防火墙技术

9.2.2 防火墙的安全策略 研制和开发一个有效的防火墙， 研制和开发一个有效的防火墙，首先要设计和 制定一个有效的安全策略。 制定一个有效的安全策略。安全策略应包含以下主 要内容： 要内容：
（1）用户账号策略； 用户账号策略； （3）信任关系策略； 信任关系策略； （5）认证策略； 认证策略； （7）数据加密策略； 数据加密策略； （9）审计策略。 审计策略。 （2）用户权限策略； 用户权限策略； （4）包过虑策略； 包过虑策略； （6）签名策略； 签名策略； （8）密钥分配策略； 密钥分配策略；
采用防火墙保护内部网有以下优点。 采用防火墙保护内部网有以下优点。 防火墙允许网络管理员定义一个中心“扼制点” （1）防火墙允许网络管理员定义一个中心“扼制点” 来防止非法用户（如黑客和网络破坏者等） 来防止非法用户（如黑客和网络破坏者等）进入内 部网。 部网。 保护网络中脆弱的服务。 （2）保护网络中脆弱的服务。 在防火墙上可以很方便地监视网络的安全性， （3）在防火墙上可以很方便地监视网络的安全性， 并产生报警。 并产生报警。 可以集中安全性。 （4）可以集中安全性。 防火墙可以作为部署（网络地址转换Network （5）防火墙可以作为部署（网络地址转换Network Translator，NAT）的逻辑地址。 Address Translator，NAT）的逻辑地址。 增强保密性和强化私有权。 （6）增强保密性和强化私有权。 防火墙是审计和记录Internet Internet使用量的一个最 （7）防火墙是审计和记录Internet使用量的一个最 佳地方。 佳地方。 防火墙也可以成为向客户发布信息的地点。 （8）防火墙也可以成为向客户发布信息的地点。
• 黑客用ping命令来探 黑客用ping命令来探
测远程主机是否活动 • 天网防火墙主界面 IP规则管理 自定 IP规则管理 义IP规则，打开IP定 IP规则，打开IP定 义窗口 • 选中“防止别人用 选中“ ping命令探测” ping命令探测”选项
பைடு நூலகம்.1
防火墙概述
9.1.1 防火墙的基本概念 防火墙是在两个网络之间执行控制和安全策略 的系统，它可以是软件，也可以是硬件， 的系统，它可以是软件，也可以是硬件，或两者并 用。
9.1.2 防火墙的作用与不足 总的来说，防火墙系统应具有以下 个方面的特 总的来说，防火墙系统应具有以下5个方面的特 性。 （1）内部网和外部网之间的数据传输都必须经过 ） 防火墙。 防火墙。 （2）只有被授权的合法数据，即符合安全策略的 ）只有被授权的合法数据， 数据，才可以通过防火墙， 数据，才可以通过防火墙，其他的数据将被防火墙 丢弃。 丢弃。
包过滤路由器常见的攻击有以下几种。 包过滤路由器常见的攻击有以下几种。 地址欺骗式攻击。 （1）源IP地址欺骗式攻击。 ） 地址欺骗式攻击 （2）源路由攻击。 源路由攻击。 （3）极小数据段式攻击。 极小数据段式攻击。
9.3.2 多宿主主机（多宿主网关）防火墙 多宿主主机（多宿主网关） 多宿主主机拥有多个网络接口，每一个 多宿主主机拥有多个网络接口， 接口都连在物理上和逻辑上都分离的不同的 网段上。 网段上。每个不同的网络接口分别连接不同 的子网， 的子网，不同子网之间的相互访问实施不同 的访问控制策略。 的访问控制策略。
包过滤型防火墙存在以下的缺点。 包过滤型防火墙存在以下的缺点。 （1）防火墙的维护比较困难，定义数据包过滤器 防火墙的维护比较困难， 会比较复杂，因为网络管理员需要对各种Internet 会比较复杂，因为网络管理员需要对各种Internet 服务、 服务、包头格式以及每个域的意义有非常深入的理 才能将过滤规则集尽量定义得完善。 解，才能将过滤规则集尽量定义得完善。 （2）只能阻止一种类型的IP欺骗，即外部主机伪 只能阻止一种类型的IP欺骗， IP欺骗 装内部主机的IP IP， 装内部主机的IP，对于外部主机伪装其他可信任的 外部主机的IP却不可阻止。 IP却不可阻止 外部主机的IP却不可阻止。 （3）任何直接经过路由器的数据包都有被用做数 据驱动攻击的潜在危险。 据驱动攻击的潜在危险。
图9.5 包过滤型防火墙
包过滤型防火墙具有以下优点。 包过滤型防火墙具有以下优点。 处理包的速度比代理服务器快， （1）处理包的速度比代理服务器快，过滤路 由器为用户提供了一种透明的服务， 由器为用户提供了一种透明的服务，用户不用改 变客户端程序或改变自己的行为。 变客户端程序或改变自己的行为。 （ 2 ） 实现包过滤几乎不再需要费用（或极少 实现包过滤几乎不再需要费用（ 的费用） 的费用），因为这些特点都包含在标准的路由器 软件中。 软件中。 （ 3 ） 包过滤路由器对用户和应用来讲是透明 的。
防火墙技术
防火墙的定义
• 防火墙是位于可信网络与不可信网络之间并对二者之间流 • •
动的数据包进行检查后的一台或多台计算机或路由器。 防火墙安全规则由匹配条件和处理方式两部分组成。匹配 条件是指用于对通信流量是否合法做出判断的一些逻辑表 达式 防火墙的功能包括： 保护内部网络安全 网络地址转换 用户身份验证 网络监控
9.3
防火墙的体系结构
防火墙按体系结构可以分为包过滤防火墙、 防火墙按体系结构可以分为包过滤防火墙、屏 蔽主机防火墙、屏蔽子网防火墙、 蔽主机防火墙、屏蔽子网防火墙、多宿主主机防火 墙和通过混合组合而衍生的其他结构的防火墙。 墙和通过混合组合而衍生的其他结构的防火墙。 9.3.1 包过滤型防火墙 包过滤型防火墙的核心技术就是安全策略设计 即包过滤算法的设计。 即包过滤算法的设计。
（1）包过滤控制点 （2）包过滤操作过程 （3）包过滤规则 （4）防止两类不安全设计的措施 （5）对特定协议包的过滤
5．认证、签名和数据加密策略 认证、 6．密钥分配策略 7．审计策略 审计是用来记录如下事件： 审计是用来记录如下事件： 哪个用户访问哪个对象； （1）哪个用户访问哪个对象； 用户的访问类型； （2）用户的访问类型； 访问过程是否成功。 （3）访问过程是否成功。
Windows XP个人防火墙 XP个人防火墙
• 启动Windows XP SP2防火墙 启动Windows SP2防火墙 • • •
开始 控制面板 Windows防火墙 启动 Windows防火墙 设置例外程序 开始 控制面板 Windows防火墙 例外 添加 Windows防火墙 程序 限制例外程序仅适用于内网 开始 控制面板 Windows防火墙 例外 编辑 Windows防火墙 更改范围 仅我的子网 在命令行下收集防火墙配置信息 netsh firewall show state
防火墙工作原理
• Internet的通信是通过数据包的交换完成。 Internet的通信是通过数据包的交换完成。 • 每个数据包包含源主机IP和端口号 每个数据包包含源主机IP和端口号 • • •
目的主机IP和端口号 目的主机IP和端口号 黑客在入侵前会先通过扫描来确认目标系统是否 有入侵的可能，而防火墙让这些探测失败。 防火墙基于源主机与目的主机的IP地址和端口的 防火墙基于源主机与目的主机的IP地址和端口的 一些组合过滤掉某些危险的数据包。。 区分要求建立新连接的数据包和已有连接的数据 包。
防火墙有如下的缺陷和不足。 防火墙有如下的缺陷和不足。 （1）限制有用的网络服务。 ）限制有用的网络服务。 （2）无法防护内部网用户的攻击。 ）无法防护内部网用户的攻击。 （3）防火墙无法防范通过防火墙以外的其他途径的 ） 攻击。 攻击。 （4）防火墙也不能完全防止传送已感染病毒的软件 ） 或文件。 或文件。 （5）防火墙无法防范数据驱动型的攻击。 ）防火墙无法防范数据驱动型的攻击。 （6）不能防备新的网络安全问题。 ）不能防备新的网络安全问题。
（4）一些包过滤网关不支持有效的用户认证。 一些包过滤网关不支持有效的用户认证。 不可能提供有用的日志，或根本就不提供， （5）不可能提供有用的日志，或根本就不提供， 这使用户发觉网络受攻击的难度加大， 这使用户发觉网络受攻击的难度加大 ，也就谈不 上根据日志来进行网络的优化、 上根据日志来进行网络的优化、 完善以及追查责 任。 随着过滤器数目的增加， （6）随着过滤器数目的增加，路由器的吞吐量 会下降。 会下降。 IP包过滤器无法对网络上流动的信息提供 （7）IP包过滤器无法对网络上流动的信息提供 全面的控制。 全面的控制。 （8）允许外部网络直接连接到内部网络的主机 易造成敏感数据的泄漏。 上，易造成敏感数据的泄漏。
1．用户账号策略 2．用户权限策略 3．信任关系策略
图9.2 单向信任关系
图9.3 双向信任关系
图9.4 多重信任关系
4．包过虑策略 这里主要从以下几个方面来讨论包过滤策略： 这里主要从以下几个方面来讨论包过滤策略： • 包过滤控制点； 包过滤控制点； 包过滤操作过程； • 包过滤操作过程； 包过滤规则； • 包过滤规则； 防止两类不安全设计的措施； • 防止两类不安全设计的措施； 对特定协议包的过滤。 • 对特定协议包的过滤。
图9.1 防火墙后门
9.2
防火墙的设计策略和安全策略
9.2.1 防火墙的设计策略 防火墙一般执行以下两种基本设计策略中的 一种。 一种。 （1）除非明确不允许，否则允许某种服务。 ）除非明确不允许，否则允许某种服务。 （2）除非明确允许，否则将禁止某种服务。 ）除非明确允许，否则将禁止某种服务。
天网防火墙
• 应用程序访问网络权限设置 • • • •
单击主界面左上角的“应用程序规则” 单击主界面左上角的“应用程序规则” 自定义IP规则 自定义IP规则 单击主界面左上角的“自定义IP规则” 单击主界面左上角的“自定义IP规则” 系统设置 查看应用程序网络使用情况 查看日志
利用防火墙阻止别人用PING探测 利用防火墙阻止别人用PING探测
防火墙的分类
• 按实现方式来分：
软件防火墙和硬件防火墙 • 按实现技术分类 数据包过滤防火墙、应用级网关和状态包检测防 火墙 防火墙类型 优缺点 数据包过滤型 应用级网关型 状态包检测型