計(jì)算系統(tǒng)安全之防火墻-展示頁(yè)
2024-10-15 15:25本頁(yè)面
【正文】 的記錄和統(tǒng)計(jì) 防火墻可以記錄各次訪問 ， 并提供有關(guān)網(wǎng)絡(luò)使用率等有價(jià)值的統(tǒng)計(jì)數(shù)字 。 7 一、防火墻概述 、 強(qiáng)化私有權(quán) 使用防火墻系統(tǒng) ， 站點(diǎn)可以防止 finger 以及 DNS域名服務(wù) 。 外部用戶只需要經(jīng)過一次認(rèn)證即可訪問內(nèi)部網(wǎng) 。 防火墻定義的安全規(guī)則可用于整個(gè)內(nèi)部網(wǎng)絡(luò)系統(tǒng) ， 而無須在內(nèi)部網(wǎng)每臺(tái)機(jī)器上分別設(shè)立安全策略 。 6 一、防火墻概述 可以提供對(duì)系統(tǒng)的訪問控制 。 可以禁止某些易受攻擊的服務(wù) (如 NFS)進(jìn)入或離開受保護(hù)的子網(wǎng) 。 4 二、好的防火墻系統(tǒng) 一、防火墻概述 1） 內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)必須通過防火墻； 2） 只有防火墻系統(tǒng)中安全策略允許的數(shù)據(jù)可以通過防火墻； 3） 防火墻本身不受各種攻擊的影響 。 防火墻只允許已授權(quán)的業(yè)務(wù)流通過 ， 而且本身也應(yīng)抵抗?jié)B透攻擊 。1 計(jì)算機(jī)系統(tǒng)安全 第九章 防火墻 2 一、防火墻概述 什么是防火墻 (Firewall) ？ 防火墻：在兩個(gè)信任程度不同的網(wǎng)絡(luò)之間設(shè)置的、用于加強(qiáng)訪問控制的軟硬件保護(hù)設(shè)施。 3 一、防火墻的用途 一、防火墻概述 1） 作為 “ 扼制點(diǎn) ” ， 限制信息的進(jìn)入或離開； 2） 防止侵入者接近并破壞你的內(nèi)部設(shè)施； 3） 監(jiān)視 、 記錄 、 審查重要的業(yè)務(wù)流； 4） 實(shí)施網(wǎng)絡(luò)地址轉(zhuǎn)換 ， 緩解地址短缺矛盾 。 建立防火墻必須全面考慮安全策略 ， 否則形同虛設(shè) 。 5 三、防火墻的優(yōu)點(diǎn) 一、防火墻概述 通過過濾不安全的服務(wù)來降低子網(wǎng)上主系統(tǒng)的風(fēng)險(xiǎn) 。 可以防護(hù)基于路由選擇的攻擊 ， 如源路由選擇和企圖通過 ICMP改向把發(fā)送路徑轉(zhuǎn)向遭致?lián)p害的網(wǎng)點(diǎn) 。 如允許從外部訪問某些主機(jī) (Mail Server和 Web Server) ， 同時(shí)禁止訪問另外的主機(jī) 。 可以定義不同的認(rèn)證方法 ， 而不需要在每臺(tái)機(jī)器上分別安裝特定的認(rèn)證軟件 。 例如對(duì)于密碼口令系統(tǒng)或其他的身份認(rèn)證軟件等 ， 放在防火墻系統(tǒng)中更是優(yōu)于放在每個(gè) Inter能訪問的機(jī)器上 。 Finger能列出當(dāng)前用戶 ， 上次登錄時(shí)間 ， 以及是否讀過郵件等 。 網(wǎng)絡(luò)使用率統(tǒng)計(jì)數(shù)字可作為網(wǎng)絡(luò)需求研究和風(fēng)險(xiǎn)分析的依據(jù)；收集有關(guān)網(wǎng)絡(luò)試探的證據(jù) ， 可確定防火墻上的控制措施是否得當(dāng) ， 能否抵御試探和攻擊 。 如果入侵者已經(jīng)在防火墻內(nèi)部 ， 防火墻是無能為力的 。 對(duì)于來自知情者的威脅只能要求加強(qiáng)內(nèi)部管理 ， 如主機(jī)安全和用戶教育 、 管理 、 制度等 。 例如 ，如果站點(diǎn)允許對(duì)防火墻后面的內(nèi)部系統(tǒng)進(jìn)行撥號(hào)訪問 ， 那么防火墻絕對(duì)沒有辦法阻止入侵者進(jìn)行撥號(hào)入侵 。 10 一、防火墻概述 5） 防火墻不能防范病毒 防火墻不能防止感染了病毒的軟件或文件的傳輸 。 6） 防火墻不能防止數(shù)據(jù)驅(qū)動(dòng)式攻擊 。 特別是隨著 Java、JavaScript、 ActiveX的應(yīng)用 ， 這一問題更加突出 。防火墻能監(jiān)視這樣的數(shù)據(jù)包并能扔掉它們； C/S模式和跨平臺(tái)支持：能使運(yùn)行在一平臺(tái)的管理模塊控制運(yùn)行在另一平臺(tái)的監(jiān)視模塊 。 一個(gè)典型的政策可以不允許從 Inter訪問網(wǎng)點(diǎn) ， 但要允許從網(wǎng)點(diǎn)訪問 Inter。 14 允許 拒絕 防火墻設(shè)計(jì)政策 防火墻一般實(shí)施兩個(gè)基本設(shè)計(jì)方針之一 : 1. “ 沒有明確允許的都是被禁止的 ” ， 即拒絕一切未予特許的東西 。 Screened Sub 16 （ Screened Router） 包過濾路由器： 路由 + 過濾 這是最簡(jiǎn)單的防火墻。 堡壘主機(jī)上運(yùn)行防火墻軟件 —— 代理服務(wù) （ 應(yīng)用層網(wǎng)關(guān) ） 。 優(yōu)點(diǎn)：與屏蔽路由器相比 ， 提供日志以備檢查 缺點(diǎn)： 雙宿主機(jī)易受攻擊 19 防火墻體系結(jié)構(gòu) 20 屏蔽主機(jī)體系結(jié)構(gòu) 21 防火墻體系結(jié)構(gòu) 由屏蔽路由器和應(yīng)用網(wǎng)關(guān)組成。 優(yōu)點(diǎn)：雙重保護(hù)，安全性更高。 22 防火墻體系結(jié)構(gòu) 組成：一個(gè)包含堡壘主機(jī)的周邊子網(wǎng)、兩臺(tái)屏蔽路由器。 通過在周邊網(wǎng)絡(luò)上隔離堡壘主機(jī) ， 能減少在堡壘主機(jī)上侵入的影響 。 1） 周邊網(wǎng)絡(luò) ：非軍事化區(qū) 、 ?；饏^(qū) （ DMZ） 周邊網(wǎng)絡(luò)是另一個(gè)安全層 ,是在外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)之間的附加的網(wǎng)絡(luò) 。 因?yàn)樗兄苓吘W(wǎng)上的通信來自或者通往堡壘主機(jī)或Inter。 所以 ， 如果堡壘主機(jī)被損害 ， 內(nèi)部的通信仍將是安全的 。 27 防火墻體系結(jié)構(gòu) 出站服務(wù)按如下任一方法處理： 允許內(nèi)部的客戶端直接訪問外部的服務(wù)器 。 用戶也可以設(shè)置數(shù)據(jù)包過濾來允許內(nèi)部的客戶端在堡壘主機(jī)上同代理服務(wù)器交談 。 28 防火墻體系結(jié)構(gòu) 3） 內(nèi)部路由器 內(nèi)部路由器 （ 阻塞路由器 ） ：保護(hù)內(nèi)部的網(wǎng)絡(luò)使之免受 Inter和周邊子網(wǎng)的侵犯 。 它允許從內(nèi)部網(wǎng)到 Inter的有選擇的出站服務(wù)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1