表 ——Access Control List）對(duì)數(shù)據(jù)流中每個(gè)數(shù)據(jù)包 包頭 中的參數(shù)或它們的組合進(jìn)行檢查，以確定是否允許該數(shù)據(jù)包進(jìn)出內(nèi)部網(wǎng)絡(luò)。 屏蔽子網(wǎng) 內(nèi) 部 網(wǎng) 絡(luò)I n t e r n t堡 壘 主 機(jī)外 部 路 由 器周 邊 網(wǎng) 絡(luò)內(nèi) 部 路 由 器屏蔽子網(wǎng) ? 是最安全的防火墻系統(tǒng)，它在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間建立一個(gè)被隔離的子網(wǎng)（非軍事區(qū)， DMZ（ Demilitarized Zone）） ? 在很多實(shí)現(xiàn)中，兩個(gè)分組過(guò)濾路由器放在子網(wǎng)的兩端，內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)均可訪問(wèn)被屏蔽子網(wǎng)，但禁止它們穿過(guò)被屏蔽子網(wǎng)通信 ? 通常將堡壘主機(jī)、各種信息服務(wù)器等公用服務(wù)器放于 DMZ中 ? 堡壘主機(jī)通常是黑客集中攻擊的目標(biāo)，如果沒(méi)有 DMZ，入侵者控制堡壘主機(jī)后就可以監(jiān)聽(tīng)整個(gè)內(nèi)部網(wǎng)絡(luò)的會(huì)話 防火墻的實(shí)現(xiàn)技術(shù) 1 代理服務(wù)（ Proxy Service） 2 狀態(tài)檢測(cè)（ Stateful Inspection） 3 網(wǎng)絡(luò)地址轉(zhuǎn)換（ Network Address Translation ） 4 數(shù)據(jù)包過(guò)濾（ Packet Filtering） 數(shù)據(jù)包過(guò)濾（ 1/6） 應(yīng)用層 表示層 會(huì)話層 傳輸層 數(shù)據(jù)鏈路層 物理層 路由器 應(yīng)用層 表示層 會(huì)話層 傳輸層 數(shù)據(jù)鏈路層 物理層 網(wǎng)絡(luò)層 網(wǎng)絡(luò)層 數(shù)據(jù)鏈路層 物理層 ? 數(shù)據(jù)包過(guò)濾技術(shù)是一種簡(jiǎn)單、高效的安全控制技術(shù)，是防火墻發(fā)展初期普遍采用的技術(shù)。 ? 過(guò)濾路由器是否正確配置是這種防火墻安全與否的關(guān)鍵。通常在路由器上設(shè)立過(guò)濾規(guī)則，使這個(gè)堡壘主機(jī)成為從外部唯一可直接到達(dá)的主機(jī)。 雙宿主機(jī) 內(nèi) 部 網(wǎng) 絡(luò)I n t e r n t雙 宿 主 機(jī)防 火 墻雙宿主機(jī) ? 在被保護(hù)網(wǎng)絡(luò)和 Inter之間設(shè)置一個(gè)具有雙網(wǎng)卡的堡壘主機(jī)， IP層的通信完全被阻止，兩個(gè)網(wǎng)絡(luò)之間的通信可以通過(guò)應(yīng)用層數(shù)據(jù)共享或應(yīng)用層代理服務(wù)來(lái)完成 ? 通常采用代理服務(wù)的方法 ? 堡壘主機(jī)上運(yùn)行著防火墻軟件，可以轉(zhuǎn)發(fā)應(yīng)用程序和提供服務(wù)等 優(yōu)缺點(diǎn)： ? 堡壘主機(jī)的系統(tǒng)軟件可用于身份認(rèn)證和維護(hù)系統(tǒng)日志，有利于進(jìn)行安全審計(jì) ? 該方式的防火墻仍是網(wǎng)絡(luò)的 “ 單失效點(diǎn) ” 。 缺點(diǎn)： ? 在單機(jī)上實(shí)現(xiàn)，是網(wǎng)絡(luò)中的 “ 單失效點(diǎn) ” 。 分組過(guò)濾路由器 內(nèi) 部 網(wǎng) 絡(luò)I n t e r n t由 策 略 來(lái) 決 定 轉(zhuǎn) 發(fā)或 阻 止 數(shù) 據(jù) 包分 組 過(guò) 濾路 由 器分組過(guò)濾路由器 ? 作為內(nèi)外網(wǎng)連接的唯一通道，要求所有的報(bào)文都必須在此通過(guò)檢查。 防火墻的局限性 防火墻的體系結(jié)構(gòu) 1 雙宿主機(jī) 2 屏蔽主機(jī) 3 屏蔽子網(wǎng) 4 分組過(guò)濾路由器 防火墻的體系結(jié)構(gòu) ? 防火墻的體系結(jié)構(gòu)：防火墻系統(tǒng)實(shí)現(xiàn)所采用的架構(gòu)及其實(shí)現(xiàn)所采用的方法，它決定著防火墻的功能、性能以及使用范圍。 ? 防火墻的使用也會(huì)削弱網(wǎng)絡(luò)的功能： ① 由于防火墻的隔離作用，在保護(hù)內(nèi)部網(wǎng)絡(luò)的同時(shí)使它與外部網(wǎng)絡(luò)的信息交流受到阻礙； ② 由于在防火墻上附加各種信息服務(wù)的代理軟件，增大了網(wǎng)絡(luò)管理開(kāi)銷，還減慢了信息傳輸速率，在大量使用分布式應(yīng)用的情況下，使用防火墻是不切實(shí)際的。近幾年，分布式防火墻技術(shù)已逐漸興起，并在國(guó)外一些大的網(wǎng)絡(luò)設(shè)備開(kāi)發(fā)商中得到實(shí)現(xiàn)，由于其優(yōu)越的安全防護(hù)體系，符合未來(lái)的發(fā)展趨勢(shì)，這一技術(shù)一出現(xiàn)就得到了許多用戶的認(rèn)可和接受。（專用集成電路（ ASIC）芯片或者網(wǎng)絡(luò)處理器（ NP）芯片）； ? 最大的亮點(diǎn)：高性能，非常高的并發(fā)連接數(shù)和吞吐量； ? 采用 ASIC芯片的方法在國(guó)外比較流行，技術(shù)也比較成熟，如美國(guó) NetScreen公司的高端防火墻產(chǎn)品；國(guó)內(nèi)芯片級(jí)防火墻大多還處于開(kāi)發(fā)發(fā)展的階段，采用的是 NP技術(shù)。但是，這種防火墻使用的操作系統(tǒng)內(nèi)核一般是固定的，是不可升級(jí)的，因此新發(fā)現(xiàn)的漏洞對(duì)防火墻來(lái)說(shuō)可能是致命的 ； ? 國(guó)內(nèi)自主開(kāi)發(fā)的防火墻大部分都屬于這種類型。 防火墻的分類 ? 不等同于采用專用芯片的純硬件防火墻，但和純軟件防火墻有很大差異 ； ? 一般由小型的防火墻廠商開(kāi)發(fā)，或者是大型廠商開(kāi)發(fā)的中低端產(chǎn)品，應(yīng)用于中小型企業(yè)，功能比較全，但性能一般； ? 一般都采用 PC架構(gòu)（就是一臺(tái)嵌入式主機(jī)），但使用的各個(gè)配件都量身定制 。不僅支持 Windows系統(tǒng)，并且多數(shù)都支持 Unix或 Linux系統(tǒng)。 防火墻的分類
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1