防火墙与入侵检测-张换梅

2015/12/10
11
信息技术与工程学院
以管理员身份安装该软件，安装完毕后，启动 “WinRoute Administration”，WinRoute的管理界面如 图9-5所示。
2015/12/10
12
信息技术与工程学院
默认情况下，该密码为空。点击按钮“OK”，进入系统管理。当系统安装 完毕以后，该主机就将不能上网，需要修改默认设置，点击工具栏图标， 出现本地网络设置对话框，然后查看“Ethernet”的属性，将两个复选 框全部选中，如图9-6所示。
安全区域 工作站
不准访问除堡垒主机以外的主机 只允许外部与堡垒主机通信
服务器
台式PC
打印机
查找对应的策略
堡垒主机
数据包 防火墙
数据包
Internet网工程学院
双宿主堡垒主机模型
双宿主堡垒主机模型（屏蔽防火墙系统）可以构造更加安全的防 火墙系统。双宿主堡垒主机有两种网络接口但是主机在两个端口 之间直接转发信息的功能被关掉了。在物理结构上强行将所有去 往内部网络的信息经过堡垒主机。双宿主堡垒主机模型如图9-25 所示。
协议类型 TCP
2015/12/10
22
信息技术与工程学院
利用WinRoute建立访问规则，如图9-15所 示。
2015/12/10
23
信息技术与工程学院
设置访问规则以后，再访问主机“172.18.25.109”的FTP 服务，将遭到拒绝，如图9-16所示。
2015/12/10
24
信息技术与工程学院
2015/12/10
7
信息技术与工程学院
防火墙的分类
常见的放火墙有三种类型：1、分组过滤防火墙；2、应 用代理防火墙；3、状态检测防火墙。 分组过滤（Packet Filtering）：作用在协议组的网络层和 传输层，根据分组包头源地址、目的地址和端口号、 协议类型等标志确定是否允许数据包通过，只有满足 过滤逻辑的数据包才被转发到相应的目的地的出口端， 其余的数据包则从数据流中丢弃。 应用代理（Application Proxy）：也叫应用网关 （Application Gateway），它作用在应用层，其特点是 完全“阻隔”网络通信流，通过对每种应用服务编制 专门的代理程序，实现监视和控制应用层通信流的作 用。实际中的应用网关通常由专用工作站实现。 状态检测（Status Detection）：直接对分组里的数据进行 处理，并且结合前后分组的数据进行综合判断，然后 决定是否允许该数据包通过。
18
信息技术与工程学院
为了使设置的规则生效，点击按钮“应用”，如图9-12所 示。
2015/12/10
19
信息技术与工程学院
设置完毕，该主机就不再响应外界的“Ping”指令了，使 用指令“Ping”来探测主机，将收不到回应，如图9-13 所示。
2015/12/10
20
信息技术与工程学院
虽然主机没有响应，但是已经将事件记录到安全日志了。 选择菜单栏“View”下的菜单项“Logs>Security Logs”，察看日志纪录如图9-14所示。
防火墙
防火墙
防火墙
内部网络
堡垒主机
外部网络
2015/12/10
30
信息技术与工程学院
创建防火墙的步骤
成功的创建一个防火墙系统一般需要六步： 第一步：制定安全策略; 第二步：搭建安全体系结构; 第三步：制定规则次序; 第四步：落实规则集; 第五步：注意更换控制; 第六步：做好审计工作.
2015/12/10 31 信息技术与工程学院
应用代理防火墙
应用代理（Application Proxy）是运行在防火墙上的一种服务器程序， 防火墙主机可以是一个具有两个网络接口的双重宿主主机，也可 以是一个堡垒主机。代理服务器被放置在内部服务器和外部服务 器之间，用于转接内外主机之间的通信，它可以根据安全策略来 决定是否为用户进行代理服务。代理服务器运行在应用层，因此 又被称为“应用网关”。
2015/12/10
26
信息技术与工程学院
筛选路由器模型
筛选路由器模型是网络的第一道防线，功能是实施包过滤。创建 相应的过滤策略时对工作人员的TCP/IP的知识有相当的要求，如 果筛选路由器被黑客攻破那么内部网络将变的十分的危险。该防 火墙不能够隐藏你的内部网络的信息、不具备监视和日志记录功 能。典型的筛选路由器模型如图9-23所示。
组序号 1 2 动作 允许 允许 源IP 10.1.1.1 * 目的IP * 10.1.1.1 源端口 * 20 目的端口 * * 协议类型 TCP TCP
3
禁止
*
10.1.1.1
20
<1024
TCP
2015/12/10
10
信息技术与工程学院
用WinRoute创建包过滤规则
WinRoute目前应用比较广泛，既可以作为一个服务器的 防火墙系统，也可以作为一个代理服务器软件。目前 比较常用的是WinRoute4.1，安装文件如图9-4所示。
由于防火墙假设了网络边界和服务，因此适合于相对独 立的网络，例如Intranet等种类相对集中的网络。 Internet上的Web网站中，超过三分之一的站点都是有 某种防火墙保护的，任何关键性的服务器，都应该放 在防火墙之后。
2015/12/10
5
信息技术与工程学院
防火墙的必要性
随着世界各国信息基础设施的逐渐形成，国与国之间 变得“近在咫尺”。Internet已经成为信息化社会发展 的重要保证。已深入到国家的政治、军事、经济、文 教等诸多领域。许多重要的政府宏观调控决策、商业 经济信息、银行资金转帐、股票证券、能源资源数据、 科研数据等重要信息都通过网络存贮、传输和处理。 因此，难免会遭遇各种主动或被动的攻击。例如信息 泄漏、信息窃取、数据篡改、数据删除和计算机病毒 等。因此，网络安全已经成为迫在眉睫的重要问题， 没有网络安全就没有社会信息化
2015/12/10
13
信息技术与工程学院
利用WinRoute创建包过滤规则，创建的规则内容是：防 止主机被别的计算机使用“Ping”指令探测。选择菜 单项“Packet Filter”，如图9-7所示。
2015/12/10
14
信息技术与工程学院
在包过滤对话框中可以看出目前主机还没 有任何的包规则，如图9-8所示。
进行包过滤
路由器
内部网络
外部网络
2015/12/10
27
信息技术与工程学院
单宿主堡垒主机模型
单宿主堡垒主机（屏蔽主机防火墙）模型由包过滤路由器和堡垒 主机组成。该防火墙系统提供的安全等级比包过滤防火墙系统要 高，因为它实现了网络层安全（包过滤）和应用层安全（代理服 务）。所以入侵者在破坏内部网络的安全性之前，必须首先渗透 两种不同的安全系统。单宿主堡垒主机的模型如图9-24所示。
2015/12/10
6
信息技术与工程学院
防火墙的局限性
没有万能的网络安全技术，防火墙也不例外。防 火墙有以下三方面的局限： 防火墙不能防范网络内部的攻击。比如：防火墙 无法禁止变节者或内部间谍将敏感数据拷贝到 软盘上。 防火墙也不能防范那些伪装成超级用户或诈称新 雇员的黑客们劝说没有防范心理的用户公开其 口令，并授予其临时的网络访问权限。 防火墙不能防止传送己感染病毒的软件或文件， 不能期望防火墙去对每一个文件进行扫描，查 出潜在的病毒。
安全区域 安全区域 工作站 服务器 台式PC 打印机 工作站 台式PC 打印机
服务器
服务器 服务器
防火墙 Internet网络
2015/12/10
4
信息技术与工程学院
防火墙的功能
根据不同的需要，防火墙的功能有比较大差异，但是一 般都包含以下三种基本功能。
可以限制未授权的用户进入内部网络，过滤掉不安全的服务和非法 用户 防止入侵者接近网络防御设施 限制内部用户访问特殊站点
安全区域 工作站
控制策略
服务器
台式PC
打印机
查找对应的策略
数据包 服务器 拆开数据包 防火墙 IP报头 TCP报头 数据 数据包 服务器
分组过滤判断 应用代理分析数据
2015/12/10
25
信息技术与工程学院
常见防火墙系统模型
常见防火墙系统一般按照四种模型构建：
筛选路由器模型、单宿主堡垒主机（屏蔽主机防火 墙）模型、双宿主堡垒主机模型（屏蔽防火墙系统 模型）和屏蔽子网模型。
2015/12/10 8 信息技术与工程学院
分组过滤防火墙
数据包过滤可以在网络层截获数据。使用一些规 则来确定是否转发或丢弃所各个数据包。 通常情况下，如果规则中没有明确允许指定数据 包的出入，那么数据包将被丢弃
安全区域 工作站 控制策略
服务器
台式PC
打印机
查找对应的策略
数据包 服务器 防火墙 IP报头 TCP报头 数据 数据包 服务器
2015/12/10
17
信息技术与工程学院
在“ICMP Type”栏目中，将复选框全部选中。在“Action”栏目中， 选择单选框“Drop”。在“Log Packet”栏目中选中“Log into Window”，创建完毕后点击按钮“OK”，一条规则就创建完毕， 如图9-11所示。
2015/12/10
2015/12/10
3
信息技术与工程学院
防火墙的定义
这里所说的防火墙不是指为了防火而造的墙，而是指隔离在本地网 络与外界网络之间的一道防御系统。
在互联网上，防火墙是一种非常有效的网络安全系统，通过它可以 隔离风险区域（Internet或有一定风险的网络）与安全区域（局域 网）的连接，同时不会妨碍安全区域对风险区域的访问，网络防 火墙结构如图9-2所示。