【正文】 夠保護(hù)物理拓?fù)渖喜粚儆趦?nèi)部網(wǎng)絡(luò)、但位于邏輯上的“內(nèi)部”網(wǎng)絡(luò)的那些主機(jī)。一部分是主機(jī)防火墻，它解決了傳統(tǒng)邊界防火墻不能解決的問題 (例如來自內(nèi)部的攻擊和結(jié)構(gòu)限制等 )。 它使用一種策略語言 (如 Ke 州 ote)來制定安全策略，并被編譯成內(nèi)部形式存于策略數(shù)據(jù) 庫中，系統(tǒng)管理軟件將安全策略分發(fā)到被保護(hù)的主機(jī)上，而主機(jī)根據(jù)這些安全策略和加 密的證書來決定是接受還是丟棄數(shù)據(jù)包，從而對主機(jī)實施保護(hù)。T 實驗室研究員 StevenMBenovin 在他 的論文“分布式防火墻”中首次提出 T 分布式防火墻 (DistributedFirewall， DF 的 的概念，給出了分布式防火墻的原型框架，奠定了分布式防火墻研究的基礎(chǔ)。也有人提出了對傳統(tǒng)防火墻進(jìn)行改進(jìn) 的方案，如多重邊界防火墻，內(nèi)部防火墻等，但這些方案都沒有從根本上擺脫拓?fù)湟蕾嚕? 因而也就不能消除傳統(tǒng)防火墻的固有缺陷，反而增加了網(wǎng)絡(luò)安全管理的難度。 (6)安全模式單一 :傳統(tǒng)防火墻的安全策略是針對全網(wǎng)制定的，全網(wǎng)中的所有主機(jī)遵從單一的安全模式，網(wǎng)絡(luò)中的主機(jī)和服務(wù)器在安全性上不具體針對個性特點 分布式防火墻的提出 由于傳統(tǒng)防火墻的缺陷不斷顯露，于是有人認(rèn)為防火墻與現(xiàn)代網(wǎng)絡(luò)的發(fā)展是容 的，并認(rèn)為加密的廣泛使用可以廢除防火墻。 (5) 數(shù)據(jù)加密對防火墻造成威脅 :傳統(tǒng)的網(wǎng)絡(luò)協(xié)議沒有使用加密，因而防火墻能對數(shù)據(jù)流實施過濾。 (3) “ 單 點失效”問題 :防火墻將所有任務(wù)集于一身，所以一旦防火墻配置錯誤或出現(xiàn) 8 問題，則全網(wǎng)會暴露在攻擊者面前。其對網(wǎng)絡(luò)內(nèi)部數(shù)據(jù)流無法進(jìn)行監(jiān)控，但在實際環(huán)境中，越來越多的攻擊和越權(quán)訪問來自于網(wǎng)絡(luò)內(nèi)部。邊界防火墻難以 平衡網(wǎng)絡(luò)效率與安全性設(shè)定之間的矛盾，無法為網(wǎng)絡(luò)中的每臺服務(wù)器訂制規(guī)則，它只能 使用一個折衷的規(guī)則來近似滿足所有被保護(hù)的服務(wù)器的需要，因此或者損失效率，或者 損失安全性。從性能的角度來說，防火墻極易成為網(wǎng)絡(luò)流量 的瓶頸。傳統(tǒng)的 防火墻均是集中式的，主要缺陷在于 [6]: (1) 邊界防火墻設(shè)置在網(wǎng)絡(luò)邊界，在內(nèi)部企業(yè)網(wǎng)與外部互聯(lián)網(wǎng)之間構(gòu)成一道屏障， 對網(wǎng)絡(luò)數(shù)據(jù)流進(jìn)行訪問控制。傳統(tǒng)防火墻不是信息的最終用戶，對于加密數(shù)據(jù)由于沒有信息解密密鑰而無 法進(jìn)行檢測，難以抵御隧道攻擊。傳統(tǒng)防火墻的實現(xiàn)是基于人為地將網(wǎng)絡(luò)分為了內(nèi)部可信任網(wǎng)絡(luò)和外部不 可信 網(wǎng)絡(luò)，這種針對特定的網(wǎng)絡(luò)拓?fù)鋵崿F(xiàn)的防火墻難以滿足網(wǎng)絡(luò)多元化的發(fā)展要求 。傳統(tǒng)防火墻采 用 IP 地址表示內(nèi)部網(wǎng)絡(luò)可信任節(jié)點，難以抵御 IP 偽裝 [1]。 邊界防火墻的局限性 從安全角度講 :傳統(tǒng)邊界防火墻只在網(wǎng)絡(luò)邊界具有安全保障功能，作用范圍有限， 而當(dāng)前的網(wǎng)絡(luò)犯罪又多源于網(wǎng)絡(luò)內(nèi)部 。通過 VNP，將企事業(yè)單位分布在全世 界各地的 LAN 或?qū)Ｓ米泳W(wǎng)有機(jī)地聯(lián)成一個整體。 DMZ 用來作為一個額外的緩沖區(qū)以進(jìn)一步隔離公網(wǎng)和你的內(nèi)部私有網(wǎng)絡(luò)，從物理 上和內(nèi)部網(wǎng)隔開，并在此部署 WWW 和 FTP 等服務(wù)器，將其作為向外部發(fā)布內(nèi)部信息的地點 . 但是這種實施的缺點在于存在于 DMZ 區(qū)域的任何服務(wù)器都不會得到防火墻的完全保護(hù)。 (7)提供 非軍事化區(qū)域 (DMZ) DMz 是一個小型網(wǎng)絡(luò)，存在于公司的內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間。使用這些網(wǎng)絡(luò)地址的一個好處就是在互聯(lián)網(wǎng)上永遠(yuǎn)不會被路由。以下地址作為保留地址 : 7 ~。對于 NAT 的另一個名字 是工 P 地址隱藏。這一功能可以 克服 IP 尋址方式的諸多限制，完善內(nèi)部尋址模式。 (5)阻塞有關(guān)內(nèi)部網(wǎng)絡(luò)中的 ONS 信息 通過 這 種 方法一臺主機(jī)的域名和 IP 地址就不會被外界所了解。再者，隱私是內(nèi)部網(wǎng)絡(luò)非 常關(guān)心的問題，一個內(nèi)部網(wǎng)絡(luò)中不引人注意的細(xì)節(jié)就 可能包含了有關(guān)安全的線索從而引 起外部攻擊者的興趣，甚至因此而暴露了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。此外，網(wǎng)絡(luò)使用統(tǒng)計功能對網(wǎng)絡(luò)需求分析和威脅分析等而言 也是非常重要的。另外，收集一個網(wǎng)絡(luò)的使用和誤用情況也 是非常重要的。 (3) 對網(wǎng)絡(luò)存取和訪問進(jìn)行監(jiān)控審計 因為所有的訪問都經(jīng)過防火墻，所以防火墻能記錄下這些訪問并做出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。與將網(wǎng)絡(luò)安全問題分散到各個主機(jī)上相比，防火墻的集中安全 管理更經(jīng)濟(jì)。防火墻可以拒絕所有以上類型攻擊的報文并通知管理員。如防火墻可以禁止眾所周知的不安全的 NFS 協(xié)議進(jìn)出受保護(hù)網(wǎng)絡(luò)，這樣外部的攻擊者就不可能利用這些脆弱的協(xié)議來攻擊內(nèi)部網(wǎng)絡(luò)。 防火墻的作用 (1) 網(wǎng)絡(luò)安全的屏障 防火墻作為阻塞點、控制點能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)來降低風(fēng)險。 (3)狀態(tài)監(jiān)視技術(shù) 狀態(tài)監(jiān)視可通過提取相關(guān)數(shù)據(jù)來對網(wǎng)絡(luò)通信的各層實施監(jiān)視并作為決策時的依據(jù)。每當(dāng)一個新的需保護(hù)的應(yīng)用加入網(wǎng)絡(luò)中時，必須為其編 制專門的程序代碼。對于所中轉(zhuǎn)的每種 應(yīng)用，應(yīng)用層網(wǎng)關(guān)需要使用專用的程序代碼。采用應(yīng)用層網(wǎng)關(guān)的主 要優(yōu)點是能夠記錄和控制所有進(jìn)出的網(wǎng) 絡(luò)通信業(yè)務(wù)。通過適當(dāng)?shù)? 程序設(shè)計，應(yīng)用層網(wǎng)關(guān)可以理解在用戶應(yīng)用層 (通常指 051 模型第七層 )的通信業(yè)務(wù)。一個明顯的例子就是許多的 Web 瀏覽器中加入了大量的安全措 施?；诖淼漠a(chǎn)品開始改進(jìn)成能 夠設(shè)置常用服務(wù)和非標(biāo)準(zhǔn)端口。許多防火墻允許系統(tǒng)管理員運(yùn)行兩個代理拷貝，一個 在標(biāo)準(zhǔn)端口運(yùn)行，另一個在非標(biāo)準(zhǔn)端口運(yùn)行，常用服務(wù)的最大數(shù)目取決于不同的防火墻 產(chǎn)品。即使是那些聲稱是透明性防火墻的代理也期望 應(yīng)用程序使用特定的 TcP 或 UDP 端口。 即便如此，最終用戶也許還需要學(xué)習(xí)特定的步驟以通過防火墻進(jìn)行通信。然而，它也 給軟件開發(fā)者、網(wǎng)絡(luò)管理員和最終用戶帶來了很大的不便，這就是使用代理的代價。如果網(wǎng)絡(luò)管理員不能改變所有的代理服務(wù)器和客戶程序，系統(tǒng) 就不能正常工作。 代理服務(wù)通常由兩部分構(gòu)成 :代理服務(wù)器程序和客戶程序。代理服務(wù) 可提供詳細(xì)的日志記錄及審計功能，這大大提高了網(wǎng)絡(luò)的安全性，也為改進(jìn)現(xiàn)有軟件的 安全性能提供了可能性。因此，即使防火墻發(fā) 生了問題，外部網(wǎng)絡(luò)也無法與 被保護(hù)的網(wǎng)絡(luò)連接。 (2)代理服務(wù)和應(yīng)用層網(wǎng)關(guān) 代理服務(wù)使用的方法與分組過濾器不同，代理 (Porxy)使用一個客戶程序與特定的中 間結(jié)點連接，然后這個中間結(jié)點與期望的服務(wù)器進(jìn)行實際連接。如果采用后一種思想來設(shè)計分組過濾規(guī)則，就必須仔細(xì)考慮分組過濾規(guī)則沒有包括的每一種可能的情況來確保網(wǎng)絡(luò)的安全。這是一個在設(shè)計安全可靠的網(wǎng)絡(luò)時應(yīng)該遵循的失效安全原則。如果一個分組過濾規(guī)則排序有錯，我們就有可能拒絕某些合法的訪問，而又允許本想拒絕的服務(wù)。 從規(guī)則 4 和 5 我們可以看到將規(guī)則按適當(dāng)?shù)捻樞蚴欠浅１匾摹? 5)如果某一條規(guī)則允許傳遞或接收一個分組，則允許該分組通過。當(dāng)一個分組到達(dá)時，將按分組規(guī)則的存儲順序依次運(yùn)用每條規(guī)則對分組進(jìn)行檢查。大多數(shù)分組過濾裝置只檢查IP 、 TCP 或印 P 頭部內(nèi)的相關(guān)字段。由于分組過濾執(zhí)行在 0SI 模型的網(wǎng)絡(luò)層和傳輸層，而不是在 應(yīng)用層，所以這種途徑通常比防火墻產(chǎn)品提供更強(qiáng)的透明性。良好的網(wǎng)絡(luò)安全在實現(xiàn)的同時，也應(yīng)該使內(nèi)部用戶難以妨害 5 網(wǎng)絡(luò)安全，但這通常不是網(wǎng)絡(luò)安全工作的重點。包過濾器可在路由器之 外單獨設(shè)置，也可與路由器做成一體，在路由設(shè)備上實現(xiàn)包過濾，還可在工作站上用軟 件進(jìn)行包過濾。在這種情況下，攻擊者得先侵入堡壘主機(jī)，然后進(jìn)入內(nèi)網(wǎng)主機(jī)，再返回來破壞屏蔽路由器，并且整個過程中不能引發(fā)警報。如果攻擊者試圖完全破壞防火墻，他必須重新配置連接三個網(wǎng)的路由器，既不切斷連接又不要把自己鎖在外面，同時又不使自己被發(fā)現(xiàn)，這樣也還是可能的。有的屏蔽子網(wǎng)中還設(shè)有一堡壘主機(jī)作為唯一可訪問點，支持終端交互或作為應(yīng)用網(wǎng)關(guān)代理。如果受保護(hù)網(wǎng)是一個虛擬擴(kuò)展的本地 網(wǎng)，即沒有子網(wǎng)和路由器，那么內(nèi)部網(wǎng)的變化不影響堡壘主機(jī)和屏蔽路由器的配置 . (4) 被屏蔽子網(wǎng) (screenedsub) 被屏 蔽子網(wǎng)就是在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間建立一個被隔離的子網(wǎng)，用兩臺分組過 濾路由器將這一子網(wǎng)分別與內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)分開。 (3) 被屏蔽主機(jī)網(wǎng)關(guān) (ScreenedGateway) 被屏 蔽 主 機(jī)網(wǎng)關(guān)易于實現(xiàn)也最為安全。許多路 J 婦器本身帶有報文過濾配置 選項，但一般比較簡單。屏蔽路由器 作為內(nèi)外連接的唯一通道，要求所有的報文都必須在此通過并接受檢查。如果在一臺多宿 主機(jī)中路由功能被禁止了，則這個主機(jī)可以隔離與它相連的網(wǎng)絡(luò)之間的通信流量，然而 與它相連的每一個網(wǎng)絡(luò)都可以執(zhí)行由它所提供的網(wǎng)絡(luò)應(yīng)用，如果這個應(yīng)用允許的話，它 們還可以共享數(shù)據(jù)。在以前，這種多宿主機(jī)也可以用來在幾個不同的網(wǎng)段間進(jìn) 行路由，網(wǎng)關(guān)用來描述由多宿主機(jī)執(zhí)行的路由功能。 4 防火墻的體系結(jié)構(gòu) (1) 雙宿主機(jī)結(jié)構(gòu) (Dual 一 HomedHost) 在 TCP/IP 網(wǎng)絡(luò)中，多宿主機(jī)被用來描述一臺配有多個網(wǎng)絡(luò)接口的主機(jī)。一般來說，防火墻被設(shè)置在可信賴的內(nèi)部網(wǎng)絡(luò)和不可信賴的外部網(wǎng)絡(luò)之間。防火墻的職責(zé)就是根據(jù)本單位的安全策略，對外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)交流的數(shù)據(jù)進(jìn)行檢查，符合的予以 放行，不符合的拒之門外。從某種意義上來說，防火墻實際上代表了一個網(wǎng)絡(luò)的訪問原則。其對網(wǎng)絡(luò)的保護(hù)包括以下工作 :拒絕未經(jīng)授權(quán)的用戶訪問，阻止未經(jīng)授權(quán)的用戶存取敏感數(shù)據(jù)，同時允許合法用戶不受妨礙地訪問網(wǎng)絡(luò)資源 [2]。你可以把它想象成一對開關(guān)， 一個開關(guān)用來阻止傳輸， 另一個開關(guān)用來允許傳輸 [8]。 3 2. 分布式防火墻技術(shù)基礎(chǔ) ： 所謂防火墻就是一個或一組網(wǎng)絡(luò)設(shè)備 (計算機(jī)或路由器等 )，用來在兩個或多個網(wǎng)絡(luò)間加強(qiáng)訪問控制。 分布 式 防 火墻為大型網(wǎng)絡(luò)加入了一層防范入侵的分布式保護(hù)層，其主機(jī)防火墻能夠 集成到移動 Pc，桌面系統(tǒng)和各類服務(wù)器中，為企業(yè)構(gòu)建網(wǎng)絡(luò)安全解決方案提供了良好的 基礎(chǔ)。分布式防 火墻的策略分發(fā)是針對主機(jī)而不是針對用戶的，用戶無法更改本機(jī)所執(zhí)行的安全策略。在不 使策略的制定過于復(fù)雜的情況下，應(yīng)該充分利用駐留在終端系統(tǒng)的優(yōu)勢，豐富主機(jī)防火 墻的控制功能。改進(jìn)主機(jī)防火墻的 實現(xiàn)機(jī)制，特別是軟件實現(xiàn)機(jī)制，提高主機(jī)防火墻自身的安全性和抵御攻擊的能力，確 保主機(jī)防火墻持續(xù)、有效、穩(wěn)定的運(yùn)行是主機(jī)防火墻在設(shè)計和實現(xiàn)過程中急需解決的一 個問題。這種主機(jī)防火墻提供了較高的性能和安全性，但功 能非常有限，成本很高，并且仍然存在駐留主機(jī)的軟件部分的安全性問題 。目前的主機(jī)防火墻在設(shè)計和實現(xiàn)上還有許多 不足之處，主要體現(xiàn)在以下方面 : (1) 實現(xiàn)機(jī)制有待改進(jìn) 分布式防火墻運(yùn)行在企業(yè) (或其他組織 )的環(huán)境中，它既防范外部的惡意攻擊，也對 內(nèi)部人員的行為 加以約束，然而內(nèi)部的用戶可能不會給予配合，錯誤的操作、甚至惡意 的行為可能造成對主機(jī)防火墻的破壞，另外來自網(wǎng)絡(luò)的攻擊〔一些特殊的木馬、蠕蟲等 ) 也使主機(jī)防火墻的正常運(yùn)行面臨威脅，主機(jī)防火墻在運(yùn)行期間一旦被破壞或關(guān)閉，將使 整個分布式防火墻體系出現(xiàn)安全漏洞，從而造成分布式防火墻系統(tǒng)節(jié)點失效的問題，因 此主機(jī)防火墻在實現(xiàn)機(jī)制上必須有一定的抵御攻擊的能力，并且應(yīng)該提供對節(jié)點失效的 發(fā)現(xiàn)和響應(yīng)機(jī)制，這是主機(jī)防火墻設(shè)計和實現(xiàn)過程中所面臨的主要困難。 主機(jī)防火墻是分布式防火墻系統(tǒng)的重要組成部分，它駐留在每個受保護(hù)的主機(jī)上， 執(zhí)行由管理中心統(tǒng)一制定和分發(fā)的安全策略。 關(guān)于分布式防火墻的很多方面的研究工作還在進(jìn)行當(dāng)中，目前對分布式防火墻的研究主要集中在兩個方面 : (1) 分布式防火墻系統(tǒng)的策略管理和信任管理，確保策略分 發(fā)的安全性。 EverLink 分布式防火墻依靠包過濾、特洛伊木馬過濾和腳本過濾的三層過濾檢查，保護(hù)個人計算機(jī)在正常使用網(wǎng)絡(luò)時不會受到惡意的攻擊，提高了其網(wǎng)絡(luò)安全屬性 :同時，為方便管理，所有分布式防火墻的安全策略由統(tǒng)一的中央策略管理服務(wù)器進(jìn)行設(shè)置和維護(hù)，服務(wù)器由系統(tǒng)管理員專人監(jiān)管，這樣就降低了分布式防火墻的使用成本，同時提高了安全保障能力。國內(nèi)的一些分布式防火墻技術(shù)方面略遜一籌。 國內(nèi)外研究現(xiàn)狀 目前總的來說國外的一些著名的網(wǎng)絡(luò)設(shè)備開發(fā)商在分布式防火墻技術(shù)方面更加先進(jìn)，所提供的產(chǎn)品性能也比較高，主要采用“軟件十硬件”形式，如美國網(wǎng)絡(luò)安全系統(tǒng)公司開發(fā)生產(chǎn)了集成分布式防火墻技術(shù)的硬件分布式防火墻、 3COM， CISCO 開發(fā)了嵌入式防火墻 PCI卡或 Pc 卡，但負(fù)責(zé)集中管理的還 是一個服務(wù)器軟件。為了切實保障網(wǎng)絡(luò)的安全，不斷滿足網(wǎng)絡(luò)中不斷出現(xiàn)的最新需求，迫切 需要對傳統(tǒng)的邊界防火墻體系結(jié)構(gòu)進(jìn)行改造。作為網(wǎng)絡(luò)安全的第一道屏障，它是最早出現(xiàn)的網(wǎng)絡(luò)安全產(chǎn)品，實現(xiàn)技術(shù)也最為成熟。所以研究和開發(fā)網(wǎng)絡(luò)安全技術(shù)已是一項必不可少和非常迫切的任務(wù)。網(wǎng)上各種行為者的身份確認(rèn) :高度網(wǎng)絡(luò)化的各種業(yè)務(wù)信息 系統(tǒng)的正常運(yùn)行并不受破壞 。并且互聯(lián)網(wǎng)作為電子商務(wù)和電子政務(wù)運(yùn)行的重要平臺，其安全性越來越受到各級用戶的普遍關(guān)注。s difficult to achieve work security and the balance between work performance. In order to overe the shortings of traditional firewall, and retain its advantages, people put forward the concept of distributed firewall distributed the essential f