計算系統(tǒng)安全之防火墻-文庫吧資料
2024-10-13 15:25本頁面
【正文】 包過濾技術 包過濾技術 33 包過濾技術的原理 包過濾技術 在路由器上加入 IP Filtering 功能 ， 這樣的路由器就成為 Screening Router 。因此 ， 有時我們需要在同一結構的兩個部分之間 ， 或者在同一內(nèi)部網(wǎng)的兩個不同組織結構之間再建立防火墻 （ 也被稱為內(nèi)部防火墻 ） 。 30 內(nèi)部防火墻問題 防火墻體系結構 在大部分討論中 ,都假定建立防火墻的目的在于保護內(nèi)部網(wǎng)免受外部網(wǎng)的侵擾 。 實際上 ， 外部路由器傾向于允許幾乎任何東西從周邊網(wǎng)出站 ， 并且它們通常只執(zhí)行非常少的數(shù)據(jù)包過濾 。 限制堡壘主機與內(nèi)部網(wǎng)之間的通信可減少堡壘機被攻破時對內(nèi)部網(wǎng)的危害 。這些服務是用戶使用數(shù)據(jù)包過濾而不是通過代理服務提供 。 內(nèi)部路由器為用戶的防火墻執(zhí)行大部分的數(shù)據(jù)包過濾工作 。 但是禁止內(nèi)部的客戶端與外部世界之間直接通信 (如撥號上網(wǎng) )。 （ 如果用戶的防火墻使用代理軟件 ） 來允許內(nèi)部的客戶端間接地訪問外部的服務器 。 26 防火墻體系結構 2） 堡壘主機 接受來自外界連接的主要入口： 1對于進來的電子郵件 （ SMTP） 會話 ， 傳送電子郵件到站點； 2對于進來的 FTP連接 ， 轉接到站點的匿名 FTP服務器； 3對于進來的域名服務 （ DNS） 站點查詢等 。 因為沒有嚴格的內(nèi)部通信 (即在兩臺內(nèi)部主機之間的通信 ， 這通常是敏感的或者專有的 )能越過周邊網(wǎng) 。 25 防火墻體系結構 周邊網(wǎng)絡的作用 對于周邊網(wǎng)絡 ， 如果某人侵入周邊網(wǎng)上的堡壘主機 ， 他僅能探聽到周邊網(wǎng)上的通信 。 要想侵入用這種類型的體系結構構筑的內(nèi)部網(wǎng)絡 ， 侵襲者必須通過外部路由器 ， 堡壘主機 ，內(nèi)部路由器三道關口 。 23 屏蔽子網(wǎng)體系結構 24 防火墻體系結構 屏蔽子網(wǎng)防火墻中 ， 添加周邊網(wǎng)絡進一步地把內(nèi)部網(wǎng)絡與 Inter隔離開 。 實施策略：針對不同的服務，選擇其中的一種或兩種保護措施。 兩道屏障：網(wǎng)絡層的包過濾；應用層代理服務 注：與雙宿主機網(wǎng)關不同，這里的應用網(wǎng)關只有一塊網(wǎng)卡。 在建立雙宿主機時 ，應關閉操作系統(tǒng)的路由功能 （ IP轉發(fā) ） ， 否則兩塊網(wǎng)卡間的通信會繞過代理服務器軟件 。 缺點： ? 日志沒有或很少，難以判斷是否被入侵 ? 規(guī)則表會隨著應用變得很復雜 ? 單一的部件保護，脆弱 17 防火墻體系結構 18 防火墻體系結構 用一臺裝有兩塊網(wǎng)卡的計算機作為堡壘主機（ Bastion host） ， 兩塊網(wǎng)卡分別與內(nèi)部網(wǎng)和外部網(wǎng) （ 或屏蔽路由器 ） 相連 ， 每塊網(wǎng)卡有各自的 IP地址 。 2. “ 沒有明確禁止的都是被允許的 ” ；也即是允許一切未被特別拒絕的東西 允許 拒絕 15 六、防火墻的體系結構 1） 屏蔽路由器 （ Screened Router） 2） 雙宿主機網(wǎng)關； Dual Homed Host Gateway 3） 屏蔽主機防火墻； Screened Gateway 4） 屏蔽子網(wǎng)防火墻 。 另一個典型政策是允許從 Inter進行某些訪問 ， 但是或許只許可訪問經(jīng)過選擇的系統(tǒng) ，如 Web服務器和電子郵件服務器 。 13 服務訪問政策 二、網(wǎng)絡政策 服務訪問政策是整個機構信息安全政策的延伸 ， 既要可靠又要切合實際 。 11 五、防火墻的特點 一、防火墻概述 廣泛的服務支持：通過將動態(tài)的 、 應用層的過濾能力和認證相結合 ， 可實現(xiàn) WWW瀏覽器 、HTTP服務器 、 FTP等； 對私有數(shù)據(jù)的加密支持：保證通過 Inter進行虛擬私人網(wǎng)絡和商務活動的安全； 客戶端認證：只允許指定的用戶訪問內(nèi)部網(wǎng)絡或選擇服務：企業(yè)本地網(wǎng)與分支機構 、 商業(yè)伙伴和移動用戶間安全通信的附加部分； 12 五、防火墻的特點 一、防火墻概述 反欺騙：欺騙是從外部獲取網(wǎng)絡訪問權的常用手段 ， 它使數(shù)據(jù)包好似來自網(wǎng)絡內(nèi)部 。 當有些表面看來無害的數(shù)據(jù)被郵寄或復制到內(nèi)部網(wǎng)主機上并被執(zhí)行而發(fā)起攻擊時 ， 就會發(fā)生數(shù)據(jù)驅動攻擊 。 這只能在每臺主機上裝反病毒軟件 。 3） 防火墻配置復雜 ， 容易出現(xiàn)安全漏洞 4） 防火墻往往只認機器 （ IP地址 ） 不認人（ 用戶身份 ） ， 并且控制粒度較粗 。 9 一、防火墻概述 2） 不能防范繞過防火墻的攻擊 防火墻能夠有效地防止通過它進行傳輸信息 ，然而不能防止不通過它而傳輸?shù)男畔?。內(nèi)部用戶偷竊數(shù)據(jù) ， 破壞硬件和軟件 ， 并且巧妙地修改程序而不接近防火墻 。 8 四、防火墻的局限性 一、防火墻概述 1） 防火墻防外不防內(nèi) 防火墻可以禁止系統(tǒng)用戶經(jīng)過網(wǎng)絡連接發(fā)送專有的信息 ， 但用戶可以將數(shù)據(jù)復制到磁盤 、磁帶上 ， 放在公文包中帶出去 。 、 濫用
環(huán)評公示相關推薦
鄂ICP備17016276號-1