【正文】 而 可以達到隱藏內(nèi)部網(wǎng)結(jié)構(gòu)的作用。 圖 應(yīng)用級網(wǎng)關(guān)的工作原理 在代理型防火墻技術(shù)的發(fā)展過程中，它也經(jīng)歷了兩個不同的版本，即：第一代應(yīng)用網(wǎng)關(guān)型代理防火和第二代自適應(yīng)代理防火墻。通常是需在防火墻主機上安裝相應(yīng)服務(wù)器軟件來實現(xiàn)以上功能的。允許通過的數(shù)據(jù)包由網(wǎng)關(guān)復(fù)制并傳遞，防多層防火墻技術(shù)的研究 —— 狀態(tài)檢測 23 止在受信任服務(wù)器和客戶機與不受信任的主機間直接建立聯(lián)系。其典型網(wǎng)絡(luò)結(jié)構(gòu)如圖 所示。 應(yīng)用代理型防火墻（ Application Proxy） 是工作在 OSI 的最高層，即應(yīng)用層。 它屬于第五代防火墻技術(shù)，它最早是由于 1998 年，由 NAI公司推出的，并在其產(chǎn)品 Gauntlet Firewall for NT 中得以實現(xiàn)。但是，作為電路級網(wǎng)關(guān)也存在著一些缺陷，因為該網(wǎng)關(guān)是在會話層工作的，它就無法檢查應(yīng)用層級的數(shù)據(jù)包 。 實際上電路級網(wǎng)關(guān)并非作為一個獨立的產(chǎn)品存在，它與其他的應(yīng)用級網(wǎng)關(guān)結(jié)合在一起， 如 TrustInformationSystems 公司的 GauntletInterFirewall；DEC 公司的 AltaVistaFirewall 等產(chǎn)品。這種代理的 優(yōu)點是它可以對不同的協(xié)議提供服務(wù)，但這種代理需要改進客戶程序，這種網(wǎng)關(guān)對外像一個代理，對內(nèi)則是一個過濾路由器，其工作原理如圖 所示。 電路級網(wǎng)關(guān)也是一種代理，但是只是建立起一個回路，對數(shù)據(jù)包只起轉(zhuǎn)發(fā)的作用。電路級網(wǎng)關(guān)是在 OSI 網(wǎng)絡(luò)參考模型的會話層過濾數(shù)據(jù)包，這樣比包過濾防火墻要高兩層。 電路級網(wǎng)關(guān)技術(shù) 電路級網(wǎng)關(guān)防火墻屬于第三代防火墻技術(shù)，其初步結(jié)構(gòu)是于 1989 年由貝爾實驗室的 Dave Presotto 和 Howard Trickey 提出的。好在有關(guān)防火墻廠商已注意到這一問題，如 CheckPoint 公司的防火墻產(chǎn)應(yīng)用層 內(nèi) 核 規(guī) 則 表 規(guī)則 1 規(guī)則 2 規(guī)則 3 連接狀態(tài)表 連接 1 連接 2 連 接 3 狀態(tài)檢測 多層防火墻技術(shù)的研究 —— 狀態(tài)檢測 21 品 Firewall1，它所有的安全策略規(guī)則都是通過面向?qū)ο蟮膱D形用戶界面（ GUI）來定義以簡化配置過程。 狀態(tài)監(jiān)測防火墻的另一個優(yōu)點是它會監(jiān)測無連接狀態(tài)的遠程過程調(diào)用（ RPC）和用 戶數(shù)據(jù)報 (UDP)之類的端口信息，而包過濾和應(yīng)用網(wǎng)關(guān)防火墻都不支持此類應(yīng)用。與前兩種防火墻不同，當用戶訪問請求到達網(wǎng)關(guān)的操作系統(tǒng)前，狀態(tài)監(jiān)視器要抽取有關(guān)數(shù)據(jù)進行分析，結(jié)合網(wǎng)絡(luò)配置和安全規(guī)定作出接納、拒絕、身份認證、報警或給該通信加密等處理動作。監(jiān)測引擎在不影響網(wǎng)絡(luò)正常運行的前提下，采用抽取有關(guān)數(shù)據(jù)的方法對網(wǎng)絡(luò)通信的各層實施監(jiān)測，抽取狀態(tài)信息，并動態(tài)地多層防火墻技術(shù)的研究 —— 狀態(tài)檢測 20 保存 起來作為以后執(zhí)行安全策略的參考。狀態(tài)檢測防火墻技術(shù)示意如下圖 所示。狀態(tài)檢測防火墻通過建立動態(tài) TCP 連接狀態(tài)表并對 每次會話連接進行驗證來實現(xiàn)網(wǎng)絡(luò)訪問控制。 狀態(tài)檢測技術(shù) 狀態(tài)檢測 （ Check Point） 技術(shù) 是基于 OSI 網(wǎng)絡(luò) 參考模型的 第四層的包過濾技術(shù) 。 包過濾技術(shù)的應(yīng)用非常廣泛，因為包過濾技術(shù)相對較為簡單，只需對每個數(shù)據(jù)包與相應(yīng)的安全規(guī)則進行比較即可得出是否通過的結(jié)論，所以防火墻主機 CPU用來處理包過濾的時間非常短，執(zhí)行效率也非常高。這種技術(shù)后來發(fā)展成為包狀態(tài)監(jiān)測 (Stateful Inspection)技術(shù)。報頭信息中包括 IP 源地址、 IP目標地址、傳輸協(xié)議 (TCP、 UDP、ICMP 等等 )、 TCP/UDP 目標端口、 ICMP 消息類型等。 ①第一代靜態(tài)包過濾類型防火墻 這類防火墻幾乎是與路由器同時產(chǎn)生的，它是根據(jù)定義好的 過濾規(guī)則審查每個數(shù)據(jù)包，以便確定其是否與某一條包過濾規(guī)則匹配。實現(xiàn)起來非常容易，只需要在原有的路由器上進行適當?shù)呐渲眉纯蓪崿F(xiàn)防火墻方多層防火墻技術(shù)的研究 —— 狀態(tài)檢測 19 案。這就有效地保證了外部網(wǎng)絡(luò)的所有通信請求，當然包括黑客所發(fā)出的非法請求都能在防火墻中進行過濾。而外部網(wǎng)絡(luò)通常是直接通過防火墻與內(nèi)部網(wǎng)絡(luò)連接，中間不會有其它網(wǎng)絡(luò)設(shè)備 。 先來看一下防火墻方案部署的網(wǎng)絡(luò)拓撲結(jié)構(gòu)，所有的防火墻方案網(wǎng)絡(luò)拓撲結(jié)構(gòu)都可簡化為如圖 所示。之所以通用，是因為它不是針對各個具體的網(wǎng)絡(luò)服務(wù)采取特殊的處理方式，適用于所有網(wǎng)絡(luò)服務(wù)；之所以廉價，是因為大多數(shù)路由器都提供數(shù)據(jù)包過濾功能，所以這類防火墻多數(shù)是由路由器集成的；之所以有效，是因為它能很大程度上滿足了絕大多數(shù)企業(yè)安全要求。它的 優(yōu)點是它對于用戶來說是透明的，處理速度快而且易于 維護，通常被做為一道基本防線。這個安全規(guī)則就是防火墻技術(shù)的根本，它是通過對各種網(wǎng)絡(luò)應(yīng)用、通信類型和端口的使用來規(guī)定的。防火墻的產(chǎn)生也是從這一技術(shù)開始的，最早是于 1989 所提出的。 所謂的數(shù)據(jù)包過濾技術(shù)。數(shù)據(jù)包過濾技術(shù)在網(wǎng)絡(luò)的入口，根據(jù)數(shù)據(jù)包頭源地址，目的地址、端口號和協(xié)議類型等標志確定是否允許通過。在防火墻中主要用于外部網(wǎng)絡(luò)主機對內(nèi)部網(wǎng)絡(luò)和 DMZ 區(qū) (非軍事區(qū) )主機的訪問。 SNAT就是改變轉(zhuǎn)發(fā)數(shù)據(jù)包的源地址，對內(nèi)部網(wǎng)絡(luò)地址進行轉(zhuǎn)換，對外部網(wǎng)絡(luò)是屏蔽的，使得外部非常用戶對內(nèi)部主機的攻擊更加困難，同時可以節(jié)省有限的公網(wǎng) IP 資源，通過少數(shù)一個或幾個公網(wǎng) IP 地址共享上網(wǎng)。如果防火墻使用了 NAT技術(shù)，所有的內(nèi)部地址將會被轉(zhuǎn)換成防火墻 WAN 端口上合法的因特網(wǎng) IP 地址，以達到隱藏了內(nèi)部網(wǎng)絡(luò)用戶身份的目的。同時，對于內(nèi)部的某些服務(wù)器如 Web服務(wù)器，網(wǎng)絡(luò)地址轉(zhuǎn)換器允許為其分配一個固定的合法地址，內(nèi)部網(wǎng)絡(luò)用戶就可通過防火墻來訪問外部網(wǎng)絡(luò)。但由于合法因特網(wǎng) IP 地址有限，而且受保護網(wǎng)絡(luò)往往有自己的一套本地 IP 地址規(guī)劃。改了源 IP地址的包送到 Inter，他的應(yīng)答包肯定能夠回到 NAT 的外部接口， NAT 接到應(yīng)答包后，通過查看自己的連接表的記錄，更改應(yīng)答包的目標 I P，然后送到發(fā)出請求的工作站。 NAT 的實現(xiàn)過程是這樣的：通常在一個 firewall 或者 router 上起 NAT，firewall 有兩個 NIC，一個接 Inter，為合法 IP，一個接 LAN，為保留 IP。它是多層防火墻技術(shù) 的第一道防護屏障。 地址轉(zhuǎn)換技術(shù) 地址轉(zhuǎn)換技術(shù)（ Network Address Translation,NAT） 。 在各個層次上部署相關(guān)的網(wǎng)絡(luò)安全產(chǎn)品， 采用“多層過濾技術(shù)”， 構(gòu)成多層防護屏障，對網(wǎng)絡(luò)中傳送的信息進行重重檢測，鑒定其安全性，從而來對網(wǎng)絡(luò)進行層層防護， 從而增加攻擊者侵入所花費的時間、成本和所需要的資源， 既而 卓有成效地降低被攻擊的危險，達到安全防護的目標。安全總是相對的。這就迫使大家不得不加強對自身電腦網(wǎng)絡(luò)系統(tǒng)的安全防護，甚至追求所謂徹底的、一勞永逸的、 100%的網(wǎng)絡(luò)安全解決方案。 多層防火墻技術(shù)的研究 —— 狀態(tài)檢測 16 第三章 多層防火墻系統(tǒng)的功 能及其組成 隨著網(wǎng)絡(luò)技術(shù)的快速發(fā)展和應(yīng)用的日漸普及，黑客工具不僅變得越來越先進，而且也越來越容易被一般人獲取和濫用。 該 多層防火墻最大的優(yōu)點就是可以成倍地增加了 攻擊者侵入時所需花費的時間、成本和所需要的資源，大大減少了他們的攻擊頻度，即而卓有成效地降低被攻擊的危險，達到安全防護的目標， 使信息系統(tǒng)得到連續(xù)不斷的保護 。 我們所研究的多層防火墻系統(tǒng)，就是采用多種防火墻技術(shù)構(gòu)成多層防護屏障，對網(wǎng)絡(luò)中傳送的信息進行重重檢測，鑒定其安全性，從而來對網(wǎng)絡(luò)進行層層防護。這是針對以上各種已有防火墻技術(shù)的不足而產(chǎn)生的一種綜合型過濾技術(shù)，它可以彌補以上各種單獨過濾技術(shù)的不足。 所謂“多級過濾技術(shù)”，是指防火墻采用多級過濾措施，并輔以鑒別手段。 鞏固我們的網(wǎng)絡(luò)安全性能， 提高網(wǎng)絡(luò)的安全防范能力 ，使 信息系統(tǒng)的安全系數(shù)得到了大大的提升。 在各個層次上部署相關(guān)的網(wǎng)絡(luò)安全產(chǎn)品以增加攻擊者侵入時所需花費的時間、成本和所需要的資源，大大減少了他們的攻擊頻度，從而卓有成效地降低被攻擊的危險，達到安全防護的目標。例如，一種數(shù)據(jù)驅(qū)動式的攻擊，可以導(dǎo)致主機修改與系統(tǒng)安全有關(guān)的配置文件，從而使入侵者下一次更容易攻擊該系統(tǒng)。 單一的 防火墻不能防止數(shù)據(jù)驅(qū)動式的攻擊。由于操作系統(tǒng)、病毒、二進制文件類型的復(fù)雜性，而且更新速度很快， 它 無法逐個掃描每個文件查找病毒，病毒很可能隱藏在合法郵寄的數(shù)據(jù)包內(nèi)， 它 很難對其進行識別。 “ 二難防 ” 。 單一的 防火墻不能防范不經(jīng)由防火墻的攻擊。 但是 對攻防技術(shù)發(fā)展和網(wǎng)絡(luò)安全實踐的研究分析表明， 單一的 防火墻有許多“ 難言之隱 ” —— 即 “ 三難防 ” 困擾 。所以在任何時候，對信息系統(tǒng)實施連續(xù)不斷的保護是非常必要的。 對于用戶而言，不管你是否已經(jīng)受到這些攻擊，不管這些攻擊是否會產(chǎn)生比較嚴重的后果，你都必須假設(shè)它們對信息系統(tǒng)的威脅總是存在的。黑客技術(shù)的提升和黑客工具的泛濫，造成大量的企業(yè)、機構(gòu)和個人的電腦系統(tǒng)遭受程度不同的入侵和攻擊，或面臨隨時被攻擊的危險。攻擊技術(shù)包括目標網(wǎng)絡(luò)信息收集技術(shù)、目標網(wǎng)絡(luò)權(quán)限提升技術(shù)、目標網(wǎng)絡(luò)滲透技術(shù)、目標網(wǎng)絡(luò)摧毀技術(shù)四大類。 多層防火墻技術(shù)的研究 —— 狀態(tài)檢測 12 多層防火墻技術(shù)的研究 —— 狀態(tài)檢測 13 第二章 多層防火墻技術(shù)的研究背景 多層防火墻技術(shù)的研究背景 防火墻技術(shù)是一種安全防范措施，所謂網(wǎng)絡(luò)入侵和安全防范，實際上就是指網(wǎng)絡(luò)攻防技術(shù)。事實上 60%以上的網(wǎng)絡(luò)安全問題來自網(wǎng)絡(luò)內(nèi)部。如果使用得當，可以在很大程度上提高網(wǎng)絡(luò)安全。 防火墻技術(shù)的發(fā)展 隨著 Inter/Intra 技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)安全問題必將愈來愈引起人們的重視。防火墻能有效得控制內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的訪問及數(shù)據(jù)傳輸，從而達到保護內(nèi)部網(wǎng)絡(luò)的信息不受外部非授權(quán)用戶的訪問多層防火墻技術(shù)的研究 —— 狀態(tài)檢測 11 和過濾不良信息的目的。 除了安全作用，防火墻還支持具有 Inter 服務(wù)特性的企業(yè)內(nèi)部網(wǎng)絡(luò)技術(shù)體系 VPN（虛擬專用網(wǎng)） 。攻擊者可以知道一個系統(tǒng)使用的頻繁程 度，這個系統(tǒng)是否有用戶正在連線上網(wǎng)，這個系統(tǒng)是否在被攻擊時引起注意等等。 Finger 顯示了主機的所有用戶的注冊名、真名，最后登錄時間和使用shell 類型等。再者，隱私是內(nèi)部網(wǎng)絡(luò)非常關(guān)心的問題，一個內(nèi)部網(wǎng)絡(luò)中不引人注意的細節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣，甚至因此而暴漏了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。而網(wǎng)絡(luò)使用統(tǒng)計對網(wǎng)絡(luò)需求分析和威脅分析等而言也是非常重要的。另外，收集一個網(wǎng)絡(luò)的使用和誤用情況也是非常重要的。 ③ 對網(wǎng)絡(luò)存取和訪問進行監(jiān)控審計 ： 如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并作出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。與將網(wǎng)絡(luò)安全問題分散到各個主機上相比，防火墻的集中安全管理更經(jīng)濟。防火墻應(yīng)該可以拒絕所有以上類型攻擊的報文并通知防火墻管理員。如防火墻 可以禁止諸如眾所周知的不安全的 NFS 協(xié)議進出受保護網(wǎng)絡(luò)，這樣外部的攻擊者就不可能利用這些脆弱的協(xié)議來攻擊內(nèi)部網(wǎng)絡(luò)。 防火墻的 功能 ① 防火墻是網(wǎng)絡(luò)安全的屏障： 一個防火墻（作為阻塞點、控制點）能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)而降低風(fēng)險。 事實上，防火墻正在成為控制對網(wǎng)絡(luò)系統(tǒng)訪問的非常流行的方法。這就是為什么許多公司建立多層防火墻的原因，當黑客闖過一層防火墻后他只能獲取一部分數(shù)據(jù)，其他的數(shù)據(jù)仍然被安全地保護在內(nèi)部防火墻之后。 一般的防火墻都可以達到以下目的： ① 是可以限制他人進入內(nèi)部網(wǎng)絡(luò)，過濾掉不安全服務(wù)和非法用戶； ② 是防止入侵者接近你的防御設(shè)施； ③ 是限定用戶訪問特殊站點； ④ 是為監(jiān)視 Inter 安全提供方便。防火墻可以監(jiān)控進出網(wǎng)絡(luò)的通信量，從而完圖 防火墻的基本功能 內(nèi)部局域網(wǎng) 防火墻網(wǎng)關(guān) 因特網(wǎng) 過濾器 過濾器 多層防火墻技術(shù)的研究 —— 狀態(tài)檢測 9 成看似不可能的任務(wù)；僅讓安全、核準了的信息進入，同時又抵制對企業(yè)構(gòu)成威脅的數(shù)據(jù)。圖 顯示了防火墻的基本目的。防火墻是在兩個網(wǎng)絡(luò)通訊時執(zhí)行的一種訪問控制尺度，它能允許你 “ 同意 ” 的人和數(shù)據(jù)進入你的網(wǎng)絡(luò)，同時將你 “ 不同意 ” 的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡(luò)中的黑客來訪問你的網(wǎng)絡(luò)。 這里所說的防火墻是指隔離在本地網(wǎng)絡(luò)與外界網(wǎng)絡(luò)之間的一道防御系統(tǒng)，是這一類防范措施的總稱。下面我們一起來討論一下防火墻的概念，以及防火墻的功能，并且討論了每一種防火墻的特性及其發(fā)展。網(wǎng)絡(luò)的安全性成為當今最熱門的話題之一，很多企業(yè)為了保障自身服務(wù)器或數(shù)據(jù)安全都采用了防火墻。 事實上，多層次防護已經(jīng)成為當今網(wǎng)絡(luò)安全的主流策略。 我們這里 闡釋的所謂 “ 多層次防護 ” ，就是應(yīng)用 和 實施一個基于 OSI 網(wǎng)絡(luò)參考模型的 多層次安全 系統(tǒng)的全面信息安全策略，在各個層次上部署相關(guān)的網(wǎng)絡(luò)安全產(chǎn)品， 結(jié)合了不同的防火墻安全策略和技術(shù)，例如地址翻譯技術(shù)、數(shù)據(jù)包過濾技術(shù)、狀態(tài)檢測技術(shù)、電路級網(wǎng)關(guān)技術(shù)和應(yīng)用級網(wǎng)關(guān)技術(shù)，多層防火墻技術(shù)的研究 —— 狀態(tài)檢測 VI 來創(chuàng)建