16.模块四 网络边界安全设计.pptx

;;;;;防火墙的部署与实施

所有防火墙共享一些通用属性：

（1）防火墙可抵御网络攻击。

（2）防火墙是组织内部网络和外部网络之间唯一的中转站，因为所有流量均流经防火墙。

（3）防火墙强制执行访问控制策略。

在网络中使用防火墙有以下好处：

（1）防止将敏感的主机、资源和应用暴露给不受信任的用户。

（2）净化协议流，防止协议缺陷被利用。

（3）阻止来自服务器和客户端的恶意数据。

（4）通过将大多数网络中的访问控制功能转移到防火墙上来降低安全管理的复杂性。;数据包过滤（无状态）防火墙;数据包过滤（无状态）防火墙：

通常是能够根据一组配置好的规则过滤某些数据包内容（例如第3层信息，有时是第4层信息）的路由器;状态防火墙：

最通用和最常用的防火墙。状态防火墙使用状态表中所维护的连接信息来提供有状态数据包过滤，如图所示。有状态数据包过滤是在网络层分类的防火墙架构之上，其还可分析OSI第4层和第5层的流量。;代理防火墙（应用网关防火墙）：

用于过滤OSI参考模型的第3、4、5和7层的信息。大多数防火墙控制和过滤是使用软件完成的。当客户端需要访问远程服务器时，将连接到代理服务器，代理服务器代表客户端连接到远程服务器，如图所示。因此，服务器只看到来自代理服务器的连接;防火墙产品选型;防火墙的安全策略

硬件防火墙最少有3个接口：内网口（高安全级别）、外网口（低安全级别）和DMZ口（中等安全级别），它们之间的关系应能满足“外网口可以访问DMZ口，不能直接访问内网口；DMZ口可以访问外网口，不能访问内网口；内网口可以访问外网和DMZ口”，如图所示。;;IDS的部署策略

IDS一般旁路连接在网络中各个关键位置。;;IPS的部署策略。

IPS不但能够检测入侵的发生，而且还能实时终止入侵行为。IPS在网络中采用串接式连接。IPS是网关型设备，最好串接在网络的出口处，IPS经常部署在网关出口的防火墙和路由器之间，监控和保护内部网络，如图所示。;;