電腦防火墻的相關(guān)知識(shí)介紹
今天學(xué)習(xí)啦小編要跟大家介紹下電腦防火墻的相關(guān)知識(shí)，下面就是學(xué)習(xí)啦小編為大家整理到的資料，請(qǐng)大家認(rèn)真看看!
電腦防火墻的相關(guān)知識(shí)介紹
防火墻 (網(wǎng)絡(luò)術(shù)語(yǔ))
防火墻(Firewall)，也稱防護(hù)墻，是由Check Point創(chuàng)立者Gil Shwed于1993年發(fā)明并引入國(guó)際互聯(lián)網(wǎng)(US5606668(A)1993-12-15)。它是一種位于內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的網(wǎng)絡(luò)安全系統(tǒng)。一項(xiàng)信息安全的防護(hù)系統(tǒng)，依照特定的規(guī)則，允許或是限制傳輸?shù)臄?shù)據(jù)通過(guò)。
所謂防火墻指的是一個(gè)由軟件和硬件設(shè)備組合而成、在內(nèi)部網(wǎng)和外部網(wǎng)之間、專用網(wǎng)與公共網(wǎng)之間的界面上構(gòu)造的保護(hù)屏障.是一種獲取安全性方法的形象說(shuō)法，它是一種計(jì)算機(jī)硬件和軟件的結(jié)合，使Internet與Intranet之間建立起一個(gè)安全網(wǎng)關(guān)(Security Gateway)，從而保護(hù)內(nèi)部網(wǎng)免受非法用戶的侵入，防火墻主要由服務(wù)訪問(wèn)規(guī)則、驗(yàn)證工具、包過(guò)濾和應(yīng)用網(wǎng)關(guān)4個(gè)部分組成，防火墻就是一個(gè)位于計(jì)算機(jī)和它所連接的網(wǎng)絡(luò)之間的軟件或硬件。該計(jì)算機(jī)流入流出的所有網(wǎng)絡(luò)通信和數(shù)據(jù)包均要經(jīng)過(guò)此防火墻。
在網(wǎng)絡(luò)中，所謂“防火墻”，是指一種將內(nèi)部網(wǎng)和公眾訪問(wèn)網(wǎng)(如Internet)分開的方法，它實(shí)際上是一種隔離技術(shù)。防火墻是在兩個(gè)網(wǎng)絡(luò)通訊時(shí)執(zhí)行的一種訪問(wèn)控制尺度，它能允許你“同意”的人和數(shù)據(jù)進(jìn)入你的網(wǎng)絡(luò)，同時(shí)將你“不同意”的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡(luò)中的黑客來(lái)訪問(wèn)你的網(wǎng)絡(luò)。換句話說(shuō)，如果不通過(guò)防火墻，公司內(nèi)部的人就無(wú)法訪問(wèn)Internet，Internet上的人也無(wú)法和公司內(nèi)部的人進(jìn)行通信。
什么是防火墻
XP系統(tǒng)相比于以往的Windows系統(tǒng)新增了許多的網(wǎng)絡(luò)功能(Windows 7的防火墻一樣很強(qiáng)大，可以很方便地定義過(guò)濾掉數(shù)據(jù)包)，例如Internet連接防火墻(ICF)，它就是用一段"代碼墻"把電腦和Internet分隔開，時(shí)刻檢查出入防火墻的所有數(shù)據(jù)包，決定攔截或是放行那些數(shù)據(jù)包。防火墻可以是一種硬件、固件或者軟件，例如專用防火墻設(shè)備就是硬件形式的防火墻，包過(guò)濾路由器是嵌有防火墻固件的路由器，而代理服務(wù)器等軟件就是軟件形式的防火墻。
ICF工作原理
ICF被視為狀態(tài)防火墻，狀態(tài)防火墻可監(jiān)視通過(guò)其路徑的所有通訊，并且檢查所處理的每個(gè)消息的源和目標(biāo)地址。為了防止來(lái)自連接公用端的未經(jīng)請(qǐng)求的通信進(jìn)入專用端，ICF保留了所有源自ICF計(jì)算機(jī)的通訊表。在單獨(dú)的計(jì)算機(jī)中，ICF將跟蹤源自該計(jì)算機(jī)的通信。與ICS一起使用時(shí)，ICF將跟蹤所有源自ICF/ICS計(jì)算機(jī)的通信和所有源自專用網(wǎng)絡(luò)計(jì)算機(jī)的通信。所有Internet傳入通信都會(huì)針對(duì)于該表中的各項(xiàng)進(jìn)行比較。只有當(dāng)表中有匹配項(xiàng)時(shí)(這說(shuō)明通訊交換是從計(jì)算機(jī)或?qū)Ｓ镁W(wǎng)絡(luò)內(nèi)部開始的)，才允許將傳入Internet通信傳送給網(wǎng)絡(luò)中的計(jì)算機(jī)。
源自外部源ICF計(jì)算機(jī)的通訊(如Internet)將被防火墻阻止，除非在“服務(wù)”選項(xiàng)卡上設(shè)置允許該通訊通過(guò)。ICF不會(huì)向你發(fā)送活動(dòng)通知，而是靜態(tài)地阻止未經(jīng)請(qǐng)求的通訊，防止像端口掃描這樣的常見黑客襲擊。
防火墻的種類
防火墻從誕生開始，已經(jīng)歷了四個(gè)發(fā)展階段：基于路由器的防火墻、用戶化的防火墻工具套、建立在通用操作系統(tǒng)上的防火墻、具有安全操作系統(tǒng)的防火墻。常見的防火墻屬于具有安全操作系統(tǒng)的防火墻，例如NETEYE、NETSCREEN、TALENTIT等。
從結(jié)構(gòu)上來(lái)分，防火墻有兩種：即代理主機(jī)結(jié)構(gòu)和路由器+過(guò)濾器結(jié)構(gòu)，后一種結(jié)構(gòu)如下所示：內(nèi)部網(wǎng)絡(luò)過(guò)濾器(Filter)路由器(Router)Internet
從原理上來(lái)分，防火墻則可以分成4種類型：特殊設(shè)計(jì)的硬件防火墻、數(shù)據(jù)包過(guò)濾型、電路層網(wǎng)關(guān)和應(yīng)用級(jí)網(wǎng)關(guān)。安全性能高的防火墻系統(tǒng)都是組合運(yùn)用多種類型防火墻，構(gòu)筑多道防火墻“防御工事”。[1]
吞吐量
網(wǎng)絡(luò)中的數(shù)據(jù)是由一個(gè)個(gè)數(shù)據(jù)包組成，防火墻對(duì)每個(gè)數(shù)據(jù)包的處理要耗費(fèi)資源。吞吐量是指在沒有幀丟失的情況下，設(shè)備能夠接受的最大速率。其測(cè)試方法是：在測(cè)試中以一定速率發(fā)送一定數(shù)量的幀，并計(jì)算待測(cè)設(shè)備傳輸?shù)膸绻l(fā)送的幀與接收的幀數(shù)量相等，那么就將發(fā)送速率提高并重新測(cè)試;如果接收幀少于發(fā)送幀則降低發(fā)送速率重新測(cè)試，直至得出最終結(jié)果。吞吐量測(cè)試結(jié)果以比特/秒或字節(jié)/秒表示。
吞吐量和報(bào)文轉(zhuǎn)發(fā)率是關(guān)系防火墻應(yīng)用的主要指標(biāo)，一般采用FDT(Full Duplex Throughput)來(lái)衡量，指64字節(jié)數(shù)據(jù)包的全雙工吞吐量，該指標(biāo)既包括吞吐量指標(biāo)也涵蓋了報(bào)文轉(zhuǎn)發(fā)率指標(biāo)。
主要類型
網(wǎng)絡(luò)層防火墻
網(wǎng)絡(luò)層防火墻可視為一種 IP 封包過(guò)濾器，運(yùn)作在底層的TCP/IP協(xié)議堆棧上。我們可以以枚舉的方式，只允許符合特定規(guī)則的封包通過(guò)，其余的一概禁止穿越防火墻(病毒除外，防火墻不能防止病毒侵入)。這些規(guī)則通常可以經(jīng)由管理員定義或修改，不過(guò)某些防火墻設(shè)備可能只能套用內(nèi)置的規(guī)則。
我們也能以另一種較寬松的角度來(lái)制定防火墻規(guī)則，只要封包不符合任何一項(xiàng)“否定規(guī)則”就予以放行。操作系統(tǒng)及網(wǎng)絡(luò)設(shè)備大多已內(nèi)置防火墻功能。
較新的防火墻能利用封包的多樣屬性來(lái)進(jìn)行過(guò)濾，例如：來(lái)源 IP地址、來(lái)源端口號(hào)、目的 IP 地址或端口號(hào)、服務(wù)類型(如 HTTP 或是 FTP)。也能經(jīng)由通信協(xié)議、TTL 值、來(lái)源的網(wǎng)域名稱或網(wǎng)段...等屬性來(lái)進(jìn)行過(guò)濾。
應(yīng)用層防火墻
應(yīng)用層防火墻是在 TCP/IP 堆棧的“應(yīng)用層”上運(yùn)作，您使用瀏覽器時(shí)所產(chǎn)生的數(shù)據(jù)流或是使用 FTP 時(shí)的數(shù)據(jù)流都是屬于這一層。應(yīng)用層防火墻可以攔截進(jìn)出某應(yīng)用程序的所有封包，并且封鎖其他的封包(通常是直接將封包丟棄)。理論上，這一類的防火墻可以完全阻絕外部的數(shù)據(jù)流進(jìn)到受保護(hù)的機(jī)器里。
防火墻借由監(jiān)測(cè)所有的封包并找出不符規(guī)則的內(nèi)容，可以防范電腦蠕蟲或是木馬程序的快速蔓延。不過(guò)就實(shí)現(xiàn)而言，這個(gè)方法既煩且雜(軟件有千千百百種啊)，所以大部分的防火墻都不會(huì)考慮以這種方法設(shè)計(jì)。
XML 防火墻是一種新型態(tài)的應(yīng)用層防火墻。
根據(jù)側(cè)重不同，可分為：包過(guò)濾型防火墻、應(yīng)用層網(wǎng)關(guān)型防火墻、服務(wù)器型防火墻。
數(shù)據(jù)庫(kù)防火墻
數(shù)據(jù)庫(kù)防火墻是一款基于數(shù)據(jù)庫(kù)協(xié)議分析與控制技術(shù)的數(shù)據(jù)庫(kù)安全防護(hù)系統(tǒng)?；谥鲃?dòng)防御機(jī)制，實(shí)現(xiàn)數(shù)據(jù)庫(kù)的訪問(wèn)行為控制、危險(xiǎn)操作阻斷、可疑行為審計(jì)。
數(shù)據(jù)庫(kù)防火墻通過(guò)SQL協(xié)議分析，根據(jù)預(yù)定義的禁止和許可策略讓合法的SQL操作通過(guò)，阻斷非法違規(guī)操作，形成數(shù)據(jù)庫(kù)的外圍防御圈，實(shí)現(xiàn)SQL危險(xiǎn)操作的主動(dòng)預(yù)防、實(shí)時(shí)審計(jì)。
數(shù)據(jù)庫(kù)防火墻面對(duì)來(lái)自于外部的入侵行為，提供SQL注入禁止和數(shù)據(jù)庫(kù)虛擬補(bǔ)丁包功能。
基本特性
(一)內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的所有網(wǎng)絡(luò)數(shù)據(jù)流都必須經(jīng)過(guò)防火墻
這是防火墻所處網(wǎng)絡(luò)位置特性，同時(shí)也是一個(gè)前提。因?yàn)橹挥挟?dāng)防火墻是內(nèi)、外部網(wǎng)絡(luò)之間通信的唯一通道，才可以全面、有效地保護(hù)企業(yè)網(wǎng)內(nèi)部網(wǎng)絡(luò)不受侵害。
根據(jù)美國(guó)國(guó)家安全局制定的《信息保障技術(shù)框架》，防火墻適用于用戶網(wǎng)絡(luò)系統(tǒng)的邊界，屬于用戶網(wǎng)絡(luò)邊界的安全保護(hù)設(shè)備。所謂網(wǎng)絡(luò)邊界即是采用不同安全策略的兩個(gè)網(wǎng)絡(luò)連接處，比如用戶網(wǎng)絡(luò)和互聯(lián)網(wǎng)之間連接、和其它業(yè)務(wù)往來(lái)單位的網(wǎng)絡(luò)連接、用戶內(nèi)部網(wǎng)絡(luò)不同部門之間的連接等。防火墻的目的就是在網(wǎng)絡(luò)連接之間建立一個(gè)安全控制點(diǎn)，通過(guò)允許、拒絕或重新定向經(jīng)過(guò)防火墻的數(shù)據(jù)流，實(shí)現(xiàn)對(duì)進(jìn)、出內(nèi)部網(wǎng)絡(luò)的服務(wù)和訪問(wèn)的審計(jì)和控制。
典型的防火墻體系網(wǎng)絡(luò)結(jié)構(gòu)如下圖所示。從圖中可以看出，防火墻的一端連接企事業(yè)單位內(nèi)部的局域網(wǎng)，而另一端則連接著互聯(lián)網(wǎng)。所有的內(nèi)、外部網(wǎng)絡(luò)之間的通信都要經(jīng)過(guò)防火墻。
(二)只有符合安全策略的數(shù)據(jù)流才能通過(guò)防火墻
防火墻最基本的功能是確保網(wǎng)絡(luò)流量的合法性，并在此前提下將網(wǎng)絡(luò)的流量快速的從一條鏈路轉(zhuǎn)發(fā)到另外的鏈路上去。從最早的防火墻模型開始談起，原始的防火墻是一臺(tái)“雙穴主機(jī)”，即具備兩個(gè)網(wǎng)絡(luò)接口，同時(shí)擁有兩個(gè)網(wǎng)絡(luò)層地址。防火墻將網(wǎng)絡(luò)上的流量通過(guò)相應(yīng)的網(wǎng)絡(luò)接口接收上來(lái)，按照OSI協(xié)議棧的七層結(jié)構(gòu)順序上傳，在適當(dāng)?shù)膮f(xié)議層進(jìn)行訪問(wèn)規(guī)則和安全審查，然后將符合通過(guò)條件的報(bào)文從相應(yīng)的網(wǎng)絡(luò)接口送出，而對(duì)于那些不符合通過(guò)條件的報(bào)文則予以阻斷。因此，從這個(gè)角度上來(lái)說(shuō)，防火墻是一個(gè)類似于橋接或路由器的、多端口的(網(wǎng)絡(luò)接口>=2)轉(zhuǎn)發(fā)設(shè)備，它跨接于多個(gè)分離的物理網(wǎng)段之間，并在報(bào)文轉(zhuǎn)發(fā)過(guò)程之中完成對(duì)報(bào)文的審查工作。
(三)防火墻自身應(yīng)具有非常強(qiáng)的抗攻擊免疫力
這是防火墻之所以能擔(dān)當(dāng)企業(yè)內(nèi)部網(wǎng)絡(luò)安全防護(hù)重任的先決條件。防火墻處于網(wǎng)絡(luò)邊緣，它就像一個(gè)邊界衛(wèi)士一樣，每時(shí)每刻都要面對(duì)黑客的入侵，這樣就要求防火墻自身要具有非常強(qiáng)的抗擊入侵本領(lǐng)。它之所以具有這么強(qiáng)的本領(lǐng)防火墻操作系統(tǒng)本身是關(guān)鍵，只有自身具有完整信任關(guān)系的操作系統(tǒng)才可以談?wù)撓到y(tǒng)的安全性。其次就是防火墻自身具有非常低的服務(wù)功能，除了專門的防火墻嵌入系統(tǒng)外，再?zèng)]有其它應(yīng)用程序在防火墻上運(yùn)行。當(dāng)然這些安全性也只能說(shuō)是相對(duì)的。
目前國(guó)內(nèi)的防火墻幾乎被國(guó)外的品牌占據(jù)了一半的市場(chǎng)，國(guó)外品牌的優(yōu)勢(shì)主要是在技術(shù)和知名度上比國(guó)內(nèi)產(chǎn)品高。而國(guó)內(nèi)防火墻廠商對(duì)國(guó)內(nèi)用戶了解更加透徹，價(jià)格上也更具有優(yōu)勢(shì)。防火墻產(chǎn)品中，國(guó)外主流廠商為思科(Cisco)、CheckPoint、NetScreen等，國(guó)內(nèi)主流廠商為東軟、天融信、山石網(wǎng)科、網(wǎng)御神州、聯(lián)想、方正等，它們都提供不同級(jí)別的防火墻產(chǎn)品。
(四)應(yīng)用層防火墻具備更細(xì)致的防護(hù)能力
自從Gartner提出下一代防火墻概念以來(lái)，信息安全行業(yè)越來(lái)越認(rèn)識(shí)到應(yīng)用層攻擊成為當(dāng)下取代傳統(tǒng)攻擊，最大程度危害用戶的信息安全，而傳統(tǒng)防火墻由于不具備區(qū)分端口和應(yīng)用的能力，以至于傳統(tǒng)防火墻僅僅只能防御傳統(tǒng)的攻擊，基于應(yīng)用層的攻擊則毫無(wú)辦法。
從2011年開始，國(guó)內(nèi)廠家通過(guò)多年的技術(shù)積累，開始推出下一代防火墻，在國(guó)內(nèi)從第一家推出真正意義的下一代防火墻的網(wǎng)康科技開始，至今包擴(kuò)東軟，天融信等在內(nèi)的傳統(tǒng)防火墻廠商也開始相互[3] 效仿，陸續(xù)推出了下一代防火墻，下一代防火墻具備應(yīng)用層分析的能力，能夠基于不同的應(yīng)用特征，實(shí)現(xiàn)應(yīng)用層的攻擊過(guò)濾，在具備傳統(tǒng)防火墻、IPS、防毒等功能的同時(shí)，還能夠?qū)τ脩艉蛢?nèi)容進(jìn)行識(shí)別管理，兼具了應(yīng)用層的高性能和智能聯(lián)動(dòng)兩大特性，能夠更好的針對(duì)應(yīng)用層攻擊進(jìn)行防護(hù)。
(五)數(shù)據(jù)庫(kù)防火墻針對(duì)數(shù)據(jù)庫(kù)惡意攻擊的阻斷能力
虛擬補(bǔ)丁技術(shù)：針對(duì)CVE公布的數(shù)據(jù)庫(kù)漏洞，提供漏洞特征檢測(cè)技術(shù)。
高危訪問(wèn)控制技術(shù)：提供對(duì)數(shù)據(jù)庫(kù)用戶的登錄、操作行為，提供根據(jù)地點(diǎn)、時(shí)間、用戶、操作類型、對(duì)象等特征定義高危訪問(wèn)行為。
SQL注入禁止技術(shù)：提供SQL注入特征庫(kù)。
返回行超標(biāo)禁止技術(shù)：提供對(duì)敏感表的返回行數(shù)控制。
SQL黑名單技術(shù)：提供對(duì)非法SQL的語(yǔ)法抽象描述。
代理服務(wù)
代理服務(wù)設(shè)備(可能是一臺(tái)專屬的硬件，或只是普通機(jī)器上的一套軟件)也能像應(yīng)用程序一樣回應(yīng)輸入封包(例如連接要求)，同時(shí)封鎖其他的封包，達(dá)到類似于防火墻的效果。
代理使得由外在網(wǎng)絡(luò)竄改一個(gè)內(nèi)部系統(tǒng)更加困難，并且一個(gè)內(nèi)部系統(tǒng)誤用不一定會(huì)導(dǎo)致一個(gè)安全漏洞可從防火墻外面(只要應(yīng)用代理剩下的原封和適當(dāng)?shù)乇慌渲?被入侵。相反地，入侵者也許劫持一個(gè)公開可及的系統(tǒng)和使用它作為代理人為他們自己的目的;代理人然后偽裝作為那個(gè)系統(tǒng)對(duì)其它內(nèi)部機(jī)器。當(dāng)對(duì)內(nèi)部地址空間的用途加強(qiáng)安全，破壞狂也許仍然使用方法譬如IP 欺騙試圖通過(guò)小包對(duì)目標(biāo)網(wǎng)絡(luò)。
防火墻經(jīng)常有網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)的功能，并且主機(jī)被保護(hù)在防火墻之后共同地使用所謂的“私人地址空間”，依照被定義在[RFC 1918] 。 管理員經(jīng)常設(shè)置了這樣的情節(jié)：假裝內(nèi)部地址或網(wǎng)絡(luò)是安全的。
防火墻的適當(dāng)?shù)呐渲靡蠹记珊椭悄堋?它要求管理員對(duì)網(wǎng)絡(luò)協(xié)議和電腦安全有深入的了解。 因小差錯(cuò)可使防火墻不能作為安全工具。
主要優(yōu)點(diǎn)
(1)防火墻能強(qiáng)化安全策略。
(2)防火墻能有效地記錄Internet上的活動(dòng)。
(3)防火墻限制暴露用戶點(diǎn)。防火墻能夠用來(lái)隔開網(wǎng)絡(luò)中一個(gè)網(wǎng)段與另一個(gè)網(wǎng)段。這樣，能夠防止影響一個(gè)網(wǎng)段的問(wèn)題通過(guò)整個(gè)網(wǎng)絡(luò)傳播。
(4)防火墻是一個(gè)安全策略的檢查站。所有進(jìn)出的信息都必須通過(guò)防火墻，防火墻便成為安全問(wèn)題的檢查點(diǎn)，使可疑的訪問(wèn)被拒絕于門外。
使用技巧
一、所有的防火墻文件規(guī)則必須更改。
盡管這種方法聽起來(lái)很容易，但是由于防火墻沒有內(nèi)置的變動(dòng)管理流程，因此文件更改對(duì)于許多企業(yè)來(lái)說(shuō)都不是最佳的實(shí)踐方法。如果防火墻管理員因?yàn)橥话l(fā)情況或者一些其他形式的業(yè)務(wù)中斷做出更改，那么他撞到槍口上的可能性就會(huì)比較大。但是如果這種更改抵消了之前的協(xié)議更改，會(huì)導(dǎo)致宕機(jī)嗎?這是一個(gè)相當(dāng)高發(fā)的狀況。
防火墻管理產(chǎn)品的中央控制臺(tái)能全面可視所有的防火墻規(guī)則基礎(chǔ)，因此團(tuán)隊(duì)的所有成員都必須達(dá)成共識(shí)，觀察誰(shuí)進(jìn)行了何種更改。這樣就能及時(shí)發(fā)現(xiàn)并修理故障，讓整個(gè)協(xié)議管理更加簡(jiǎn)單和高效。
二、以最小的權(quán)限安裝所有的訪問(wèn)規(guī)則。
另一個(gè)常見的安全問(wèn)題是權(quán)限過(guò)度的規(guī)則設(shè)置。防火墻規(guī)則是由三個(gè)域構(gòu)成的：即源(IP地址)，目的地(網(wǎng)絡(luò)/子網(wǎng)絡(luò))和服務(wù)(應(yīng)用軟件或者其他目的地)。為了確保每個(gè)用戶都有足夠的端口來(lái)訪問(wèn)他們所需的系統(tǒng)，常用方法是在一個(gè)或者更多域內(nèi)指定打來(lái)那個(gè)的目標(biāo)對(duì)象。當(dāng)你出于業(yè)務(wù)持續(xù)性的需要允許大范圍的IP地址來(lái)訪問(wèn)大型企業(yè)的網(wǎng)絡(luò)，這些規(guī)則就會(huì)變得權(quán)限過(guò)度釋放，因此就會(huì)增加不安全因素。服務(wù)域的規(guī)則是開放65535個(gè)TCP端口的ANY。防火墻管理員真的就意味著為黑客開放了65535個(gè)攻擊矢量?
三、根據(jù)法規(guī)協(xié)議和更改需求來(lái)校驗(yàn)每項(xiàng)防火墻的更改。
在防火墻操作中，日常工作都是以尋找問(wèn)題，修正問(wèn)題和安裝新系統(tǒng)為中心的。在安裝最新防火墻規(guī)則來(lái)解決問(wèn)題，應(yīng)用新產(chǎn)品和業(yè)務(wù)部門的過(guò)程中，我們經(jīng)常會(huì)遺忘防火墻也是企業(yè)安全協(xié)議的物理執(zhí)行者。每項(xiàng)規(guī)則都應(yīng)該重新審核來(lái)確保它能符合安全協(xié)議和任何法規(guī)協(xié)議的內(nèi)容和精神，而不僅是一篇法律條文。
四、當(dāng)服務(wù)過(guò)期后從防火墻規(guī)則中刪除無(wú)用的規(guī)則。
規(guī)則膨脹是防火墻經(jīng)常會(huì)出現(xiàn)的安全問(wèn)題，因?yàn)槎鄶?shù)運(yùn)作團(tuán)隊(duì)都沒有刪除規(guī)則的流程。業(yè)務(wù)部門擅長(zhǎng)讓你知道他們了解這些新規(guī)則，卻從來(lái)不會(huì)讓防火墻團(tuán)隊(duì)知道他們不再使用某些服務(wù)了。了解退役的服務(wù)器和網(wǎng)絡(luò)以及應(yīng)用軟件更新周期對(duì)于達(dá)成規(guī)則共識(shí)是個(gè)好的開始。運(yùn)行無(wú)用規(guī)則的報(bào)表是另外一步。黑客喜歡從來(lái)不刪除規(guī)則的防火墻團(tuán)隊(duì)。
五、每年至少對(duì)防火墻完整的審核兩次。
如果你是名信用卡活動(dòng)頻繁的商人，那么除非必須的話這項(xiàng)不是向你推薦的最佳實(shí)踐方法，因?yàn)橹Ц犊ㄐ袠I(yè)標(biāo)準(zhǔn)1.1.6規(guī)定至少每隔半年要對(duì)防火墻進(jìn)行一次審核。
相關(guān)功能
防火墻具有很好的保護(hù)作用。入侵者必須首先穿越防火墻的安全防線，才能接觸目標(biāo)計(jì)算機(jī)。你可以將防火墻配置成許多不同保護(hù)級(jí)別。高級(jí)別的保護(hù)可能會(huì)禁止一些服務(wù)，如視頻流等。
防火墻最基本的功能就是控制在計(jì)算機(jī)網(wǎng)絡(luò)中，不同信任程度區(qū)域間傳送的數(shù)據(jù)流。例如互聯(lián)網(wǎng)是不可信任的區(qū)域，而內(nèi)部網(wǎng)絡(luò)是高度信任的區(qū)域。以避免安全策略中禁止的一些通信，與建筑中的防火墻功能相似。它有控制信息基本的任務(wù)在不同信任的區(qū)域。 典型信任的區(qū)域包括互聯(lián)網(wǎng)(一個(gè)沒有信任的區(qū)域)和一個(gè)內(nèi)部網(wǎng)絡(luò)(一個(gè)高信任的區(qū)域)。最終目標(biāo)是提供受控連通性在不同水平的信任區(qū)域通過(guò)安全政策的運(yùn)行和連通性模型之間根據(jù)最少特權(quán)原則。
例如：TCP/IPPort 135~139是Microsoft Windows的【網(wǎng)上鄰居】所使用的。如果計(jì)算機(jī)有使用【網(wǎng)上鄰居】的【共享文件夾】，又沒使用任何防火墻相關(guān)的防護(hù)措施的話，就等于把自己的【共享文件夾】公開到Internet，供不特定的任何人有機(jī)會(huì)瀏覽目錄內(nèi)的文件。且早期版本的Windows有【網(wǎng)上鄰居】系統(tǒng)溢出的無(wú)密碼保護(hù)的漏洞(這里是指【共享文件夾】有設(shè)密碼，但可經(jīng)由此系統(tǒng)漏洞，達(dá)到無(wú)須密碼便能瀏覽文件夾的需求)。
防火墻對(duì)流經(jīng)它的網(wǎng)絡(luò)通信進(jìn)行掃描，這樣能夠過(guò)濾掉一些攻擊，以免其在目標(biāo)計(jì)算機(jī)上被執(zhí)行。防火墻還可以關(guān)閉不使用的端口。而且它還能禁止特定端口的流出通信，封鎖特洛伊木馬。最后，它可以禁止來(lái)自特殊站點(diǎn)的訪問(wèn)，從而防止來(lái)自不明入侵者的所有通信。
網(wǎng)絡(luò)安全
一個(gè)防火墻(作為阻塞點(diǎn)、控制點(diǎn))能極大地提高一個(gè)內(nèi)部網(wǎng)絡(luò)的安全性，并通過(guò)過(guò)濾不安全的服務(wù)而降低風(fēng)險(xiǎn)。由于只有經(jīng)過(guò)精心選擇的應(yīng)用協(xié)議才能通過(guò)防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。如防火墻可以禁止諸如眾所周知的不安全的NFS協(xié)議進(jìn)出受保護(hù)網(wǎng)絡(luò)，這樣外部的攻擊者就不可能利用這些脆弱的協(xié)議來(lái)攻擊內(nèi)部網(wǎng)絡(luò)。防火墻同時(shí)可以保護(hù)網(wǎng)絡(luò)免受基于路由的攻擊，如IP選項(xiàng)中的源路由攻擊和ICMP重定向中的重定向路徑。防火墻應(yīng)該可以拒絕所有以上類型攻擊的報(bào)文并通知防火墻管理員。
強(qiáng)化網(wǎng)絡(luò)安全策略
通過(guò)以防火墻為中心的安全方案配置，能將所有安全軟件(如口令、加密、身份認(rèn)證、審計(jì)等)配置在防火墻上。與將網(wǎng)絡(luò)安全問(wèn)題分散到各個(gè)主機(jī)上相比，防火墻的集中安全管理更經(jīng)濟(jì)。例如在網(wǎng)絡(luò)訪問(wèn)時(shí)，一次一密口令系統(tǒng)和其它的身份認(rèn)證系統(tǒng)完可以不必分散在各個(gè)主機(jī)上，而集中在防火墻一身上。
監(jiān)控網(wǎng)絡(luò)存取和訪問(wèn)
如果所有的訪問(wèn)都經(jīng)過(guò)防火墻，那么，防火墻就能記錄下這些訪問(wèn)并作出日志記錄，同時(shí)也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計(jì)數(shù)據(jù)。當(dāng)發(fā)生可疑動(dòng)作時(shí)，防火墻能進(jìn)行適當(dāng)?shù)膱?bào)警，并提供網(wǎng)絡(luò)是否受到監(jiān)測(cè)和攻擊的詳細(xì)信息。另外，收集一個(gè)網(wǎng)絡(luò)的使用和誤用情況也是非常重要的。首先的理由是可以清楚防火墻是否能夠抵擋攻擊者的探測(cè)和攻擊，并且清楚防火墻的控制是否充足。而網(wǎng)絡(luò)使用統(tǒng)計(jì)對(duì)網(wǎng)絡(luò)需求分析和威脅分析等而言也是非常重要的。
防止內(nèi)部信息的外泄
通過(guò)利用防火墻對(duì)內(nèi)部網(wǎng)絡(luò)的劃分，可實(shí)現(xiàn)內(nèi)部網(wǎng)重點(diǎn)網(wǎng)段的隔離，從而限制了局部重點(diǎn)或敏感網(wǎng)絡(luò)安全問(wèn)題對(duì)全局網(wǎng)絡(luò)造成的影響。再者，隱私是內(nèi)部網(wǎng)絡(luò)非常關(guān)心的問(wèn)題，一個(gè)內(nèi)部網(wǎng)絡(luò)中不引人注意的細(xì)節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣，甚至因此而暴漏了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就可以隱蔽那些透漏內(nèi)部細(xì)節(jié)如Finger，DNS等服務(wù)。Finger顯示了主機(jī)的所有用戶的注冊(cè)名、真名，最后登錄時(shí)間和使用shell類型等。但是Finger顯示的信息非常容易被攻擊者所獲悉。攻擊者可以知道一個(gè)系統(tǒng)使用的頻繁程度，這個(gè)系統(tǒng)是否有用戶正在連線上網(wǎng)，這個(gè)系統(tǒng)是否在被攻擊時(shí)引起注意等等。防火墻可以同樣阻塞有關(guān)內(nèi)部網(wǎng)絡(luò)中的DNS信息，這樣一臺(tái)主機(jī)的域名和IP地址就不會(huì)被外界所了解。
數(shù)據(jù)庫(kù)安全
實(shí)現(xiàn)數(shù)據(jù)庫(kù)安全的實(shí)時(shí)防護(hù)
數(shù)據(jù)庫(kù)防火墻通過(guò)SQL 協(xié)議分析，根據(jù)預(yù)定義的禁止和許可策略讓合法的SQL 操作通過(guò)，阻斷非法違規(guī)操作，形成數(shù)據(jù)庫(kù)的外圍防御圈,實(shí)現(xiàn)SQL 危險(xiǎn)操作的主動(dòng)預(yù)防、實(shí)時(shí)審計(jì)。
數(shù)據(jù)庫(kù)防火墻面對(duì)來(lái)自于外部的入侵行為，提供SQL 注入禁止和數(shù)據(jù)庫(kù)虛擬補(bǔ)丁包功能。
其他功能
除了安全作用，防火墻還支持具有Internet服務(wù)特性的企業(yè)內(nèi)部網(wǎng)絡(luò)技術(shù)體系(虛擬專用網(wǎng))。
防火墻的英文名為“FireWall”，它是目前一種最重要的網(wǎng)絡(luò)防護(hù)設(shè)備。從專業(yè)角度講，防火墻是位于兩個(gè)(或多個(gè))網(wǎng)絡(luò)間，實(shí)施網(wǎng)絡(luò)之間訪問(wèn)控制的一組組件集合。
相關(guān)知識(shí)
防火墻在網(wǎng)絡(luò)中經(jīng)常是以兩種圖標(biāo)出現(xiàn)的。一種圖標(biāo)非常形象，真正像一堵墻一樣。而另一種圖標(biāo)則是從防火墻的過(guò)濾機(jī)制來(lái)形象化的，在圖標(biāo)中有一個(gè)二極管圖標(biāo)。而二極管我們知道，它具有單向?qū)щ娦?，這樣也就形象地說(shuō)明了防火墻具有單向?qū)ㄐ?。這看起來(lái)與防火墻過(guò)濾機(jī)制有些矛盾，不過(guò)它卻完全體現(xiàn)了防火墻初期的設(shè)計(jì)思想，同時(shí)也在相當(dāng)大程度上體現(xiàn)了當(dāng)前防火墻的過(guò)濾機(jī)制。因?yàn)榉阑鹱畛醯脑O(shè)計(jì)思想是對(duì)內(nèi)部網(wǎng)絡(luò)總是信任的，而對(duì)外部網(wǎng)絡(luò)卻總是不信任的，所以最初的防火墻是只對(duì)外部進(jìn)來(lái)的通信進(jìn)行過(guò)濾，而對(duì)內(nèi)部網(wǎng)絡(luò)用戶發(fā)出的通信不作限制。當(dāng)然防火墻在過(guò)濾機(jī)制上有所改變，不僅對(duì)外部網(wǎng)絡(luò)發(fā)出的通信連接要進(jìn)行過(guò)濾，對(duì)內(nèi)部網(wǎng)絡(luò)用戶發(fā)出的部分連接請(qǐng)求和數(shù)據(jù)包同樣需要過(guò)濾，但防火墻仍只對(duì)符合安全策略的通信通過(guò)，也可以說(shuō)具有“單向?qū)?rdquo;性。
防火墻的本義是指古代構(gòu)筑和使用木制結(jié)構(gòu)房屋的時(shí)候，為防止火災(zāi)的發(fā)生和蔓延，人們將堅(jiān)固的石塊堆砌在房屋周圍作為屏障，這種防護(hù)構(gòu)筑物就被稱之為“防火墻”。其實(shí)與防火墻一起起作用的就是“門”。如果沒有門，各房間的人如何溝通呢，這些房間的人又如何進(jìn)去呢?當(dāng)火災(zāi)發(fā)生時(shí)，這些人又如何逃離現(xiàn)場(chǎng)呢?這個(gè)門就相當(dāng)于我們這里所講的防火墻的“安全策略”，所以在此我們所說(shuō)的防火墻實(shí)際并不是一堵實(shí)心墻，而是帶有一些小孔的墻。這些小孔就是用來(lái)留給那些允許進(jìn)行的通信，在這些小孔中安裝了過(guò)濾機(jī)制，也就是上面所介紹的“單向?qū)ㄐ?rdquo;。
我們通常所說(shuō)的網(wǎng)絡(luò)防火墻是借鑒了古代真正用于防火的防火墻的喻義，它指的是隔離在本地網(wǎng)絡(luò)與外界網(wǎng)絡(luò)之間的一道防御系統(tǒng)。防火可以使企業(yè)內(nèi)部局域網(wǎng)(LAN)網(wǎng)絡(luò)與Internet之間或者與其他外部網(wǎng)絡(luò)互相隔離、限制網(wǎng)絡(luò)互訪用來(lái)保護(hù)內(nèi)部網(wǎng)絡(luò)。
防火墻相關(guān)文章：