第8章 防火墙技术
计算机网络安全基础_第08章_防火墙技术
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
1．试验网络
在大多数情况下，应该在内部防火墙中设置这样的
网络，并给每个试验网络配置一台路由器并连接到参数
网络。而主要的包过滤工作在连接参数网络与内部主网
的路由器上完成。
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
2．低保密网络 试验网络比较危险，但它对整个内部网的安全构成
的威胁还不是最大的。而许多内部网组织结构里面的资 源本身就固有一些非安全因素。比如，校园网中那些包 含学生公寓网点的部分就被认为是不安全的，单位企业 网中的那些演示网部分、客户培训网部分和开放实验室 网部分都被认为是安全性比较差的。但这些网又比纯粹 的外部网与内部网其它部分的交互要多得多。这些网络 称为低保密网。
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
内部网需要防范的三种攻击有： 间谍：试图偷走敏感信息的黑客、入侵者和闯入者。 盗窃：盗窃对象包括数据、Web表格、磁盘空间和CPU 资源等。 破坏系统：通过路由器或主机／服务器蓄意破坏文件系 统或阻止授权用户访问内部网 （外部网）和服务器。
2019年8月26日3时16分
计算机网络安全基础
8.1 防火墙基本概念
8.1.6 内部防火墙
但有时为了某些原因，我们还需要对内部网的部分 站点再加以保护以免受其它站点的侵袭。因此，有时我 们需要在同一结构的两个部分之间，或者在同一内部网 的两个不同组织结构之间再建立防火墙（也被称为内部 防火墙）。
计算机网络信息安全工程师技术水平证考试大纲
计算机网络信息安全工程师技术水平证书考试大纲一、课程性质、目的和要求计算机网络信息安全工程师技术水平证书考试是一种实践性很强的教育考试，对于考生的基本要求是具有扎实的理论基础和较强的实践能力，达到计算机网络信息安全工程师的水平。
二、考核方式和考核目标1．考试形式：纸卷2．考试分值比例：计算机网络信息安全工程师技术水平证书试卷由理论考试和实践考试两部分组成。
试卷总分值为100分，其中理论题占50分，实践题占50分。
3．考试时间：150分钟。
4．考核目标：要求考生掌握网络信息安全基础理论、网络安全技术与标准、网络安全管理实践及网络信息安全的相关知识。
三、考核知识点《计算机网络信息安全理论与实践教程》第一篇网络信息安全基础理论第1章网络信息安全概论第2章网络攻击原理与常用方法第3章网络安全体系第4章网络安全密码学基本理论第二篇网络安全技术与标准第5章物理与环境安全技术第6章认证技术的原理与应用第7章访问控制技术的原理与应用第8章防火墙技术的原理与应用第9章VPN技术的原理与应用第10章漏洞扫描技术的原理与应用第11章入侵检测技术的原理与应用第12章恶意代码防范技术的原理第13章网络物理隔离技术的原理与应用第14章网络安全新技术第15章网络安全技术相关标准第三篇网络安全管理实践第16章网络安全风险评估技术的原理与应用第17章Windows系统安全第18章UNIX/Linux操作系统安全第19章网络路由设备安全第20章应急响应技术的原理与灾害恢复计算机网络公共部分《计算机网络原理与操作系统》第一部分计算机网络原理第1章计算机网络概述1.1 计算机网络的形成及发展1.2 计算机网络的基本概念1.3 计算机网络的组成与拓扑结构1.4 计算机网络体系结构1.5 计算机网络的功能与应用第2章物理层2.1 数据通信基础2.2 数据交换技术2.3 传输介质2.4 物理层接口与协议第3章数据链路层3.1 数据链路层基础3.2 帧同步功能3.3 差错控制3.4 流量控制3.5 数据链路层协议3.6 协议描述与验证3.7 链路通信规程举例第4章网络层4.1 通信子网的操作方式和网络层提供的服务4.2 路由选择4.3 拥塞控制4.4 网络互连4.5 TCP/IP模型互联层协议第5章传输层5.1 传输服务5.2 TCP/IP体系的传输层5.3 用户数据包协议UDP5.4 传输控制协议TCP第6章会话层及其高层6.1 会话层6.2 表示层6.3 应用层第二部分网络操作系统第11章网络操作系统概述11.1 系统概述11.2 操作系统的形成和发展11.3 操作系统的基本概念第12章网络操作系统的基本功能12.1 进程管理12.2 设备管理12.3 存储管理12.4 文件系统第13章网络操作系统的服务13.1 共享资源的管理13.2 网络资源的访问控制13.3 网络操作系统的安全保护13.4 网络通信应用编程接口第14章Windows Server 2003网络操作系统14.1 Windows Server 2003操作系统简介14.2 Windows Server 2003的体系结构14.3 Windows Server 2003的内存管理14.4 Windows Server 2003的存储和文件系统服务14.5 Windows Server 2003的活动目录第15章Linux网络操作系统15.1 Linux操作系统简介15.2 Linux体系结构15.3 Linux的内存管理15.4 Linux的进程管理15.5 Linux中的文件系统五、题型及样题一、单选题互联网上的服务都是基于一种协议,WWW服务基于( )协议?A.SMIPB.HTTPC.SNMPD.TELNET二、简答题一般来讲，中国机构可以注册哪两种类型的域名？可以通过哪几种方式填写注册申请表？三、综合应用题利用ADSL数据通信网接入Internet是比较普遍的一种方式。
信息安全技术基础
国际标准化委员会定义：“为数据处理系统而采 取的技术的和管理的安全保护，保护计算机硬件、 软件、数据不因偶然的或恶意的原因而遭到破坏 （可用性）、更改（完整性）、显露（机密性）”
2021/5/8
12
信息安全是什么？
管理/人员安全
数据/信息安全
机密性 (Confidentiality)
运行安全
实体/物理安全
挥中心的主计算机系统，导致伊军指挥系统失灵，
整个防空系统随即瘫痪，完全陷入了被动挨打的
境地。
2021/5/8
9
黑客非法入侵
英国电脑奇才贝文，14岁就成功非法侵入英国电信 公司电脑系统，大打免费电话。后来他出、入世界 上防范最严密的系统如入无人之境，如美国空军、 美国宇航局和北约的网络。1996年因涉嫌侵入美国 空军指挥系统，被美国中央情报局指控犯有非法入 侵罪。
可加载病毒和蠕虫 （如脚本病毒….）
2021/5/8
1980s
1990s 5
20005s
Today
2021/5/8
6
2021/5/8
2012 年2月7日 中铁二局网站被黑截图
7
计算机病毒
1988年11月美国康乃尔大学（Cornell University） 的研究生罗伯特.莫里斯(Robert Morris)利用 UNIX操作系统的一个漏洞，制造出一种蠕虫病毒， 造成连接美国国防部、美军军事基地、宇航局和研 究机构的6000多台计算机瘫痪数日，整个经济损失 达9600万美元。
14
计算机安全
➢ 计算机安全（ ISO，国际标准化组织的定义）是指为数据处 理系统建立和采取的技术和管理的安全保护，保护计算机硬 件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和 泄密。
第8章 局域网安全
Page 42/56
十二 五
• • • •
数据加密算法 1、DES加密算法（Data Encryption Standard数据加 密标准） 2、RSA算法 适用于数字签名和密钥交换
Page 33/56
十二 五
• • • • • •
VPN技术 1.隧道技术 （1）GRE （2）L2TP和PPTP 2. 加密技术 3．QoS技术
Page 34/56
十二 五
• • • • •
VPN技术的应用 VPN在局域网中的应用可以分为三种方式： 1、远程接入 2、网络互联 3、内部安全
Page 35/56
Page 18/56
十二 五
• 2. 应用代理防火墙 • 应用代理防火墙也叫应用代理网关防火墙。网关是指在两 个设备之间提供转发服务的系统。这种防火墙能彻底隔断 内外网络的直接通信，内网用户对外网的访问变成防火墙 对外网的访问。所有通信都必须经应用层代理软件转发， 所有访问者都不能与服务器建立直接的TCP连接，应用层 的协议会话过程必须符合代理的安全策略要求。
Cisco PIX 515E防火墙外观
Page 26/56
十二 五
• 防火墙的选购
• • • • • • • • • • • （1）安全性 （2）稳定性 （3）高效性 （4）可靠性 （5）灵活性 （6）配置方便性 （7）管理简便性 （8）抵抗拒绝服务攻击 （9）针对用户身份进行过滤 （10）可扩展性和升级性 （ 11）协同工作能力
• 1．基于主机的入侵检测系统
Page 31/56
十二 五
• 2．基于网络的入侵检测系统
Page 32/56
十二 五
8.4 虚拟专用网（VPN）技术
防火墙技术
第8章 网络安全
8.2.2 防火墙分类
图8.5
屏蔽子网防火墙
第8章 网络安全
8.2.3 防火墙的选择标准和发展方向
1. 选择防火墙标准
总拥有成本 。防火墙产品的总拥有成本不应该超过受保护网 络系统可能遭受最大损失的成本 。 防火墙本身的安全。防火墙本身应该是安全的， 防火墙本身的安全。防火墙本身应该是安全的，不给外部入侵 者可乘之机。 者可乘之机。 管理与培训。管理和培训是评价一个防火墙好坏的重要方面。 管理与培训。管理和培训是评价一个防火墙好坏的重要方面。 人员培训和日常维护费用通常会在总拥有成本中占据较大的比例。 人员培训和日常维护费用通常会在总拥有成本中占据较大的比例。 可扩充性。好产品应该留给用户足够的弹性空间。 可扩充性。好产品应该留给用户足够的弹性空间。 防火墙的安全性能。即防火墙是否能够有效地阻挡外部入侵。 防火墙的安全性能。即防火墙是否能够有效地阻挡外部入侵。
第8章 网络安全
8.2.2 防火墙分类
2. 按结构分类
目前，防火墙按结构可分为简单型和复合型。简单型包括只使用屏 蔽路由器或者作为代理服务器的双目主机结构；复合结构一般包括屏 蔽主机和屏蔽子网。 双目主机结构 双目主机结构防火墙系统主要由一台双目主机构成，具有两个网络 接口，分别连接到内部网和外部网，充当转发器，如图8.5所示。这样， 主机可以充当与这些接口相连的路由器，能够把IP数据包从一个网络接 口转发到另一个网络接口。但是，实现双目主机的防火墙结构禁止这 种转发功能。
第8章 网络安全
8.2.1 防火墙主要技术
3. 应用级代理
代理现在主要用于防火墙。代理服务器通过侦听网络内部客户的 服务请求，检查并验证其合法性，若合法，它将作为一台客户机一样向 真正的服务器发出请求并取回所需信息，最后再转发给客户。代理的工 作流程如图8.4所示。
防火墙技术与应用(第2版)
第7章基于WFP的简单防火墙实现
7.1 WFP简介 7.2基于WFP的包过滤技术原理 7.3思考与实践 7.4学习目标检验
第8章个人防火墙的 应用
第9章开源防火墙的 应用
第10章商业防火墙的 选择与仿真应用
附录部分参考解答或 提示
第8章个人防火墙的应用
8.1 Windows系统个人防火墙 8.2第三方个人防火墙 8.3思考与实践 8.4学习目标检验
第9章开源防火墙的应用
9.1 Linux防火墙 9.2 WAF开源防火墙 9.3思考与实践 9.4学习目标检验
第10章商业防火墙的选择与仿真应用
10.1商业防火墙产品 10.2商业防火墙产品的选择 10.3防火墙的部署 10.4 Cisco Packet Tracer仿真防火墙的应用 10.5 GNS3仿真防火墙的应用 10.6思考与实践 10.7学习目标检验
第3章防火墙技 术要求
第4章防火墙测 评方法
第3章防火墙技术要求
3.1安全功能要求 3.2自身安全要求 3.3性能要求 3.4安全保障要求 3.5思考与实践4.1环境测评 4.2安全功能测评 4.3自身安全测评 4.4性能测评 4.5安全保障测评 4.6思考与实践 4.7学习目标检验
第6章基于NDIS的 简单防火墙实现
第5章基于SPI的简 单防火墙实现
第7章基于WFP的简 单防火墙实现
第5章基于SPI的简单防火墙实现
5.1 Windows平台网络数据包截获技术 5.2基于SPI的包过滤技术 5.3思考与实践 5.4学习目标检验
第6章基于NDIS的简单防火墙实现
6.1 NDIS简介 6.2基于NDIS的包过滤技术原理 6.3思考与实践 6.4学习目标检验
作者介绍
网络安全技术习题第8章习题
第8章1判断题1-1 目前防火墙技术仅应用在防火墙产品中。
（×）1-2 一般来说，防火墙在OSI参考模型中的位置越高，所需要检查的内容就越多，同时CPU 和RAM的要求也就越高。
（√）1-3 防火墙一般采用“所有未被允许的就是禁止的”和“所有未被禁止的就是允许的”两个基本准则，其中前者的安全性要比后者高。
（√）1-4 采用防火墙的网络一定是安全的。
（×）1-5 包过滤防火墙一般工作在OSI参考模型的网络层与传输层，主要对IP分组和TCP/UDP 端口进行检测和过滤操作。
（√）1-6 当硬件配置相同时，代理防火墙对网络运行性能的影响要比包过滤防火墙小。
（×）1-7 在传统的包过滤、代理和状态检测3类防火墙中，只能状态检测防火墙可以在一定程度上检测并防止内部用户的恶意破坏。
（√）1-8 分布式防火墙由于采用了计算机网络的分布式通信特点，所以在实施时只能采用纯软件方式。
（×）1-9 有些个人防火墙是是一款独立的软件，而有些个人防火墙则整合在防病毒软件中使用。
（√）2 填空题2-1 防火墙将网络分割为两部分，即将网络分成两个不同的安全域。
对于接入Internet的局域网，其中局域网属于可信赖的安全域，而Internet属于不可信赖的非安全域。
2-2 为了使管理人员便于对防火墙的工作状态进行了解，一般防火墙都需要提供完善的日志功能。
2-3 防火墙一般分为路由模式和透明模式两类。
当用防火墙连接同一网段的不同设备时，可采用透明模式防火墙；而用防火墙连接两个完全不同的网络时，则需要使用路由模式防火墙。
2-4 状态检测防火墙是在传统包过滤防火墙的基础上发展而来的，所以将传统的包过滤防火墙称为静态包过滤防火墙，而将状态检测防火墙称为动态包过滤防火墙。
3 选择题3-1 以下设备和系统中，不可能集成防火墙功能的是（ A ）A.集线器B. 交换机C. 路由器D. Windows Server 2003操作系统3-2 对“防火墙本身是免疫的”这句话的正确理解是（B ）A. 防火墙本身是不会死机的B. 防火墙本身具有抗攻击能力C. 防火墙本身具有对计算机病毒的免疫力D. 防火墙本身具有清除计算机病毒的能力3-3 在以下各项功能中，不可能集成在防火墙上的是（D ）A. 网络地址转换（NAT）B. 虚拟专用网（VPN）C. 入侵检测和入侵防御D. 过滤内部网络中设备的MAC地址3-4 当某一服务器需要同时为内网用户和外网用户提供安全可靠的服务时，该服务器一般要置于防火墙的（C ）A. 内部B. 外部C. DMZ区D. 都可以3-5 以下关于状态检测防火墙的描述，不正确的是（D ）A. 所检查的数据包称为状态包，多个数据包之间存在一些关联B. 能够自动打开和关闭防火墙上的通信端口C. 其状态检测表由规则表和连接状态表两部分组成D. 在每一次操作中，必须首先检测规则表，然后再检测连接状态表3-6 以下关于传统防火墙的描述，不正确的是（ A ）A. 即可防内，也可防外B. 存在结构限制，无法适应当前有线和无线并存的需要C. 工作效率较低，如果硬件配置较低或参数配置不当，防火墙将成形成网络瓶颈D. 容易出现单点故障3-7 在分布式防火墙系统组成中不包括（ D ）A. 网络防火墙B. 主机防火墙C. 中心管理服务器D. 传统防火墙3-8 下面对于个人防火墙的描述，不正确的是（ C ）A. 个人防火墙是为防护接入互联网的单机操作系统而出现的B. 个人防火墙的功能与企业级防火墙类似，而配置和管理相对简单C. 所有的单机杀病毒软件都具有个人防火墙的功能D. 为了满足非专业用户的使用，个人防火墙的配置方法相对简单3-9 下面对于个人防火墙未来的发展方向，描述不准确的是（ D ）A. 与xDSL Modem、无线AP等网络设备集成B. 与防病毒软件集成，并实现与防病毒软件之间的安全联动C. 将个人防火墙作为企业防火墙的有机组成部分D. 与集线器等物理层设备集成。
网络安全平时作业与复习提纲(含答案)
1、描述五种基本安全技术的方法和作用.（第一章）P14答：1).防火墙技术：内部网络（可信赖的网络)和外部网络（不可信赖的网络)之间的屏障，按照安全规则来控制数据包的进出。
工作方式：过滤器：检查数据包的来源和目的地；数据包内容扫描:根据规定接收或拒绝数据包；数据包模式检查：是否符合已知“友好”数据包的位模式。
2）．加密技术：信息的重新组合，使得只有收发双方才能解码并还原信息的一种手段。
目前,加密正逐步被集成到系统和网络中，如IETF正在发展的下一代网际协议IPv6.硬件方面，Intel公司也在研制用于PC机和服务器主板的加密协处理器。
3）.身份认证技术：防火墙是系统的第一道防线，用以防止非法数据的侵入，而安全检查的作用则是阻止非法用户.认证方式：密码、人体生理特征(如指纹）的识别、智能IC卡或USB盘4）.数字签名技术：证明消息确实是由发送者签发的；验证数据或程序的完整性5）。
内容检查技术：反病毒软件可以清除E—mail病毒；完善防火墙可以对付新型Java和ActiveX病毒2、描述替代密码和置换密码所使用的加密方法。
（第二章）P20替代密码：明文中的每一个字符被替换为另外一个字符得到密文;逆替换恢复明文置换密码：重排明文的字母顺序得到密文；逆重排恢复明文3、描述D-H算法的过程与作用。
(第四章）P57用于密钥分配，其安全性基于计算离散对数的困难性。
DH算法过程：1）、相互产生密钥对2）、交换公钥3）、用对方的公钥和自己的私钥运行DH算法得到一个密钥X4）、A产生一个对称加密密钥加密数据，同时用密钥X加密这个对称的加密密钥并发送给B5）、B用密钥X解密对称的加密密钥,得到对称的加密密钥6）、B用这个对称的加密密钥来解密A的数据4、描述PGP系统的过程与作用.（第四章)PGP(Pretty Good Privacy）：基于RSA与IDEA的开源的加密邮件软件发送方•生成新的IDEA密钥k(对称)•用对方RSA公钥加密k，用k加密邮件信息m，一起发送接收方•用本方RSA私钥解密得到k•用k解密邮件信息5、描述同步洪水攻击（SYN FLOOD）的目的、所利用的协议机制和攻击方法。
防火墙技术PPT
防火墙技术
1.5 防火墙技术发展动态和趋势
（1）优良的性能 （2）可扩展的结构和功能 （3）简化的安装与管理 （4）主动过滤 （5）防病毒与防黑客
返回本节
防火墙技术
2 防火墙技术
2.1 防火墙的技术分类 2.2 防火墙的主要技术及实现方式 2.3 防火墙的常见体系结构
返回本章首页
防火墙技术ຫໍສະໝຸດ 表1 两种防火墙技术返回本节
防火墙技术
2.2 防火墙的主要技术及实现方式
1．双端口或三端口的结构 2．透明的访问方式 3．灵活的代理系统 4．多级的过滤技术 5．网络地址转换技术（NAT） 6．网络状态监视器
防火墙技术
7．Internet网关技术 8．安全服务器网络（SSN） 用户鉴别与加密 10．用户定制服务 11．审计和告警 12．应用网关代理
用全静态数据包检验技术来防止非法的网络接入 和防止来自Internet的“拒绝服务”攻击，它还 可以限制局域网用户对Internet的不恰当使用。
防火墙技术
Office Connect Internet Firewall DMZ可支持多达100个局域网用户，这使局域网 上的公共服务器可以被Internet访问，又不会使 局域网遭受攻击。
防火墙技术
（4）代理技术的优点 1）代理易于配置。 2）代理能生成各项记录。 3）代理能灵活、完全地控制进出流量、内容。 4）代理能过滤数据内容。 5）代理能为用户提 供透明的加密机制。 6）代理可以方便地与其他 安全手段集成。
防火墙技术
（5）代理技术的缺点 1）代理速度较路由器慢。 2）代理对用户不透 明。 3）对于每项服务代理可能要求不同的服务 器。 4）代理服务不能保证免受所有协议弱点的 限制。 5）代理不能改进底层协议的安全性。
防火墙技术的原理与应用PPT课件
.
12
第8章 防火墙技术的原理与应用
除此之外，防火墙还有一些脆弱点，例如:
* 防火墙不能完全防止感染病毒的软件或文件传输。防火 墙是网络通信的瓶颈，因为已有的病毒、操作系统以及加密和 压缩二进制文件的种类太多，以致于不能指望防火墙逐个扫描 每个文件查找病毒，而只能在每台主机上安装反病毒软件。
* 防火墙不能防止基于数据驱动式的攻击。当有些表面看 来无害的数据被邮寄或复制到主机上并被执行而发起攻击时， 就会发生数据驱动攻击效果。防火墙对此无能为力。
(1) 只允许符合安全规则的包通过防火墙，其他通信包禁 止。
(2) 禁止与安全规则相冲突的包通过防火墙，其他通信包都 允许。
.
7
第8章 防火墙技术的原理与应用
内 部网 络 受 到禁 止 通 信流
禁止
允 许通 过 通 信流 允许
外 部网 络
通 信被 禁 止 ， 因 为不 符 合 安全 规则
到 外网 通 信
* 协同防御。目前，防火墙和入侵检测系统通过交换信息 实现联动，根据网络的实际情况配置并修改安全策略，增强网 络安全。
.
11
第8章 防火墙技术的原理与应用
8.1.3 防火墙缺陷
尽管防火墙有许多防范功能，但它也有一些力不能及的 地方，因为防火墙只能对通过它的网络通信包进行访问控制， 所以对未经过它的网络通信就无能为力了。例如，如果允许 从内部网络直接拨号访问外部网络，则防火墙就失效了，攻 击者通过用户拨号连接直接访问内部网络，绕过防火墙控制， 也能造成潜在的攻击途径。
.
3
第8章 防火墙技术的原理与应用
在安全区域划分的基础上，通过一种网络安全设备，控 制安全区域间的通信，就能实现隔离有害通信的作用，进而 可以阻断网络攻击。这种安全设备的功能类似于防火使用的 墙，因而人们就把这种安全设备俗称为“防火墙”，它一般 安装在不同的安全区域边界处，用于网络通信安全控制，由 专用硬件或软件系统组成。
计算机信息安全技术
计算机信息安全技术计算机信息安全技术是一门由密码应用技术、信息安全技术、数据灾难与数据恢复技术、操作系统维护技术、局域网组网与维护技术、数据库应用技术等组成的计算机综合应用学科。
学科组成密码应用技术：主要用于保障计算机信息的机密性、完整性和抗御外部入侵等。
信息安全技术：主要用于防止系统漏洞、防止外部黑客入侵、防御病毒破坏和对可疑访问进行有效控制等。
数据灾难与数据恢复技术：一旦计算机发生意外、灾难等，可使用备份还原及数据恢复技术将丢失的数据找回。
国际领的数据恢复技术研发机构效率源就曾针对地震灾害、洪涝灾害等特殊数据恢复难题推出过相应的灾难数据恢复解决方案。
操作系统维护技术：操作系统作为一切操作的平台，在进行相应的计算机信息安全处理前必须对操作平台有一个系统全面的了解。
编辑本段培养目标培养掌握系统与网络安全的基本理论与病毒防范、黑客攻击手段分析与防范技术，能熟练应用信息安全产品，熟悉信息安全管理规范，具有开发、维护和管理信息安全系统能力的高等技术应用性人才。
编辑本段主要课程第1章计算机信息安全概述1.1威胁计算机信息安全的因素1.2计算机信息安全研究的内容1.2.1计算机外部安全1.2.2计算机内部安全1.2.3计算机网络安全1.30SI信息安全体系1.3.1安全服务1.5.2容错设计1.5.3故障恢复策略习题1第2章密码与隐藏技术2.1密码技术概述2.2古典加密方法2.2.1代替密码2.2.2换位密码2.2.3对称加密体制2.3数据加密标准DES 2.3.1DES算法描述 2.3.2DES 算法加密过程 2.3.3DES算法解密过程2.3.4三重DES算法 2.4高级加密标准AES 2.4.1AES算法数学基础 2.4.2AES算法概述2.4.3AES算法加密过程 2.4.4AES算法解密过程 2.4.5AES算法安全性 2.5公开密钥体制2.6RSA算法2.6.1RSA算法数学基础2.6.2RSA 算法基础2.6.3RSA算法过程2.6.4RSA算法安全性2.10.2数字水印主要特性2.10.3数字水印分类2.10.4典型数字水印算法2.10.5数字水印应用2.10.6数字水印攻击习题2第3章数字签名与认证3.1数字签名概述3.1.1数字签名原理3.1.2数字签名标准DSS3.1.3PGP电子邮件加密3.2单向散列函数3.2.1单向散列函数特点3.2.2MD5 算法3.2.3SHA 算法3.2.4SHA-1 与MD5 的比较3.3Kerberos身份验证3.3.1 什么是Kerberos3.3.2Kerberos 工作原理3.4公开密钥基础设施PKI3.4.1数字证书3.4.2PKI基本组成3.4.3对PKI的性能要求3.4.4PKI的标准3.5用户ID与口令机制3.5.1用户认证ID3.5.2不安全口令3.5.3安全口令3.5.4 口令攻击3.5.5改进方案3.6生物特征识别技术3.6.1生物特征识别系统组成3.6.2指纹识别3.6.3虹膜识别3.6.4其他生物识别技术3.7智能卡习题3第4章计算机病毒与黑客4.1计算机病毒概述4.1.1计算机病毒的定义4.5.2木马的基本原理4.5.3特洛伊木马的启动方式4.5.4特洛伊木马端口4.5.5特洛伊木马的隐藏4.5.6特洛伊木马分类4.5.7特洛伊木马查杀4.6计算机病毒与黑客的防范习题4第5章网络攻击与防范5.1网络安全漏洞5.2目标探测5.2.1目标探测的内容5.2.2目标探测的方法5.3扫描概念和原理5.3.1扫描器概念5.3.2常用端口扫描技术5.3.3防止端口扫描5.4网络监听5.4.1网络监听原理5.4.2网络监听检测与防范5.4.3嗅探器Sniffer介绍5.5缓冲区溢出5.5.1缓冲区溢出原理5.5.2缓冲区溢出攻击方法5.5.3防范缓冲区溢出5.6拒绝服务5.6.1拒绝服务DDoS5.6.2分布式拒绝服务DDoS5.6.3DDoS攻击的步骤5.6.4防范DDoS攻击的策略5.7欺骗攻击与防范5.7.1IP欺骗攻击与防范5.7.2IP地址盗用与防范5.7.3DNS欺骗与防范5.7.4Web欺骗与防范5.8网络安全服务协议5.8.1安全套接层协议SSL5.8.2传输层安全协议TLS5.8.3安全通道协议SSH5.8.4安全电子交易SET5.8.5网际协议安全IPSec5.9无线网安全5.9.1IEEE 802.11b 安全协议5.9.2IEEE 802.11i 安全协议5.9.3WAPI安全协议5.9.4扩展频谱技术习题5第6章防火墙技术6.1防火墙概述6.1.1防火墙的概念6.1.2防火墙的主要功能6.1.3防火墙的基本类型6.2防火墙的体系结构6.2.1筛选路由器结构6.2.2双宿主主机结构6.2.3屏蔽主机网关结构6.2.4屏蔽子网结构6.3防火墙技术6.3.1包过滤技术6.3.2代理服务技术6.3.3电路层网关技术习题6第7章入侵检测技术7.1入侵检测系统概述7.2入侵检测一般步骤7.3入侵检测系统分类7.3.1根据系统所检测的对象分类7.3.2根据数据分析方法分类7.3.3根据体系结构分类7.4入侵检测系统关键技术7.5.3智能入侵检测系统7.6入侵检测系统标准化7.6.1入侵检测工作组IDWG7.6.2通用入侵检测框架CIDF7.7入侵检测系统Snort7.8入侵检测产品选购习题7第8章数字取证技术8.5数字取证常用工具习题8第9章操作系统安全9.5.1PAM 机制9.5.2安全审计9.5.3强制访问控制9.5.4用户和文件配置9.5.5网络配置9.5.6Linux 安全模块LSM9.5.7加密文件系统9.6Linux安全配置习题9第10章数据备份与恢复10.1数据备份概述10.2系统数据备份10.2.1磁盘阵列RAID技术10.2.2系统还原卡10.2.3克隆大师Ghost10.2.4其他备份方法10.3用户数据备份10.3.1Seco nd Copy 2000习题10第11章软件保护技术11.1软件保护技术概述11.2静态分析技术11.2.1文件类型分析11.2.2W32Dasm11.2.3IDA Pro 简介11.2.4可执行文件代码编辑工具11.2.5可执行文件资源编辑工具11.3.1SoftlCE 调试器11.3.20llyDbg 调试器11.4常用软件保护技术11.4.1序列号保护机制11.4.2 警告（NAG ）窗口1143时间限制1144时间段限制1145注册保护11.4.6功能限制11.4.7光盘软件保护11.4.8软件狗11.4.9软盘保护技术11.4.10反跟踪技术11.4.11网络软件保护11.4.12补丁技术11.5软件加壳与脱壳11.5.1壳”的概念11.5.2壳”的加载11.5.3软件加壳工具介绍11.5.4软件脱壳11.6设计软件保护的建议习题11第12章实验指导实验1加密与隐藏实验2破解密码实验3网络漏洞扫描］实验4冰河”黑客工具实验5网络监听工具Sniffer实验6个人防火墙配置实验7入侵检测软件设置实验8Windows 2000/XP/2003 安全设置实验9系统数据备份实验10用户数据备份实验11数据恢复实验12软件静态分析实验13资源编辑工具实验14软件动态分析编辑本段图书基本信息书名:计算机网络与信息安全技术售价：28.0元，为你节省0.0元折扣：100折|作者:俞承杭编著出版社：机械工业出版社出版日期：2008-3-1ISBN : 9787111233886字数：451000页码：279版次：1装帧：平装内容提要本书从分析信息安全问题的起因着手，分析了网络攻击和信息安全风险，并在此基础上介绍了信息安全的理论和技术体系，针对信息安全的不同环节给出了不同的技术实现方法。
922721-邵兵家《电子商务概论》(第4版)-08
28
8.3.4 对称密钥和公开密钥的结合
DES/IDEA和RSA结合的加密技术
8.4 认证技术
30
8.4.1 基本概念
证书：CA是certificate authority的缩写，意思是“证书授权”。 RA(Release Auditing)：RA 即证书发放审核部门，它是CA认证
一般尽量不开多余帐号,也不允许远程登录到防火墙。 管理员可以根据机构所需要的服务在应用层网关上安装相应的代理模块。 除了基本的代理模块外,应用层网关还维持自己的用户库和对象库。 应用层网关另外一个重要特征是身份认证。
18
三、应用层网关防火墙
应用层网关防火墙的特点：
管理员通过配置访问控制表中的访问规则决定内部网络、外部网络的哪些用户可以 使用应用层网关上的那个代理模块连接到那个目的站点。
未经授权的内部访问 未经授权的外部访问 电子欺骗 特洛伊木马 渗透 泛洪
14
8.2.2 防火墙技术 一、防火墙系统设计
主要考虑： 机构的整体安全策略 防火墙的经济费用 防火墙系统的组成
15
二、包过滤路由器
包过滤路由器允许或拒绝所接收的每个数据包。 包过滤路由器工作在网络层,所以也把防火墙分为网络层防火墙和应用层防火墙。
(9)比较是否匹配
数字签名
(7)收件人用发件人的公钥解密
原始 报文摘要
➢ 3.身份认证技术 ➢ 4.数字时间戳 ➢ 5.数字凭证(digital certificate,digital ID)
8.4.3 数据加密和身份认证原理
信息加密与身份认证原理
38
8.5 安全技术协议
39
8.5.1 安全套层协议（SSL） 一、简介
防火墙技术的原理与应用ppt课件
* 防火墙不能防止基于数据驱动式的攻击。当有些表面看 来无害的数据被邮寄或复制到主机上并被执行而发起攻击时， 就会发生数据驱动攻击效果。防火墙对此无能为力。
* 防火墙不能完全防止后门攻击。防火墙是粗粒度的网络 访问控制，某些基于网络隐蔽通道的后门能绕过防火墙的控制， 例如http tunnel等。
完整编辑ppt
8.1.1 防火墙技术背景
目前，各组织机构都是通过便利的公共网络与客户、合作 伙伴进行信息交换的，但是，一些敏感的数据有可能泄露给第 三方，特别是连上因特网的网络将面临黑客的攻击和入侵。为 了应对网络威胁，连网的机构或公司将自己的网络与公共的不 可信任的网络进行隔离，其方法是根据网络的安全信任程度和 需要保护的对象，人为地划分若干安全区域，这些安全区域有：
完整编辑ppt
5
第8章 防火墙技术的原理与应用
外部网络
路由器
防火墙
内部网络
图8-1 防火墙部署安装示意图
完整编辑ppt
6
第8章 防火墙技术的原理与应用
防火墙根据网络包所提供的信息实现网络通信访问控制： 如果网络通信包符合网络访问控制策略，就允许该网络通信包 通过防火墙，否则不允许，如图8-2所示。防火墙的安全策略 有两种类型，即：
≥ 1024
25
允 许
25
≥ 1024 允 许
≥ 1024
25
允 许
25
≥ 1024 允 许
any
any
拒 绝
完整编辑ppt
17
第8章 防火墙技术的原理与应用
包过滤型防火墙对用户透明，合法用户在进出网络时，感 觉不到它的存在，使用起来很方便。在实际网络安全管理中， 包过滤技术经常用来进行网络访问控制。下面以Cisco IOS为 例，说明包过滤器的作用。Cisco IOS有两种访问规则形式， 即标准IP访问表和扩展IP访问表，它们的区别主要是访问控制 的条件不一样。标准IP访问表只是根据IP包的源地址进行。标 准IP访问控制规则的格式如下：
第八章 信息安全基础知识
2. 应用级网关（Application Level Gateway）
应用级网关主要控制对应用程序的访问，它能够对进出的数据包进 行分析、统计，防止在受信任的服务器与不受信任的主机间直接建 立联系。而且它还提供一种监督控制机制，使得网络内3所示。
图8-4 代理服务防火墙功能模型
代理服务器收到用户对某站点的访问请求后，便立即检查该请求是 否符合规则。若规则允许用户访问该站点，代理服务器便会以客户 身份登录目的站点，取回所需的信息再发回给客户。 代理服务器将所有跨越防火墙的通信链路分为两段，外部用户只能 看到该代理服务器而无法获知任何内部资料，如IP地址，从而起到 了隔离防火墙内、外计算机系统的作用。
8.2.3 计算机病毒的分类
目前，全球的计算机病毒有几万种，对计算机病毒的分类方法也 存在多种，常见的分类有以下几种：
（1）按病毒存在的媒体分类
引导型病毒 文件型病毒
混合型病毒
（2）按病毒的破坏能力分类
良性病毒
恶性病毒
（3）按病毒传染的方法分类
驻留型病毒
非驻留型病毒
（4）按照计算机病毒的链接方式分类
不能防范受到病毒感染的软件或文件在网络上传输 很难防止数据驱动式攻击
8.3.2 防火墙的基本类型
典型的防火墙系统通常由一个或多个构件组成，相应地，实现防火 墙的技术包括以下四大类：
1. 包过滤防火墙（Packet Filtering Firewall）
包过滤防火墙，又称网络级防火墙，通常由一台路由器或一台充当 路由器的计算机组成，如图8-2所示。
破坏性
计算机病毒的最终目的是破坏系统的正常运行，轻则降低速度，影 响工作效率；重则删除文件内容、抢占内存空间甚至对硬盘进行格式 化，造成整个系统的崩溃。
第八章 防火墙与入侵检测技术
第八章防火墙与入侵检测技术一、选择题1.防火墙是计算机网络安全中常用到的一种技术，它通常被用在。
A LAN内部B LAN和WAN之间C PC和PC之间D PC和LAN之间标准答案：B2.为HTTP协议开放的端口是。
A 80B 139C 135D 99标准答案：A3.防火墙一般由分组过滤路由器和两部分组成。
A 应用网关B 网桥C 杀毒软件D防病毒卡标准答案：A4，下列选项是入侵检测常用的方法。
A 模式匹配B 统计分析C 静态配置分析D 完整性分析标准答案：C5，如果内部网络的地址网段为192.168.1.0/24 ，需要用到防火墙的功能，才能使用户上网。
A 地址映射B 地址转换C IP地址和MAC地址绑定功能D URL过滤功能标准答案：B6.下面哪种安全技术被称为是信息安全的第一道闸门？。
A 入侵检测技术B 防火墙技术C 防病毒技术D 加密技术标准答案：B7.下面哪种安全技术被称为是信息安全的第二道闸门？。
A 防火墙技术B 防病毒技术C 入侵检测技术D 加密技术标准答案：C8.下列不属于系统安全的技术是。
A 防火墙B 加密狗C 认证D 防病毒标准答案：B9.电路级网关是以下哪一种软/硬件的类型？。
A 防火墙B 入侵检测软件C 入侵防御软件D 商业支付程序标准答案：A10. 对于防火墙不足之处，描述错误的是。
A无法防护基于操作系统漏洞的攻击B 无法防护端口反弹木马的攻击C 无法防护病毒的侵袭D 无法进行带宽管理标准答案：D11.防火墙对数据包进行状态检测包过滤时，不可以进行过滤的是。
A 源和目的IP地址B 源和目的端口C IP协议号D 数据包中的内容标准答案：D12.包过滤防火墙不能对进行过滤。
A IP地址B 病毒C 协议D 端口标准答案：B13，加强网络安全性的最重要的基础措施是。
A 设计有效的网络安全策略B 选择更安全的操作系统C 安装杀毒软件D 加强安全教育标准答案：A14. 下面关于包过滤描述错误的是。
国防《计算机信息安全技术》课后习题答案第8章
第8章防火墙技术习题参考答案1．简述防火墙的定义。
答：防火墙是一种隔离控制技术。
它是位于两个信任程度不同的网络之间的能够提供网络安全保障的软件或硬件设备的组合，它对两个网络之间的通讯进行控制，按照统一的安全策略，阻止外部网络对内部网络重要数据的访问和非法存取，以达到保护系统安全的目的。
2．防火墙的主要功能有哪些？又有哪些局限性？答：主要功能：①过滤进出网络的数据信息。
②管理进出网络的访问行为。
③便于集中安全保护。
④对网络存取和访问进行监控审计。
⑤实施NA T技术的理想平台。
局限性：①防火墙不能防范不经过防火墙的攻击。
②防火墙不能防范网络内部的攻击。
③防火墙不能防范内部人员的泄密行为。
④防火墙不能防范因配置不当或错误配置引起的安全威胁。
⑤防火墙不能防范利用网络协议的缺陷进行的攻击。
⑥防火墙不能防范利用服务器系统的漏洞进行的攻击。
⑦防火墙不能防范感染病毒文件的传输。
⑧防火墙不能防范本身安全漏洞的威胁。
⑨防火墙不能防范人为的或自然的破坏。
3．什么是堡垒主机？堡垒主机有哪几种类型？堡垒主机的作用是什么？答：堡垒主机是一种被强化的可以防御进攻的主机。
根据不同的安全要求，有单宿主堡垒主机、双宿主堡垒主机和受害堡垒主机3种类型。
堡垒主机基本上都被放置在网络的周边或非军事区，作为进入内部网络的一个检查点，从而把整个网络的安全问题都集中在堡垒主机上解决。
4．什么是DMZ？为什么要设立DMZ？DMZ中一般放置哪些设备？答：DMZ（Demilitarized Zone，非军事区或隔离区）指为不信任系统服务的孤立网段。
它把内部网络中需要向外提供服务的服务器集中放置到一个单独的网段，与内部网络隔离开，这个网段就是DMZ。
它解决了需要公开的服务与内部网络安全策略相矛盾的问题。
DMZ区中一般放置堡垒主机、提供各种服务的服务器和Modem池。
5．屏蔽路由器体系结构的优缺点是什么？答：屏蔽路由器体系结构的优点是结构简单，容易实现，成本低廉。
防火墙技术
图8-5 包过滤防火墙工作示意图
包过滤防火墙应用示例
3． 包过滤防火墙的应用特点
包过滤防火墙是一种技术非常成熟、应用非 常广泛的防火墙技术，具有以下的主要特点：
（1） 过滤规则表需要事先进行人工设置，规则 表中的条目根据用户的安全要求来定。
（2） 防火墙在进行检查时，首先从过滤规则表 中的第1个条目开始逐条进行，所以过滤规则表中 条目的先后顺序非常重要。
防火墙的应用
防火墙在网络中的位置 防火墙多应用于一个局域网的出口处
（如图（a）所示）或置于两个网络中间 （如图（b）所示）。
图 防火墙在网络中的位置
使用了防火墙后的网络组成
防火墙是构建可信赖网络域的安全产 品。如图所示，当一个网络在加入了防火 墙后，防火墙将成为不同安全域之间的一 个屏障，原来具有相同安全等级的主机或 区域将会因为防火墙的介入而发生变化 .
防火墙的定义
防火墙的本义原是指古代人们房屋之间 修建的墙，这道墙可以防止火灾发生的 时候蔓延到别的房屋，如图所示。
防火墙的定义
这里所说的防火墙不是指为了防火而造的墙，而是指隔离在本地网络 与外界网络之间的一道防御系统。
在互联网上，防火墙是一种非常有效的网络安全系统，通过它可以隔 离风险区域（Internet或有一定风险的网络）与安全区域（局域网）的连接 ，同时不会妨碍安全区域对风险区域的访问，网络防火墙结构如图所示。
图8-7 状态检测防火墙的工作示意图
5． 状态检测防火墙的应用特点
状态检测防火墙具有以下的主要特点：
（1） 与静态包过滤防火墙相比，采用 动态包过滤技术的状态检测防火墙通过对 数据包的跟踪检测技术，解决了静态包过 滤防火墙中某些应用需要使用动态端口时 存在的安全隐患，解决了静态包过滤防火 墙存在的一些缺陷。
《计算机网络技术基础》课件第八章
8.2 网络加密技术
16
2 非对称加密技术
非对称加密技术使用非对称加密算法，也称为公用密钥算法。在非对称加密算法中，用作 加密的密钥与用作解密的密钥不同，而且解密密钥不能根据加密密钥计算出来。
8.1 网络安全基础
6
概括起来，一个安全的计算机网络应具有以下特征。
（1）完整性
（2）保密性
（3）可用性
• 指网络中的信息 安全、精确和有 效，不因种种不 安全因素而改变 信息原有的内容、 形式和流向，确 保信息在存储或 传输过程中不被 修改、破坏或丢 失。
• 指网络上的保密 信息只供经过允 许的人员，以经 过允许的方式使 用，信息不泄露 给未授权的用户、 实体或过程，或 供其利用。
在网络上传输采用对称加密技术的加密文件时，当把密钥告诉对方时，很容易被其他人窃 听到。而非对称加密方法有两个密钥，且其中的“公钥”是公开的，收件人解密时只要用自 己的“私钥”即可解密，由于“私钥”并没有在网络中传输，这样就避免了密钥传输可能出 现的安全问题。
非对称密码技术成功地解决了计算机网络安全的身份认证、数字签名等问题，推动了包括 电子商务在内的一大批网络应用的不断深入和发展。非对称加密算法的典型代表是RSA算法。
网络安全是指网络系统的硬件、软件及数据受到保护，不遭受偶然的或者恶意的破坏、更 改、泄露，系统能够连续、可靠、正常地运行，网络服务不中断。从本质上讲，网络安全问 题主要就是网络信息的安全问题。凡是涉及网络上信息的保密性、完整性、可用性、真实性 和可控性的相关技术和理论，都是网络安全的研究领域。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
版权所有，盗版必纠
8.2.2 应用网关技术
• 应用网关技术是建立在网络应用层上的协 议过滤: • 它针对特定的网络应用服务协议进行过滤， 并且能够对数据包进行分析并形成相关的 报告。 • 它的另一个功能是对通过的信息进行记录， 如什么样的用户在什么时间连接了什么站 点。在实际工作中，应用网关一般由专用 工作站系统来完成。
版权所有，盗版必纠
8.2.2 应用网关技术
• 应用层网关在较高层次上实现了内外网络通信的监控与 管理，它的安全性较包过滤防火墙有了很大提高，
但这是以牺牲应用层的透明性为代价的。 • 对于客户来说，它是一个服务器，对服务器来说，它是一 个客户。 • 应用网关在客户和服务器之间建立了一个虚拟连接。其工 作原理如图8.3所示。
版权所有，盗版必纠
8.1.5 防火墙的其它功能
• 防火墙好像大门上的锁，主要职能是保护 内部网络的安全。由于防火墙处于内部网 络和外部网络之间这个特殊位置，因此， 防火墙上还可以添加一些其它功能，主要 包括： • 网络地址转换：通过防火墙将内部私有地 址转换为全球公共地址。 • 用户身份验证：对一个特定用户的身份进 行校验，判断是否合法。 • 网络监控：对通过防火墙的信息进行监控。
版权所有，盗版必纠
8.2.1包过滤技术
版权所有，盗版必纠
8.2.1包过滤技术
• • • • 数据包过滤规则“ 端口号:可以达到阻止或允许到特定服务连接的目的. 协议号:来达到阻止或允许协议的连接. 包过滤防火墙检查每一个传入包，查看包中可用的 基本信息（源地址和目的地址、端口号、协议等）。 然后，将这些信息与设立的规则相比较。如果已经 设立了阻断telnet连接，而包的目的端口是23的话， 那么该包就会被丢弃。如果允许传入Web连接，而 目的端口为80，则包就会被放行。
版权所有，盗版必纠
8.2.2 应用网关技术
• 该技术的优点是：它易于记录并控制所有 的进出通信，并对Internet的访问做到内 容级的过滤，控制灵活而全面，安全性高； 应用级网关具有:
– 登记、日志、统计和报告功能; – 又很好的审计功能; – 还可以具有严格的用户认证功能。
• 缺点是：需要为每种应用写不同的代码，
版权所有，盗版必纠
8.1.1 防火墙的定义
• 防火墙（Firewall）一词来源于早期的欧式建筑，它
是建筑物之间的一道矮墙，用来防止发生火灾时火势蔓 延。在计算机网络中，防火墙通过对数据包的筛选和屏 蔽，可以防止非法的访问进入内部或外部计算机网络。 因此，防火墙可以定义为：位于可信网络与不可信网络 之间并对二者之间流动的数据包进行检查的一台、多台 计算机或路由器。如图8.1所示。通常内部网络是可信 的和安全的，外部网（如Internet）是不可信和不安全 的。
版权所有，盗版必纠
8.2.1包过滤技术
• 多个复杂规则的组合也是可行的。如果允 许Web连接，但只针对特定的服务器，目 的端口和目的地址二者必须与规则相匹配， 才可以让该包通过。 • 最后，可以确定当一个包到达时，如果对 该包没有规则被定义，接下来将会发生什 么事情了。通常，为了安全起见，与传入 规则不匹配的包就被丢弃了。如果有理由 让该包通过，就要建立规则来处理它。
做出判断。若匹配条件值为真，那么就进行处理。
• 处理方式主要有以下几种：
– 接受：允许通过。 – 拒绝：拒绝信息通过，通知发送信息的信息源。 – 丢弃：直接丢弃信息，不通知信息源。
版权所有，盗版必纠
8.1.4 防火墙的特点
防火墙的优点主要包括： • 可以完成整个网络安全策略的实施。防火墙可以 把通信访问限制在可管理范围内。 • 可以限制对某种特殊对象的访问。如限制某些用 户对重要服务器的访问。 • 具有出色的审计功能，可以对网络连接的记录和 审计、历史记录、故障记录等都具有很好的审计 功能。 • 可以对有关的管理人员发出警告。 • 可以将内部网络结构隐藏起来。
版权所有，盗版必纠
8.1.2 防火墙的发展历史
版权所有，盗版必对内部网络与外部网络的通信数据 包进行筛选，那么它必然要有一些规则来判定哪 些数据包是合法的，哪些是非法的。这种安全规 则也可称为安全策略。 • 防火墙安全规则由匹配条件和处理方式两部分组 成。 • 匹配条件是一些逻辑表达式，用于对通信流量是否合法
第8章 防火墙技术
版权所有，盗版必纠
概
述
防火墙是网络安全的第一道防线，在网络安全 中有着不可或缺的重要作用。本章主要介绍防 火墙的一些基本概念、实现技术、体系结构和 发展趋势等。
版权所有，盗版必纠
目
• • • • • • • • •
录
第8章 防火墙技术 8.1 防火墙概述 8.2 防火墙技术 8.3 防火墙的体系结构 8.4 防火墙的硬件实现技术 8.5 防火墙的性能指标 8.6 防火墙常见功能指标 8.7 防火墙的常见产品介绍 8.8 防火墙的发展趋势
版权所有，盗版必纠
8.1.2 防火墙的发展历史
• 第一代防火墙技术几乎与路由器同时出现，它采用包过滤 技术，主要由附加在边界路由器上的访问控制列表ACL构 成。 • 实践证明，因为网络协议的复杂性，路由器的ACL无法满 足实际需要，于是诞生了代理型防火墙，也就是电路层网 关和应用层网关。当时具有非常重要的意义。 • 1992年，USC信息科学院的BobBraden开发了基于动态 包过滤技术（Dynamic Packet Filter）的新一代防火墙， 后来演变为所说的状态监视技术。 • 1994年，Check point公司开发了第一个基于动态包过 滤技术的防火墙产品。1998年，美国网络联盟公司NAI （Network Associate Inc.）发明了一种自适应代理 （Adaptive Proxy）技术，并在其产品Gauntlet Firewall for NT中得以实现，赋予了代理型防火墙全新 的意义。表8.1总结了防火墙的发展历史。
版权所有，盗版必纠
8.2.1包过滤技术
• 本质上，包过滤防火墙是多址的，表明它有两个 或两个以上网络适配器或接口。例如，作为防火 墙的设备可能有两块网卡（NIC），一块连到内 部网络，一块连到公共的Internet。防火墙的任 务，就是作为“通信警察”，指引包和截住那些 有危害的包。 • 包过滤技术在防火墙上的应用非常广泛。因为 CPU用来处理包过滤的时间相对很少，且这种防 护措施对用户透明，合法用户在进出网络时，根 本感觉不到它的存在，使用起来很方便。此外， 因为包过滤技术不保留前后连接信息，所以很容 易实现允许或禁止访问。
版权所有，盗版必纠
8.1.4 防火墙的特点
• 对于个人用户来说，安装一个简单的个人防火墙就可以屏 蔽掉绝大数非法的探测和访问。它不仅可以防止入侵者对 主机的端口、漏洞进行扫描，还能阻止木马进入主机。总 之，防火墙能够减轻内部网络被入侵和破坏的危险，使得 内部网络的机密数据得到保护。 • 但是防火墙和其它任何技术一样，也有其弱点。 • 不能防止不经过它的攻击和不能防止授权访问的攻击。 • 只能对配置的规则有效，不能防止没有配置的访问。 • 不能防止通过社交工程手段的攻击和一个合法用户的攻击 行为 • 不能防止针对一个设计上有问题的系统攻击。
版权所有，盗版必纠
8.2.1包过滤技术
• 建立包过滤防火墙规则的例子如下： • 对来自专用网络的包，只允许来自内部地址的包通过，因 为其它包包含不正确的包头部信息。这条规则可以防止网络 内部的任何人通过欺骗性的源地址发起攻击。而且，如果黑 客对专用网络内部的机器具有了不知从何得来的访问权，这 种过滤方式可以阻止黑客从网络内部发起攻击。 • 在公共网络，只允许目的地址为80端口的包通过。这条规 则只允许传入的连接为Web连接。这条规则也允许与Web连 接使用相同端口的连接，所以它并不是十分安全。 • 丢弃从公共网络传入的包，而这些包都有你的网络内的 源地址，从而减少IP欺骗性的攻击。 • 丢弃包含源路由信息的包，以减少源路由攻击。通过忽 略源路由信息，防火墙可以减少这种方式的攻击。
版权所有，盗版必纠
8.2.2 应用网关技术
• 应用网关（Application Gateway）接受内、外 部网络的通信数据包，并根据自己的安全策略进 行过滤，不符合安全协议的信息被拒绝或丢弃。 • 与包过滤防火墙不同的是，它不使用通用目标机 制来允许各种不同种类的通信，而是针对每个应 用使用专用目的的处理方法。虽然这样做看起来 有些麻烦，但却比任何其它方法安全得多，因为 不必担心不同过滤规则集之间的交互影响及对外 部提供安全服务的主机中的漏洞，而只需仔细检 查选择的应用程序。
版权所有，盗版必纠
8.1.4 防火墙的特点 • 防火墙技术已经成为网络安全中必不可少 的安全措施。到目前为止，防火墙技术发 展得已经比较成熟。下面对防火墙的核心 技术做一个介绍。
版权所有，盗版必纠
8.2.1包过滤技术
• 包过滤（Packet Filtering）技术是防火墙在网 络层中根据数据包中包头信息有选择地实施允许 通过或阻断。 • 第一代防火墙也是最基本形式的防火墙——包过 滤防火墙，按照防火墙内事先设定的过滤规则， 对每一个通过的网络包头部进行检查，根据数据 包的源地址、目的地址、TCP/UDP源端口号、 TCP/UDP目的端口号及数据包头中的各种标志位 等因素来确定是否允许数据包通过，其核心是安 全策略即过滤规则的设计。包过滤原理如图8.2 所示。
维护比较困难，另外就是速度较慢。
版权所有，盗版必纠
8.2.3 电路级网关技术
• 电路级网关也被称为线路级网关，它工作在会话层。它在两个主 机首次建立TCP连接时创立一个电子屏障。 • 它作为服务器接收外来请求、转发请求； • 与被保护主机连接时，则担当客户机的角色，起代理服务的作用。 • 它监视两主机建立连接时的握手信息，如SYN、ACK等标志和序 列号等是否合乎逻辑，判定该会话请求是否合法。一旦会话连接 有效后，网关仅复制、传递数据，而不进行过滤。 • 电路网关中特殊的客户程序只在初次连接时进行安全协商控制， 其后就透明了。只有懂得如何与该电路网关通信的客户机才能到 达防火墙另一边的服务器。在不同方向上拒绝发送上传和下载命 令，就可限制FTP服务的使用。如不允许上传命令的输入，外部 用户就不能将文件上传到FTP服务器破坏其内容；如不允许上传 命令输出，则不可能将信息存储在网点外部的FTP服务器上。 • 这种技术的防火墙的安全性比较高，但它仍不能检查应用层的数 据包以消除应用层攻击的威胁。