防火墻的核心技術(shù)-在線瀏覽
2024-11-03 22:08本頁面
【正文】 MAC地址綁定功能，有一些細(xì)節(jié)必須考察，如防火墻能否實(shí)現(xiàn)IP地址和MAC地址的自動(dòng)搜集？對違反了IP/MAC地址綁定規(guī)則的訪問是否提供相應(yīng)的報(bào)警機(jī)制？因?yàn)檫@些功能非常實(shí)用，如果防火墻不能提供IP地址和MAC地址的自動(dòng)搜集，網(wǎng)管可能被迫采取其他的手段獲得所管轄用戶的IP與MAC地址，這將是一件非常乏味的工作。但對此一項(xiàng)功能，各廠家實(shí)現(xiàn)的差異非常大，許多廠家實(shí)現(xiàn)NAT功能存在很大的問題：難于配置和使用，這將會(huì)給網(wǎng)管員帶來巨大的麻煩。二、應(yīng)用層的訪問控制這一功能是各個(gè)防火墻廠商的實(shí)力比拼點(diǎn)，也是最出彩的地方。對應(yīng)用層的控制上，在選擇防火墻時(shí)可以考察以下幾點(diǎn)。能否對WWW訪問進(jìn)行細(xì)粒度的控制反映了一個(gè)防火墻的技術(shù)實(shí)力。2． 是否提供FTP協(xié)議的內(nèi)容過濾？在考察這一功能時(shí)一定要細(xì)心加小心，很多廠家的防火墻都宣傳說具備FTP的內(nèi)容過濾，但細(xì)心對比就會(huì)發(fā)現(xiàn)，其中絕大多數(shù)僅實(shí)現(xiàn)了FTP協(xié)議中兩個(gè)命令的控制：PUT和GET。三、管理和認(rèn)證這是防火墻非常重要的功能。各種管理方式中，基于命令行的CLI方式最不適合防火墻。WUI的管理方式簡單，不用專門的管理軟件，只要配備瀏覽器就行；同時(shí)，WUI的管理界面非常適合遠(yuǎn)程管理，只要防火墻配置一個(gè)可達(dá)的IP，可實(shí)現(xiàn)在美國管理位于中國分公司的防火墻。GUI是目前絕大多數(shù)防火墻普遍采用的方式。但缺點(diǎn)是需要專門的管理端軟件，同時(shí)在遠(yuǎn)程和集中管理方面沒有WUI管理方式靈活。很多防火墻的審計(jì)和日志功能很弱，這一點(diǎn)在那些以DOM、DOC等電子盤（并且不提供網(wǎng)絡(luò)數(shù)據(jù)庫支持）為存儲(chǔ)介質(zhì)的防火墻中體現(xiàn)得尤為明顯，有些甚至沒有區(qū)分事件日志和訪問日志。目前絕大多數(shù)防火墻審計(jì)日志采用硬盤存儲(chǔ)的方式，這種方式的優(yōu)點(diǎn)是可以存儲(chǔ)大量的日志（幾個(gè)G到幾十個(gè)G），但是在某些極端的情況下，如異常掉電，硬盤受到的損壞往往要比電子盤的損壞嚴(yán)重。五、如何區(qū)分包過濾和狀態(tài)監(jiān)測一些小公司為了推銷自己的防火墻產(chǎn)品，往往宣稱采用的是狀態(tài)監(jiān)測技術(shù)。這里給出區(qū)分這兩種技術(shù)的小技巧。？某些應(yīng)用協(xié)議不僅僅使用一個(gè)連接和一個(gè)端口，往往通過一系列相關(guān)聯(lián)的連接完成一個(gè)應(yīng)用層的操作。對于這樣的應(yīng)用，包過濾防火墻很難簡單設(shè)定一條安全規(guī)則，往往不得不開放所有源端口為20的訪問。對于FTP來說，只需防火墻中設(shè)定一條對21端口的訪問規(guī)則，就可以保證FTP傳輸?shù)恼＃≒ASSIVE方式的數(shù)據(jù)傳輸。摘自2002/10/7網(wǎng)絡(luò)通信安全評估軟件 OLM SCAN 主要功能具有強(qiáng)大的掃描分析能力OLM SCAN針對因特網(wǎng)網(wǎng)絡(luò)系統(tǒng)中存在的主要弱點(diǎn)和漏洞，集成了十五類259種方法，能全方位，多側(cè)面的對網(wǎng)絡(luò)安全隱患進(jìn)行掃描分析，基本上覆蓋了目前網(wǎng)絡(luò)和操作系統(tǒng)存在的主要弱點(diǎn)和漏洞，具有強(qiáng)大的掃描分析能力。l面向多操作系統(tǒng)，具有較強(qiáng)的適用性O(shè)LM SCAN檢測對象覆蓋在用的主流操作系統(tǒng)：Sun Solaris , HPUX ,IBM Aix,Digital UNIX,SGI IRIX,Linux,Windows NT等系統(tǒng)。l具有遠(yuǎn)程和本地兩種工作模式OLM SCAN能夠?qū)赥CP/IP的網(wǎng)絡(luò)主機(jī)實(shí)施掃描分析，具有跨網(wǎng)關(guān)操作的能力，可通過專線或撥號方式接入任何基于TCP/IP的網(wǎng)絡(luò)系統(tǒng)，支持本地或遠(yuǎn)程兩種工作模式。弱點(diǎn)和漏洞可能是系統(tǒng)的不完善或BUG，也可能是由于系統(tǒng)配置的不當(dāng)而帶來的。OLM SCAN還能報(bào)告當(dāng)前掃描對象對外提供的服務(wù)信息，這有利于管理人員及時(shí)準(zhǔn)確地了解自己的系統(tǒng)對外提供的端口服務(wù)，并及時(shí)關(guān)閉對外提供的不必要的端口服務(wù)。具有生成分析報(bào)告的能力OLM SCAN在掃描分析目的網(wǎng)絡(luò)后，能夠給用戶提供一份完整的安全性分析報(bào)告。第二篇：防火墻的核心技術(shù)及工作原理防火墻的核心技術(shù)及工作原理防火墻是一種高級訪問控制設(shè)備，置于不同網(wǎng)絡(luò)安全域之間，它通過相關(guān)的安全策略來控制（允許、拒絕、監(jiān)視、記錄）進(jìn)出網(wǎng)絡(luò)的訪問行為。包過濾的最大優(yōu)點(diǎn)是對用戶透明，傳輸性能高。l 應(yīng)用代理技術(shù)應(yīng)用代理防火墻工作在OSI的第七層，它通過檢查所有應(yīng)用層的信息包，并將檢查的內(nèi)容信息放入決策過程，從而提高網(wǎng)絡(luò)的安全性。每個(gè)客戶機(jī)／服務(wù)器通信需要兩個(gè)連接：一個(gè)是從客戶端到防火墻，另一個(gè)是從防火墻到服務(wù)器。所以，應(yīng)用網(wǎng)關(guān)防火墻具有可伸縮性差的缺點(diǎn)。狀態(tài)檢測防火墻在網(wǎng)絡(luò)層有一個(gè)檢查引擎截獲數(shù)據(jù)包并抽取出與應(yīng)用層狀態(tài)有關(guān)的信息，并以此為依據(jù)決定對該連接是接受還是拒絕。狀態(tài)檢測防火墻一般也包括一些代理級的服務(wù)，它們提供附加的對特定應(yīng)用程序數(shù)據(jù)內(nèi)容的支持。這種防火墻摒棄了簡單包過濾防火墻僅僅考察進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)包，不關(guān)心數(shù)據(jù)包狀態(tài)的缺點(diǎn)，在防火墻的核心部分建立狀態(tài)連接表，維護(hù)了連接，將進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)當(dāng)成一個(gè)個(gè)的事件來處理。l 完全內(nèi)容檢測技術(shù)完全內(nèi)容檢測技術(shù)防火墻綜合狀態(tài)檢測與應(yīng)用代理技術(shù)，并在此基礎(chǔ)上進(jìn)一步基于多層檢測架構(gòu)，把防病毒、內(nèi)容過濾、應(yīng)用識(shí)別等功能整合到防火墻里，其中還包括IPS功能，多單元融為一體，在網(wǎng)絡(luò)界面對應(yīng)用層掃描，把防病毒、內(nèi)容過濾與防火墻結(jié)合起來，這體現(xiàn)了網(wǎng)絡(luò)與信息安全的新思路，(因此也被稱為“下一代防火墻技術(shù)”)。完全內(nèi)容檢測技術(shù)防火墻可以檢查整個(gè)數(shù)據(jù)包內(nèi)容，根據(jù)需要建立連接狀態(tài)表，網(wǎng)絡(luò)層保護(hù)強(qiáng)，應(yīng)用層控制細(xì)等優(yōu)點(diǎn)，但由于功
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1