計算機系統(tǒng)安全防火墻-展示頁
2025-01-15 12:10本頁面
【正文】 的記錄和統(tǒng)計 防火墻可以記錄各次訪問 ， 并提供有關網(wǎng)絡使用率等有價值的統(tǒng)計數(shù)字 。 7 一、防火墻概述 、 強化私有權 使用防火墻系統(tǒng) ， 站點可以防止 finger 以及 DNS域名服務 。 外部用戶只需要經(jīng)過一次認證即可訪問內部網(wǎng) 。 防火墻定義的安全規(guī)則可用于整個內部網(wǎng)絡系統(tǒng) ， 而無須在內部網(wǎng)每臺機器上分別設立安全策略 。 6 一、防火墻概述 可以提供對系統(tǒng)的訪問控制 。 可以禁止某些易受攻擊的服務 (如 NFS)進入或離開受保護的子網(wǎng) 。 4 二、好的防火墻系統(tǒng) 一、防火墻概述 1） 內部網(wǎng)絡和外部網(wǎng)絡之間傳輸?shù)臄?shù)據(jù)必須通過防火墻； 2） 只有防火墻系統(tǒng)中安全策略允許的數(shù)據(jù)可以通過防火墻； 3） 防火墻本身不受各種攻擊的影響 。 防火墻只允許已授權的業(yè)務流通過 ， 而且本身也應抵抗?jié)B透攻擊 。1 計算機系統(tǒng)安全 第九章 防火墻 2 一、防火墻概述 什么是防火墻 (Firewall) ？ 防火墻：在兩個信任程度不同的網(wǎng)絡之間設置的、用于加強訪問控制的軟硬件保護設施。 3 一、防火墻的用途 一、防火墻概述 1） 作為 “ 扼制點 ” ， 限制信息的進入或離開； 2） 防止侵入者接近并破壞你的內部設施； 3） 監(jiān)視 、 記錄 、 審查重要的業(yè)務流； 4） 實施網(wǎng)絡地址轉換 ， 緩解地址短缺矛盾 。 建立防火墻必須全面考慮安全策略 ， 否則形同虛設 。 5 三、防火墻的優(yōu)點 一、防火墻概述 通過過濾不安全的服務來降低子網(wǎng)上主系統(tǒng)的風險 。 可以防護基于路由選擇的攻擊 ， 如源路由選擇和企圖通過 ICMP改向把發(fā)送路徑轉向遭致?lián)p害的網(wǎng)點 。 如允許從外部訪問某些主機 (Mail Server和 Web Server) ， 同時禁止訪問另外的主機 。 可以定義不同的認證方法 ， 而不需要在每臺機器上分別安裝特定的認證軟件 。 例如對于密碼口令系統(tǒng)或其他的身份認證軟件等 ， 放在防火墻系統(tǒng)中更是優(yōu)于放在每個 Inter能訪問的機器上 。 Finger能列出當前用戶 ， 上次登錄時間 ， 以及是否讀過郵件等 。 網(wǎng)絡使用率統(tǒng)計數(shù)字可作為網(wǎng)絡需求研究和風險分析的依據(jù)；收集有關網(wǎng)絡試探的證據(jù) ， 可確定防火墻上的控制措施是否得當 ， 能否抵御試探和攻擊 。 如果入侵者已經(jīng)在防火墻內部 ， 防火墻是無能為力的 。 對于來自知情者的威脅只能要求加強內部管理 ， 如主機安全和用戶教育 、 管理 、 制度等 。 例如 ，如果站點允許對防火墻后面的內部系統(tǒng)進行撥號訪問 ， 那么防火墻絕對沒有辦法阻止入侵者進行撥號入侵 。 10 一、防火墻概述 5） 防火墻不能防范病毒 防火墻不能防止感染了病毒的軟件或文件的傳輸 。 6） 防火墻不能防止數(shù)據(jù)驅動式攻擊 。 特別是隨著 Java、JavaScript、 ActiveX的應用 ， 這一問題更加突出 。防火墻能監(jiān)視這樣的數(shù)據(jù)包并能扔掉它們； C/S模式和跨平臺支持：能使運行在一平臺的管理模塊控制運行在另一平臺的監(jiān)視模塊 。 一個典型的政策可以不允許從 Inter訪問網(wǎng)點 ， 但要允許從網(wǎng)點訪問 Inter。 14 允許 拒絕 防火墻設計政策 防火墻一般實施兩個基本設計方針之一 : 1. “ 沒有明確允許的都是被禁止的 ” ， 即拒絕一切未予特許的東西 。 Screened Sub 16 （ Screened Router） 包過濾路由器： 路由 + 過濾 這是最簡單的防火墻。 堡壘主機上運行防火墻軟件 —— 代理服務 （ 應用層網(wǎng)關 ） 。 優(yōu)點：與屏蔽路由器相比 ， 提供日志以備檢查 缺點： 雙宿主機易受攻擊 19 防火墻體系結構 20 屏蔽主機體系結構 21 防火墻體系結構 由屏蔽路由器和應用網(wǎng)關組成。 優(yōu)點：雙重保護，安全性更高。 22 防火墻體系結構 組成：一個包含堡壘主機的周邊子網(wǎng)、兩臺屏蔽路由器。 通過在周邊網(wǎng)絡上隔離堡壘主機 ， 能減少在堡壘主機上侵入的影響 。 1） 周邊網(wǎng)絡 ：非軍事化區(qū) 、 ?；饏^(qū) （ DMZ） 周邊網(wǎng)絡是另一個安全層 ,是在外部網(wǎng)絡與內部網(wǎng)絡之間的附加的網(wǎng)絡 。 因為所有周邊網(wǎng)上的通信來自或者通往堡壘主機或Inter。 所以 ， 如果堡壘主機被損害 ， 內部的通信仍將是安全的 。 27 防火墻體系結構 出站服務按如下任一方法處理： 允許內部的客戶端直接訪問外部的服務器 。 用戶也可以設置數(shù)據(jù)包過濾來允許內部的客戶端在堡壘主機上同代理服務器交談 。 28 防火墻體系結構 3） 內部路由器 內部路由器 （ 阻塞路由器 ） ：保護內部的網(wǎng)絡使之免受 Inter和周邊子網(wǎng)的侵犯 。 它允許從內部網(wǎng)到 Inter的有選擇的出站服務
教學課件相關推薦
鄂ICP備17016276號-1