数据库安全之--防火墙

数据库安全之--防火墙
姓名：陆超
学号：1503121711
防火墙有很多分类，可以分为硬件防火墙和软件防火墙。

硬件防火墙是一台独立的硬件设备，它吞吐量大，处理速度快。

它具有一些强大的额外功能（相对软件防火墙来说），例如：支持VPN，CF（内容过滤），DoS、DDoS入侵检测，IPS入侵防护等。

硬件防火墙虽然是硬件，其实它里面也有软件，它是把软件防火墙给烧录进去。

软件防火墙其实仅是一套软件，它需要安装在操作系统中（如Linux、Windows），且需要消耗操作系统的资源。

下图是一款思科的硬件防火墙产品。

防火墙有很多分类，可以分为硬件防火墙和软件防火墙。

硬件防火墙是一台独立的硬件设备，它吞吐量大，处理速度快。

它具有一些强大的额外功能（相对软件防火墙来说），例如：支持VPN，CF（内容过滤），DoS、DDoS入侵检测，IPS 入侵防护等。

硬件防火墙虽然是硬件，其实它里面也有软件，它是把软件防火墙给烧录进去。

软件防火墙其实仅是一套软件，它需要安装在操作系统中（如Linux、Windows），且需要消耗操作系统的资源。

防火墙还可以分为单机防火墙和网络防火墙，网络防火墙也叫网关防火墙。

网络防火墙为整个网络中的计算机提供防御；而单机防火墙只为防火墙所在的机器提供防御，如每台WINDOW XP都有一个单机防火墙，每台LINUX也默认有一套单机防火墙。

此外，对于数据库来说，还有专门的防火墙，叫“数据库防火墙”。

1、“包过滤”防火墙
那么，防火墙是如何防止外敌入侵的呢？在此之前，我们需要大致了解TCP/IP包（Packet）头的构成（如下图所示）。

数据是以包（Packet）的形式在网络中进行传输的。

一个包通常由2大部分组成：控制部分（metadata）和数据部分。

从包的结构中，可以得到数据的“源地址（Source Address）”和“目标地址（Destination Address）”，“源端口（Source Port）”和“目标端口（Destination Port）”（见图）。

防火墙正式基于这些信息狙击入侵者的。

当一个包（如来自数据库客户端）通过防火墙时，防火墙会基于一定的规则对该包进行检查，如检查包的发送者是不是合法的IP（如合法的数据库客户端），包的目标是不是特定的数据库服务器？如果检查通过，包会被允许穿过防火墙。

如果检查未通过，则该包会被丢弃（Drop）（发送者什么都不知道，犹如石沉大海）,或者会给发送者返回（反馈）错误信息（reject）。

我们把前面描述的这种防御方式叫“包过滤”（这也就是通常意义上的“包过滤防火墙”）。

“包过滤”可工作在OSI模型（见下图）的
“包过滤”又可分为“有连接（stateful）”和“无连接（stateless）”两种。

“有连接（stateful）”是指防火墙会记录通过的连接状态信息，维护相应的连接状态数据库，基于同一连接的数据包可免于重复检查，这样将提高数据包传输效率，“无连接（stateless）”是对每一个数据包进行检查，通常意义上会导致网络响应缓慢，这两种方式各有优缺点，在实际应用中可根据自身需求进行选择。

以下是“包过滤防火墙”的例子：
从网络安全的角度保护数据库，主要可从两方面来考虑，首先将重要的数据库服务器划分到单独的VLAN之中，与其它服务器隔离开来，在数据链路层实现逻辑隔离；其次通过网络硬件防火墙对数据库服务器进行保护，阻止未授权IP （用户）访问数据库，禁止一些服务器访问数据库的服务端口等。

如上图所示，假设DB服务器在vlan10，其它服务器在VLAN20. DB服务器的IP地址段是192.168.10.0/24, 其它服务器的IP地址段是192.168.20.0/24,来自Internet的恶意访问IP地址是202.106.20.20.防火墙是Fortigate防火墙，防火墙的IP地址是192.168.20.1。

数据库的服务端口是1521.
下面分两种情况分析如何利用防火墙保护数据库：
1.阻止来自Internet的恶意IP地址访问数据库；
2.阻止其它服务器访问数据库的服务端口1521；
首先通过SSH远程登录到防火墙上：
ssh –l admin 192.168.20.1// 以管理员身份登录防火墙
配置防火墙的策略地址：
config firewall address
edit DB-address
set subnet 192.168.10.0 255.255.255.0
next
edit Server-address
set subnet 192.168.20.0 255.255.255.0
next
edit Attacker-address
set subnet 202.106.20.20 255.255.255.255
next
end
配置防火墙的策略服务端口：
config firewall service custom
edit "DB1521"
set protocol TCP/UDP
set tcp-portrange 1521-1521:1-65535
next
end
配置防火墙策略阻止来自Internet的恶意IP地址访问数据库：
config firewall policy
edit 10
set srcintf "Untrust"
set dstintf "Trust"
set srcaddr " Attacker-address "
set dstaddr " DB-address "
set action deny
set schedule "always"
set service "ANY"
next
end
配置防火墙策略阻止来自其它服务器的IP访问数据库的1521端口：
config firewall policy
edit 11
set srcintf "DMZ"
set dstintf "Trust"
set srcaddr " Server-address "
set dstaddr " DB-address "
set action deny
set schedule "always"
set service "DB1521"
next
end
注意：以上策略阻止了两种对数据库的访问，防火墙在策略的尾部隐含的缺省策略是阻止所有访问，需要添加策略配置，允许其它对数据库有正常访问需求的访问。

2、应用层防火墙
“包过滤防火墙”有一定的优势，但是，它的安全性有一定的缺陷，因为系统对应用层信息无感知，也就是说，防火墙只检查单独的包，它并不理解将这些包组合起来后会是什么内容，这些包属于哪些上层应用程序，所以，这种机制可能被黑客所利用。

要解决这种问题，就需要更上层的防火墙，我们把这种防
火墙叫做“应用层防火墙”，“应用层防火墙”工作在TCP/IP的应用层（参考上图），使用浏览器时所产生的数据流或是使用FTP、TELNET时的数据流都是属于这一层。

应用层防火墙可以拦截进/出某应用程序的所有的包，拦截包时，直接将包丢弃。

应用层防火墙可以阻止蠕虫和特洛伊木马的传播。

“应用层防火墙”跨越OSI或者TCP/IP所有的层，因此会增加网络延迟，降低应用程序的运行速度，但是，应用层防火墙将使数据库运行在一个更加安全的环境。

以下是某款应用层防火墙（基于WEB）的安全特性：
1 HTTP RFC符合性
2 WEB应用漏洞扫描
3 WEB应用防护
4网页篡改防护，内容安全
5抗“拒绝服务”攻击
以下是另外一款应用层防火墙的安全特性：
1拦截 SQL注入行为
2保护IIS网站，
3防止 POST木马上传
4 IIS强制广告
5文件防盗链
6 Windows用户创建拦截功能
7远程桌面白名单保护功能
8 POST访问白名单监控模式
9网站入侵访问审计功能
10网页挂马清除
在windows平台，每台机器上自带了一套应用层防火墙（软件防火墙，单机防火墙），该防火墙可拦截可疑的进程，可以设置白名单和黑名单。

如果数据库运行在Windows平台（不推荐数据库运行在WINDOWS，但是，还有不少的企业这么做），防火墙是必须的，它能拦截可疑的进程，阻止它们对数据库的破坏。

国内有很多防火墙产品，不过，这些防火墙大都是家用型的，如天网防火墙、江民防火墙、瑞星防火墙等。

有关应用层防火墙的安装和配置，请参考相关文档。

当然，防火墙的技术也在日新月异。

今天，大家更关注下一代防火墙。

下一代防火墙，面向应用安全、基于用户防护，高效转发，多层级冗余架构、全方位可视化。

下一代防火墙更加强大和安全，它将为数据库提供一个安全、可靠的运行环境。