網(wǎng)絡(luò)安全第二章ppt課件-閱讀頁(yè)
2025-01-23 22:05本頁(yè)面
【正文】 (P278) 數(shù)據(jù)包過(guò)濾（ 4/6） 優(yōu)點(diǎn)： 邏輯簡(jiǎn)單，價(jià)格便宜，易于安裝和使用，網(wǎng)絡(luò)性能和透明性好。 數(shù)據(jù)包過(guò)濾（ 5/6） 注意： ① 創(chuàng)建規(guī)則比較困難； ② 規(guī)則過(guò)于復(fù)雜并難以測(cè)試，必須要用手工或用儀器才能徹底檢測(cè)規(guī)則的正確性； ③ 對(duì)特定協(xié)議包的過(guò)濾： FTP協(xié)議 ：使用兩個(gè)端口，因此要作特殊的考慮； UDP協(xié)議 ：要對(duì) UDP數(shù)據(jù)包進(jìn)行過(guò)濾，防火墻應(yīng)有動(dòng)態(tài)數(shù)據(jù)包過(guò)濾的特點(diǎn)； ICMP協(xié)議 ：應(yīng)根據(jù) ICMP的類型進(jìn)行過(guò)濾。 ? 工作過(guò)程： 當(dāng)用戶需要訪問(wèn)代理服務(wù)器另一側(cè)的主機(jī)時(shí)，對(duì)符合安全規(guī)則的連接，代理服務(wù)器會(huì)代替主機(jī)響應(yīng)，并重新向主機(jī)發(fā)出一個(gè)相同的請(qǐng)求。對(duì)于用戶而言，似乎是直接與外部網(wǎng)絡(luò)相連。 代理服務(wù)（ 3/4） 主要缺點(diǎn)： ① 針對(duì)不同的應(yīng)用層協(xié)議必須有單獨(dú)的應(yīng)用代理，也不能自動(dòng)支持新的網(wǎng)絡(luò)應(yīng)用； ② 有些代理還需要相應(yīng)的支持代理的客戶和服務(wù)器軟件；用戶可能還需要專門學(xué)習(xí)程序的使用方法才能通過(guò)代理訪問(wèn) Inter； ③ 性能下降。 狀態(tài)檢測(cè)（ 2/5） ? 利用 狀態(tài)表 跟蹤每一個(gè)網(wǎng)絡(luò)會(huì)話的狀態(tài)，對(duì)每一個(gè)數(shù)據(jù)包的檢查不僅根據(jù)規(guī)則表，更考慮了數(shù)據(jù)包是否符合會(huì)話所處的狀態(tài)； ? 狀態(tài)檢測(cè)防火墻采用了一個(gè)在網(wǎng)關(guān)上執(zhí)行網(wǎng)絡(luò)安全策略的軟件引擎，稱之為 檢測(cè)模塊 。 狀態(tài)檢測(cè)（ 3/5） ? 既能夠提供代理服務(wù)的控制靈活性，又能夠提供包過(guò)濾的高效性，是二者的結(jié)合； ? 工作過(guò)程： 對(duì)新建的應(yīng)用連接，狀態(tài)檢測(cè)檢查預(yù)先設(shè)置的安全規(guī)則，允許符合規(guī)則的連接；請(qǐng)求數(shù)據(jù)包通過(guò)，并記錄下該連接的相關(guān)信息，生成狀態(tài)表。 狀態(tài)檢測(cè)（ 4/5） 主要優(yōu)點(diǎn)： ① 高安全性（工作在數(shù)據(jù)鏈路層和網(wǎng)絡(luò)層之間； “ 狀態(tài)感知 ”能力） ② 高效性（對(duì)連接的后續(xù)數(shù)據(jù)包直接進(jìn)行狀態(tài)檢查） ③ 應(yīng)用范圍廣（支持基于無(wú)連接協(xié)議的應(yīng)用） 主要缺點(diǎn)： 狀態(tài)檢測(cè)防火墻在阻止 DDoS攻擊、病毒傳播問(wèn)題以及高級(jí)應(yīng)用入侵問(wèn)題（如實(shí)現(xiàn)應(yīng)用層內(nèi)容過(guò)濾）等方面顯得力不從心。 ? NAT的主要作用： ① 隱藏內(nèi)部網(wǎng)絡(luò)的 IP地址； ② 解決地址緊缺問(wèn)題。所以通常要把 NAT集成在防火墻系統(tǒng)中。 ? SNAT和 DNAT 靜態(tài)（ static）網(wǎng)絡(luò)地址轉(zhuǎn)換和動(dòng)態(tài)（ dynamic）網(wǎng)絡(luò)地址轉(zhuǎn)換 源（ source）網(wǎng)絡(luò)地址轉(zhuǎn)換和目標(biāo)（ destination）網(wǎng)絡(luò)地址轉(zhuǎn)換 ? 靜態(tài)網(wǎng)絡(luò)地址轉(zhuǎn)換 ：內(nèi)部網(wǎng)絡(luò)中的每個(gè)主機(jī)都被永久映射成外部網(wǎng)絡(luò)中的某個(gè)合法的地址； ? 動(dòng)態(tài)網(wǎng)絡(luò)地址轉(zhuǎn)換 ：可用的合法 IP地址是一個(gè)范圍，而內(nèi)部網(wǎng)絡(luò)地址的范圍大于合法 IP的范圍，在做地址轉(zhuǎn)換時(shí)，如果合法 IP都被占用，此時(shí)從內(nèi)部網(wǎng)絡(luò)的新的請(qǐng)求會(huì)由于沒(méi)有合法地址可以分配而失敗。 ? 注意： 進(jìn)行地址翻譯時(shí)，優(yōu)先還是 NAT，當(dāng)合法 IP地址分配完后，對(duì)于新發(fā)起的連接會(huì)重復(fù)使用已分配過(guò)的合法 IP，要區(qū)別此次 NAT與上次 NAT的數(shù)據(jù)包，就要通過(guò)端口地址加以區(qū)分。 網(wǎng)絡(luò)地址轉(zhuǎn)換（ 4/4） ? 源網(wǎng)絡(luò)地址轉(zhuǎn)換 ：修改數(shù)據(jù)報(bào)中 IP頭部中的數(shù)據(jù)源地址（通常發(fā)生在使用私有地址的用戶訪問(wèn) Inter的情況下，把私有地址翻譯成合法的因特網(wǎng)地址） ? 目標(biāo)網(wǎng)絡(luò)地址轉(zhuǎn)換 ：修改數(shù)據(jù)報(bào)中 IP頭部中的數(shù)據(jù)目的地址（通常發(fā)生在防火墻之后的服務(wù)器上） 防火墻技術(shù)展望 1 分布式防火墻 2 網(wǎng)絡(luò)安全產(chǎn)品的系統(tǒng)化 3 智能防火墻 智能防火墻 ? 傳統(tǒng)防火墻 ：采用數(shù)據(jù)匹配檢查技術(shù) ? 智能防火墻 ：采用人工智能識(shí)別技術(shù)（統(tǒng)計(jì)、記憶、概率和決策等） 優(yōu)勢(shì)：安全，高效 應(yīng)用：在保護(hù)網(wǎng)絡(luò)和站點(diǎn)免受黑客攻擊、阻斷病毒的惡意傳播、有效監(jiān)控和管理內(nèi)部局域網(wǎng)、保護(hù)必需的應(yīng)用安全、提供強(qiáng)大的身份認(rèn)證授權(quán)和審計(jì)管理等方面具有廣泛的應(yīng)用價(jià)值。 網(wǎng)絡(luò)安全產(chǎn)品的系統(tǒng)化（ 1/2） ? “ 以防火墻為核心的網(wǎng)絡(luò)安全體系 ” 解決方法： ① 直接把相關(guān)安全產(chǎn)品 “ 做 ” 到防火墻中 ② 各個(gè)產(chǎn)品相互分離，但是通過(guò)某種通信方式形成一個(gè)整體 （防火墻聯(lián)動(dòng)技術(shù)） 聯(lián)動(dòng) ：通過(guò)一種組合的方式，將不同技術(shù)與防火墻技術(shù)進(jìn)行整合，在提高防火墻自身功能和性能的同時(shí)，由其他技術(shù)完成防火墻所缺乏的功能，以適應(yīng)網(wǎng)絡(luò)安全整體化、立體化的要求。 （目前已有包括 IBM、 HP、 Sun、 Cisco、 BAY等超過(guò) 135個(gè)公司加入到 OPSEC聯(lián)盟。 ? 延時(shí)（比特轉(zhuǎn)發(fā)）：入口處輸入幀第 1個(gè)比特到達(dá)被測(cè)設(shè)備至出口處輸出幀的第 1個(gè)比特輸出時(shí)所用的時(shí)間間隔 ? 丟包率：在穩(wěn)態(tài)負(fù)載下由于缺少資源應(yīng)轉(zhuǎn)發(fā)而沒(méi)有轉(zhuǎn)發(fā)的幀占所有應(yīng)被轉(zhuǎn)發(fā)的幀的比例 ? 背靠背：從空閑狀態(tài)開始，以達(dá)到傳輸介質(zhì)最小合法間隔極限的傳輸速率，發(fā)送一定數(shù)量固定長(zhǎng)度的幀，當(dāng)出現(xiàn)第一個(gè)幀丟失時(shí)所發(fā)送的幀數(shù)。企業(yè)總部在北京，上海、武漢、廣州、深圳設(shè)有分部。
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1