华南农业大学彭思喜电商安全第4章防火墙技术.ppt

防火墙是设置在被保护网络和外部网络之间的一道屏障，实现网络的安全保护，以防止发生不可预测的、潜在破坏性的侵入。防火墙本身具有较强的抗攻击能力，它是提供信息安全服务、实现网络和信息安全的基础设施。 第一代防火墙：采用了包过滤（Packet Filter）技术。 第二、三代防火墙：1989年，推出了电路层防火墙，和应用层防火墙的初步结构。 第四代防火墙：1992年，开发出了基于动态包过滤技术的第四代防火墙。 第五代防火墙：1998年，NAI公司推出了一种自适应代理技术，可以称之为第五代防火墙。 设置防火墙的目的和功能 （1）防火墙是网络安全的屏障 （2）防火墙可以强化网络安全策略 （3）对网络存取和访问进行监控审计 （4）防止内部信息的外泄 防火墙的局限性 （1）限制有用的网络服务 （2）防火墙防外不防内。 （3）Internet防火墙无法防范通过防火墙以外的其他途径的攻击。 （4）防火墙不能完全防止传送感染病毒的软件或文件 （5）防火墙不能防止新的网络安全问题。 防火墙的技术分类 1．包过滤防火墙 2．代理防火墙 包过滤防火墙 （1）数据包过滤技术的发展：静态包过滤、动态包过滤。 （2）包过滤的优点：不用改动应用程序、一个过滤路由器能协助保护整个网络、数据包过滤对用户透明、过滤路由器速度快、效率高。 包过滤防火墙 （3）包过滤的缺点： 不能彻底防止地址欺骗； 一些应用协议不适合于数据包过滤； 正常的数据包过滤路由器无法执行某些安全策略； 安全性较差 ； 数据包工具存在很多局限性。 代理防火墙 代理防火墙的原理： 代理防火墙通过编程来弄清用户应用层的流量，并能在用户层和应用协议层间提供访问控制；而且，还可用来保持一个所有应用程序使用的记录。记录和控制所有进出流量的能力是应用层网关的主要优点之一。 代理技术的优点 1）代理易于配置。 2）代理能生成各项记录。 3）代理能灵活、完全地控制进出流量、内容。 4）代理能过滤数据内容。 5）代理可以方便地与其他安全手段集成。 代理技术的缺点 1）代理速度较路由器慢。 2）代理对用户不透明。 3）对于每项服务代理可能要求不同的服务器。 4）代理服务不能保证免受所有协议弱点的限制 5）代理不能改进底层协议的安全性。 两种防火墙技术的对比 防火墙的常见体系结构 1．屏蔽路由器 2．双穴主机网关 3．屏蔽主机网关 4．被屏蔽子网 屏蔽路由器 屏蔽路由器 屏蔽路由器作为内外连接的唯一通道，要求所有的报文都必须在此通过检查。路由器上可以装基于IP层的报文过滤软件，实现报文过滤功能。许多路由器本身带有报文过滤配置选项，但一般比较简单。 屏蔽路由器的缺点 （1）没有或有很简单的日志记录功能，网络管理员很难确定网络系统是否正在被攻击或已经被入侵。 (2) 规则表随着应用的深化会变得很大而且很复杂。 (3) 依靠一个单一的部件来保护网络系统，一旦部件出现问题，会失去保护作用，而用户可能还不知道。 双穴主机网关 双穴主机网关 这种配置是用一台装有两块网卡的堡垒主机做防火墙。两块网卡各自与受保护网和外部网相连，每块网卡都有独立的IP地址。堡垒主机上运行着防火墙软件(应用层网关)，可以转发应用程序，也可提供服务等功能 双穴主机网关的优点 双穴主机网关优于屏蔽路由器的地方是：堡垒主机的系统软件可用于维护系统日志、硬件拷贝日志或远程日志。这对于日后的检查很有用。但这不能帮助网络管理者确认内网中哪些主机可能已被黑客入侵。 双穴主机网关的缺点 双穴主机网关的一个致命弱点是：一旦入侵者侵入堡垒主机并使其只具有路由功能，则任何网上用户均可以随便访问内网。 屏蔽主机网关 屏蔽主机网关 屏蔽主机网关包括一个分组过滤路由器连接外部网络，同时一个堡垒主机安装在内部网络上，通常在路由器上设立过滤规则，并使这个堡垒主机成为从外部网络惟一可直接到达的主机，这确保了内部网络不受未被授权的外部用户的攻击。进出内部网络的数据只能沿图中的虚线流动。 屏蔽主机网关的特性 危险带限制在堡垒主机和屏蔽路由器。网关的基本控制策略由安装在上面的软件决定。如果攻击者设法登录到它上面，内网中的其余主机就会受到很大威胁。这与双穴主机网关受攻击时的情形差不多。 被屏蔽子网 被屏蔽子网 这种方法是在内部网络和外部网络之间建立一个被隔离的子网，用两台分组过滤路由器将这一子网分别与内部网络和外