13防火墙技术

②防火墙设计策略：
允许访问除明确拒绝以外的任何服务。
拒绝访问除明确许可以外的任何服务。
(2)验证工具
由于传统口令的弱点导致网络泄密的偶发事件很难预防（弱口令、明文传输、落后的加密算法）。因此，必须在防火墙上使用先进的验证措施，如智能卡、验证令牌、生物统计学、一次性口令系统等，保证不能被临时连接的攻击者重复使用。
(2)防火墙主要技术指标
·吞吐量：在不丢包的情况下防火墙能够达到的最大速率。吞吐量是衡量防火墙性能的重要指标之一。吞吐量小就会造成网络瓶颈，影响网络的性能。（单向80%的线速，双向50%线速）
·时延：防火墙入口处输入帧最后一个比特到达至出口处输出帧的第一个比特输出所用的时间间隔，即帧的接收时间与帧的检测时间之和。防火墙的时延体现它处理数据的速度。（10%线速下的延迟）
越来越多的客户端和服务器端的应用程序本身就支持代理服务方式。比如，许多WWW客户服务软件包就具有代理能力，而许多象SOCKS这样的软件在运行编译时也支持类代理服务。
包过滤系统向着更具柔性和多功能的方向发展。比如动态包过滤系统，在CheckPoint Firewall-1、Karl Brige/Karl Brouter以及Morning Star Secure Connect router中的包过滤规则可由路由器灵活、快速的来设置。一个输出的UDP数据包可以引起对应的允许应答UDP创立一个临时的包过滤规则，允许其对应的UDP包进入内部网。
④增强保密性：防火墙可通过关闭不必要的服务（DNS、Finger）来隐藏系统的有关信息。
⑤提供网络使用日志和统计：防火墙可以提供每次访问记录信息及各种有价值的统计数字。
⑥执行安全访问策略：防火墙可以提供和执行网络访问策略，向用户和服务提供访问控制。
(4)防火墙的分类
根据防火墙所采用的技术不同,可以分为四种基本类型:包过滤型、网络地址转换—NAT、代理型和监测型。
·防火墙不能防止本身的安全漏洞的威胁。防火墙保护别人有时却无法保护自己，目前还没有厂商绝对保证防火墙不会存在安全漏洞。
5防火墙的未来发展趋势----------------------------------------------(约15分钟)
自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统，提出了防火墙概念后，防火墙技术得到了飞速的发展，混合使用包过滤技术、代理服务技术和其它一些新技术的防火墙正向我们走来。
2防火墙的组成------------------------------------------------------(约15分钟)
(1)网络策略
网络策略分为高级策略和低级策略两种。高级策略发布专用的网络访问策略；低级策略描述如何尽力限制访问，并过滤高级策略所定义的服务。
①服务访问策略：因特网专用使用策略或所有外部网络访问策略。
①包过滤型：防火墙的初级产品,其技术依据是网络中的包传输技术。防火墙通过读取数据包中的地址信息来判断这些“包”是否来自可信任的安全站点,一旦发现来自危险站点的数据包,防火墙便会将这些数据拒之门外。系统管理员也可以根据实际情况灵活制订判断规则。
包过滤技术的优点是简单实用,实现成本较低,在应用环境比较简单的情况下,能够以较小的代价在一定程度上保证系统的安全。
但包过滤技术的缺陷也是明显的。包过滤技术是一种完全基于网络层的安全技术,只能根据数据包的来源、目标和端口等网络信息进行判断,无法识别基于应用层的恶意侵入,如恶意的Java程序以及电子邮件中附带的病毒。有经验的黑客很容易伪造IP地址,骗过包过滤型防火墙。
②网络地址转换—NAT：网络地址转换是把IP地址转换成临时的、外部的、注册的IP地址。它允许具有私有IP地址的内部网络访问因特网。它还意味着用户不需要为网络中每一台机器取得注册的IP地址。
·防火墙不能解决来自内部网络的攻击和安全问题。如果防火墙内部的一个合法用户主动泄密，防火墙是无能为力的。
·防火墙是个被动的安全策略执行设备，不能防止策略配置不当或错误配置引起的安全威胁。
·防火墙不能防止可接触的人为或自然的破坏。防火墙是一个安全设备，但防火墙本身必须存在于一个安全的地方。
·防火墙不能防止利用标准网络协议中的缺陷进行的攻击。一旦防火墙准许某些标准网络协议，防火墙不能防止利用该协议中的缺陷进行的攻击。
(3)包过滤
包过滤技术是一种简单、有效的安全控制技术，它通过在网络间相互连接的设备上加载允许、禁止来自某些特定的源地址、目的地址、TCP端口号等规则，对通过设备的数据包进行检查，限制数据包进出内部网络。
包过滤是防火墙的基本功能，现在的防火墙已经由最初的地址、端口判定控制，发展到判断通信报文协议头的各部分，以及通信协议的应用层命令、内容、用户认证、用户规则甚至状态检测等等。特别是状态监测技术，一般加载一个检测模块，即可在不影响网络正常工作的前提下，在网络层截取数据包，然后在所有的通信层上抽取有关的状态信息，据此判断该通信是否符合安全策略。由于它是在网络层截获数据包的，因此它可以支持多种协议和应用程序，并可以很容易地实现应用的扩充。
(4)应用网关
通过应用软件转发和过滤TELNET和FTP等连接服务的应用叫做代理服务，运行代理服务的系统称为应用网关。
应用网关检查所有应用层的信息包，并将检查的内容信息放入决策过程，从而提高网络的安全性。但应用网关具有可伸缩性差的缺点，因为它是通过打破客户机／服务器模式实现的，每个客户机／服务器通信需要两个连接：一个是从客户端到防火墙，另一个是从防火墙到服务器。另外，每个代理需要一个不同的应用进程，或一个后台运行的服务程序，对每个新的应用必须添加针对此应用的服务程序，否则就不能使用该服务。
(3)防火墙系统结构
常见防火墙一般有以下几种形式：
•多堡垒主机；
•合并内部路由器与外部路由器；
•合并堡垒主机与外部路由器；
•合并堡垒主机与内部路由器；
•使用多台内部路由器；
•使用多台外部路由器；
•使用多个周边网络；
•使用双重宿主主机与屏蔽子网。
(4)评价标准
总的说来，一个好的防火攻击、DoS攻击和Syn Flood攻击的能力。
(3)设置防火墙的必要性
①服务控制：防火墙可以通过过滤不安全的服务（协议）来降低子网所面临的风险，防止基于路由器选择的攻击。
②网页控制：防火墙可以提供对受保护网点的访问控制，防止非法访问。
③安全性集中：可以将子网的所有或大部分需要改动的软件以及附加的安全软件能集中地放在防火墙系统中，而不是分散到每个主机中，这样防火墙的保护就相对集中一些，也相对经济一些。尤其对于密码口令系统或其他的身份认证软件等，放在防火墙系统中更是优于放在每个通过Internet能访问的机器上。
课时2课时
第16周第1-2课时2009年12月12日
课题：防火墙技术
一、教学目的：
学习防火墙技术的基本概念，讲解防火墙的基本原理，掌握防火墙的组成及其实现技术。
二、教学重点：
防火墙的组成及其实现技术。
三、教学难点：
防火墙的组成及其实现技术。
四、教学方法：
以投影仪辅助讲解为主
五、教学用具：
黑板、多媒体计算机、投影仪、CAI课件
3防火墙设计--------------------------------------------------------(约15分钟)
在设计防火墙时，网络管理员必须确定防火墙的姿态、系统整体安全策略、经济费用和防火墙的系统结构。
(1)防火墙的姿态
①拒绝没有明确允许的任何服务：基于该准则,防火墙封锁所有信息流,然后对希望提供的服务逐项开放。这可以提供一种十分安全的环境,因为只有经过仔细挑选的服务才被允许使用。其缺点是,安全性高于用户使用的方便性,用户所能使用的服务范围受限制。
作为当前防火墙产品的主流趋势,大多数代理服务器(也称应用网关)也集成了包过滤技术,这两种技术的混合应用显然比单独使用具有更大的优势。
④监测型：监测型防火墙是新一代的产品,这一技术实际已经超越了最初的防火墙定义。监测型防火墙能够对各层的数据进行主动的、实时的监测,在对这些数据加以分析的基础上,监测型防火墙能够有效地判断出各层中的非法入侵。同时,这种检测型防火墙产品一般还带有分布式探测器,这些探测器安置在各种应用服务器和其他网络的节点之中,不仅能够检测来自网络外部的攻击,同时对来自内部的恶意破坏也有极强的防范作用。据权威机构统计,在针对网络系统的攻击中,有相当比例的攻击来自网络内部。因此,监测型防火墙不仅超越了传统防火墙的定义,而且在安全性上也超越了前两代产品。
4防火墙的局限性-----------------------------------------------------(约15分钟)
防火墙是网络上使用最多的安全设备，是网络安全的重要基石。只有认识到防火墙的局限性和脆弱性，才能更好地认识和使用防火墙，确保网络的安全运行。
·防火墙不能防范不经过防火墙的攻击。防火墙无法检查没有经过防火墙的数据。
•所有在内部网络和外部网络之间传输的数据都必须通过防火墙；
•只有被授权的合法数据，即防火墙系统中安全策略允许的数据，可以通过防火墙；
•防火墙本身不受各种攻击的影响；
•使用当前最先进的技术，如现代密码技术、一次口令系统、智能卡；
•人机界面良好，用户配置使用方便，易管理。系统管理员可以方便地对防火墙进行设置，对Internet的访问者、被访问者、访问协议以及访问方式进行控制。
·丢包率：在连续负载下，防火墙由于资源不足应转发而未转发（被丢弃）帧的百分比。防火墙的丢包率对其稳定性、可靠性有很大影响。（0%-50%）
·缓冲容量：从空闲状态开始，以达到传输介质最小合法间隔极限的传输速率发送固定长度的帧，当出现第一个丢失帧之前发送的帧的总数。
·并发连接数：穿越防火墙的主机之间或主机与防火墙之间能同时建立的最大连接数。并发连接数主要反映了防火墙建立和维持TCP连接的性能，体现了防火墙对来自于客户端的TCP连接请求的响应能力。（500000-1000000）