防火墙技术在企业网络中的应用(论文)

防火墙技术在企业网络中的应用

摘要

安全是一个不容忽视的问题，当人们在享受网络带来的方便与快捷的同时，也要时时面对网络开放带来的数据安全方面的新挑战和新危险。在我国，每年因黑客入侵、计算机病毒的破坏也造成了巨大的经济损失。为了保障网络安全，当局域网与外部网连接时，可以在中间加入一个或多个中介系统，防止非法入侵者通过网络进行攻击，非法访问，并提供数据可靠性、完整性以及保密性等方面的安全和审查控制，这些中间系统就是防火墙(Firewall)技术。防火墙作为内外对外网访问的出口和外网对内外访问的入口，可以在企业网络安全中起到至关重要作用。本文使用文献研究、对比分析、系统分析等方法，对基于防火墙的企业网络安全设计与实现进行了研究。针对当前互联网的安全隐患问题，提出防火墙技术原理及在网络安全中的应用，以期对相关从业者有所借鉴。

关键词:防火墙网络安全审查控制

Abstract

Security is a problem that can not be ignored. When people enjoy the convenience and speed brought by the Internet, we must constantly face the new challenges and dangers of data security brought by network opening. In China, the invasion of hackers and the destruction of computer viruses have caused huge economic losses in China every year. In order to ensure network security, when the local area network and external network connection, can be added in the middle of one or more intermediary system, prevent illegal intruder attack, illegal access through the network, and to provide data integrity and confidentiality, reliability and other aspects of the safety review and control, these intermediate system is the firewall (Firewall) technology. As the entrance to the external and external access to the external and external network, the firewall can play a vital role in the network security of the enterprise. In this paper, the design and implementation of network security based on Firewall Based on the methods of literature research, comparative analysis and system analysis are studied. In view of the hidden security problems of the Internet, the principle of firewall technology and its application in network security are proposed in order to draw lessons from the related practitioners.

Keywords:firewall network security review control

目录

1.绪论 (3)

1.1企业网络安全体系 (3)

1.2防火墙与网络安全 (5)

2.防火墙的概念 (5)

2.1什么是防火墙？ (5)

3.防火墙在企业网中的应用 (6)

3.1企业网面临的安全风风险 (6)

3.1.1网络病毒的威胁 (6)

3.1.2内部窃密和破坏 (6)

3.1.3网络窃听 (6)

3.1.4完整性破坏 (7)

3.1.5管理及操作人员缺乏安全知识 (7)

3.1.6恶劣天气引起网络安全问题 (7)

3.2企业防火墙安全要素 (7)

3.2.1防火墙的基本功能 (8)

3.2.2企业对的防火墙的特殊要求 (8)

3.2.3用户网络结合 (9)

4.企业网网络安全总体设计 (10)

4.1物理安全 (10)

4.2网络平台 (11)

4.2.1防火墙的部署 (11)

4.2.2入侵检测系统的部署 (12)

4.2.3漏洞扫描系统 (13)

4.2.4流量控制 (13)

4.3系统安全 (13)

4.4应用安全 (14)

4.5黑客攻击防范 (14)

4.6恶意代码与网络病毒防范 (15)

5.如何建立企业网络安全体系 (15)

5.1提升边界防御 (15)

5.2上网终端管理 (16)

5.3Web访问控制管理 (16)

5.4信息收发控制管理 (19)

5.5互联网活动信息审计管理 (20)

5.6应用权限设置 (20)

6.企业网络安全的现状与展望 (21)

6.1现阶段网络安全技术的局限性 (21)

6.2防火墙技术发展趋势 (21)

6.3入侵检测技术发展趋势 (22)

6.4防病毒技术发展趋势 (23)

结论 (24)

参考文献 (24)

1.绪论

随着互联网的飞速发展，全世界的计算机和网络连接到一起，形成了一个开放性的全球网络系统——互联网，但互联网的安全状况却并不乐观。网络安全性是一个涉及面很广泛的问题。在其最简单的形式中，它主要关心的是确保无关人员不能读取，更不能修改传送给其他接收者的信息。此时，它关心的对象是那些无权使用，但却试图获得远程服务的人。安全性也处理合法消息被截获和重播的问题，以及发送者是否曾发送过该条消息的问题。

计算机网络中经常出现的安全问题是恶意的攻击。其主要分为主动与被动两种。大多数的恶意攻击都是人为的，可以看出保证网络安全不仅仅是使它没有编程错误。恶意攻击的种类具有多样性的特点，其中之一就是病毒，当前的众多企业都是通过网络进行贸易往来的，如果沾染上病毒就会造成网络的瘫痪，无法从事经济往来，一定程度上为企业或事业单位带来了严重的后果，更加不利于我国的经济发展。

因此网络的安全变得尤为重要，防火墙的出现使得这一局面开始变得更加稳定，各种各样的攻击开始被防火墙阻止在外，以保证网络的安全性。但是随着网络攻击的日益复杂，防火墙的防攻击手段越来越多，因此对于防火本身的处理复杂数据的能力出现了隐患。

1.1企业网络安全体系

当今，在一个信息（大数据）时代里每个企业都离不开网络。那么一个企业拥有更完善的网络体系和技术就尤为重要。并且，一个完善的网络体系已经不仅仅是保护并隔离外来攻击的技术，它更是关系到一个企业的发展与进步。但由于计算机网络的开放性，使得网络安全问题愈加严重。以下是中小企业会遇到的网络安全问题：

A.外网安全

如病毒传播，垃圾邮件泛滥，骇客攻击，蠕虫攻击及信息泄露等成为颇有影响力的安全威胁。

B.内网安全

在工作日常中员工利用企业网络处理私事。其中，在处理是对网络的不当使用，

降低了工作效率、消耗企业网络资源、阻碍了电脑网络，同时还有引入病毒的风险或者使企业重要机密被泄露等。

C.内部网络之间、内外网络之间的连接安全

在企业的发展过程中不断壮大和完善，必定会将企业建立成企业总部、各分支机构、移动办公人员这样一个互动运营模式。为了实现企业总部与下部署的信息及时共享并防止机密泄露，所以各机构与总部之间的网络连接尤为重要。

企业在日常运营活动中，每个企业都必须建立起自己的网络安全体系结构(NSA，Network Security Architecture)，包括完善的网络信息访问控制策略、机密数据通信安全与保护策略、灾难恢复规划、对犯罪攻击的预防检测等。一个安全系统的建设涉及的因素很多，是一个庞大的系统工程。一般情况下，采取以下需要措施。

(1)物理措施

例如，保护网络关键设备(如交换机、大型计算机等)，制定严格的网络安全规章制度，采取防辐射、防火等措施。

(2)访问控制

对用户访问网络资源的权限进行严格的认证和控制。例如，进行用户身份认证，对口令加密、更新和鉴别，设置用户访问目录和文件的权限，控制网络设备配置的权限，等等。

(3)数据加密

加密是保护数据安全的重要手段。加密的作用是保障信息被人截获后不能读懂其含义。

(4)防止计算机网络病毒

病毒对计算机网络的危害越来越严重，必须引起高度重视。1988年11月3日，美国康乃尔大学一年级研究生罗特?莫里斯编制的称为“蠕虫”的计算机病毒通过Internet网大面积传播，致使6000多台主机被感染，直接经济损失超过6000万美元。

(5)其他措施

其他措施包括容错、数据镜像、数据备份和审计等。近年来，围绕网络安全问题提出了许多解决办法，例如数据加密技术和防火墙技术等。数据加密是对网络中传输的数据进行加密，到达目的地后再解密还原为原始数据，目的是防止非法用户截获后盗用倍息。防火墙技术是通过对网络的隔离和限制访问等方法来控制网络的访问权限，从而保护网络资源。其他安全技术包括密钥管理、数字签名、认证技术、智能卡技术和访问控制等。

1.2防火墙与网络安全

所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种内部网络与外部网络之间的网络安全系统，它是一种计算机硬件和软件的结合，使Internet与Intranet 之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入。该局域网内所有的计算机流入流出多的所有网络通信均要经过防火墙。

防火墙是解决网络安全问题的基础设备，他所具备的过滤、安全功能能够抵抗大多数来自外网的攻击。配备这些传统的网络防护设备，实现面向网络层的访问控制，是企业安全上网的基础。

2.防火墙的概念

2.1什么是防火墙？

防火墙是设置在被保护网络和外部网络之间的一道屏障，以防止发生不可预测的、潜在破坏性的侵入。它可以通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护。

防火墙包含着一对矛盾( 或称机制)：一方面它限制数据流通，另一方面它又允许数据流通。由于网络的管理机制及安全策略(security policy)不同，因此这对矛盾呈现出不同的表现形式。

存在两种极端的情形：第一种是除了非允许不可的都被禁止，第二种是除了非禁止不可都被允许。第一种的特点是安全但不好用，第二种是好用但不安全，而多数防火墙都在两者之间采取折衷。

这里所谓的好用或不好用主要指跨越防火墙的访问效率。在确保防火墙安全或比较安全前提下提高访问效率是当前防火墙技术研究和实现的热点。

2.2 防火墙的发展历程

基于其实现方式可划分为以下五个阶段：

第一代防火墙20世纪80年代，最早的防火墙几乎与路由器同时出现。基于路由器的防火墙，由于多数路由器中本身就包含有分组过滤功能，故网络访问控制可通过路由控制来实现，从而使具有分组过滤功能的路由器成为第一代防火墙产品。

第二代防火墙：用户化的防火墙，将过滤功能从路由器中独立出来，并加上审计和告警功能。针对用户需求，提供模块化的软件包，是纯软件产品。

第三代防火墙：建立在通用操作系统上的防火墙，近年来在市场上广泛使用的就是这一代产品。包括分组过滤和代理功能。第三代防火墙有以纯软件实现的，也有以硬件方式实现的。

第四代防火墙：具有安全操作系统的防火墙：具有安全操作系统的防火墙本身就是一个操作系统，因而在安全性上得到提高。

3.防火墙在企业网中的应用

3.1企业网面临的安全风风险

3.1.1网络病毒的威胁

网络病毒第计算机软件和硬件所固有的脆弱性编制的一组指令集或程序代码。它能通过某种途径潜伏在计算机的存储介质（或程序）里，当达到某种条件时即被激活，通过修改其他程序的方法将自己的精确是拷贝或者可能演化的形式放入其他程序中，从而感染其他程序，对计算机资源进行破坏，现在网络病毒传播能力和感染能力都大大提高了，它利用软件和操作系统的漏洞，给网络安全造成极大的威胁。

3.1.2内部窃密和破坏

企业网络由于需求接入了不同部门的网络系统时，容易出现部门内不怀好意的人员（或外部非法人员利用公司内某部门的计算机）通过网络进入内部网络，通过技术手段进一步窃取，修改和破坏其中的重要信息，这样可能会泄露客户信息，给企业造成严重的经济损失。

3.1.3网络窃听

在网络中，当信息进行传播的时候，可以利用工具，将网络接口设置在监听的模式，便可将网络中正在传播的信息截获或者捕获到，从而进行攻击攻。击者可以采用如Wireshark等网络协议分析工具，在INTERNET网络安全的薄弱处进行监听，并非常容易地在信息传输过程中获取所有信息（比如用户名密码等敏感信息）的内容。

3.1.4完整性破坏

信息在传输过程中或者存储期间很容易被篡改或修改，使得信息/数据失去了原有的真实性，失去了相应的价值，从而变得不可用或造成广泛的负面影响。由于企业网内有许多重要的客户信息，那些心术不正的用户和非法用户就会通过网络，对没有采取相应安全措施的服务器进行攻击，对重要文件进行修改或传输一些虚假信息，从而影响工作的正常进行。

3.1.5管理及操作人员缺乏安全知识

由于信息和网络技术发展迅猛，信息的应用和安全技术却相对落后，用户在引入和使用安全设备和系统时，缺乏对系统设备全面和深入认知，对信息安全的重要性与技术认识不够重视，很容易使安全设备/系统成为摆设，不能使其发挥正确的作用。如本来对某些通信和操作需要限制，由于限制的不便，而将状态设置成全开放状态等等，从而出现网络漏洞。由于网络安全产品的技术含量大，操作管理人员的培训和学习显得尤为重要。这样，使安全设备能够尽量发挥其作用，避免由于使用不当而造成的网络安全问题。

3.1.6恶劣天气引起网络安全问题

由于网络系统中涉及很多硬件设施，比如网络设备、终端、线路等，而网络通信都是通过通信电缆进行传输，因此极易受到雷电大风等恶劣天气的攻击，造成通信中断，使整个网络瘫痪，设备损坏，造成严重后果。因此，为避免遭受感应雷击的破坏和静电干扰、电磁辐射干扰等引起的瞬间电压浪涌电压的损坏，以及大风等恶劣天气的对电缆的损害，有必要对整个网络硬件设施采取相应的预防恶劣天气的措施。

3.2企业防火墙安全要素

防火墙实现对内部网络的保护功能是通过将内外网络进行物理隔离来实现的，然后根据预先定制的安全策略控制通过防火墙的访问行为，从而达到对企业内部网络访问的有效控制。防火墙通常有两种工作模式：网桥模式和路由模式。

在企业中财务部是重要部门，我们都知道即使是内部员工也不能随意访问。因此，可以选择防火墙的网桥模式。既不用改变企业网络结构，也可以在没有经过防火墙授权的情况下禁止非法人员访问财务部的主机。这样一来变对同一子

网上的不同区域（部门）的信息进行了保护，防止机密外泄。路由模式下可以使用防火墙的代理功能和网络地址转换功能，充分保护企业网络免受来自互联网的攻击。当防火墙安装在企业内网与因特网之间作为安全屏障时，应该选择该模式。

3.2.1防火墙的基本功能

防火墙系统基本上可以说是网络的第一道防线，企业防火墙保护内部网络的安全时，它首先具备的防火墙的基本功能，这是用户选择防火墙产品的依据和前提。一个合格的防火墙产品应该具有下述基本功能：

A.在企业内网和外网之间建立防火墙（检查点）。只要检查点清楚建立，强制所有进出的流量都必须通过这些检查点。这样网管就可以集中在较少的地方来实现网络安全。否则，系统或网管将要在大量的地方来进行监测。在我们网络安全网络行业中，称这样一个检查点为“阻塞点”。如下图：

B.防止内部信息外泄。它通过隔离内、外部网络来保证网络的安全，与此同时，也限制了局部重要或敏感网络安全问题对全局网造成的影响。

C.强化网络安全策略通过以防火墙为中心的安全方案配置，将所有的安全软件（如口令、加密、身份认证等）配置在防火墙上。这样的集中安全管理更有效经济。

D. 有效地审计和记录内、外部网络上的活动防火墙可以对内、外部网络存取和访问进行监控审计。如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并进行日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。比如即使是内部员工，如果违反企业的安全策略，一样会被防火墙及时的阻止并通告网络管理员。

3.2.2企业对的防火墙的特殊要求

企业防火墙还应该满足企业安全政策中一些特殊需求，

这方面常会成为企业

防火墙的的关键因素之一，常见的需求如下：

网络地址转换功能(NAT)

网络内部，根据需要可以随意自定义的IP地址，而不需要经过申请。在网络内部，各计算机间通过内部的IP地址进行通讯。而当内部的计算机要与外部internet网络进行通讯时，具有NAT功能的设备（比如：路由器）负责将其内部的IP地址转换为合法的IP地址（即经过申请的IP地址）进行通信。

进行地址转换有两个好处：其一是隐藏内部网络真正的IP，这可以使黑客无法直接攻击内部网络，这也是笔者之所以要强调防火墙自身安全性问题的主要原因。

双重DNS

因特网上作为域名和IP地址相互映射的一个分布式数据库，能够使用户更方便的访问互联网，而不用去记住能够被机器直接读取的IP数串。通过主机名，最终得到该主机名对应的IP地址的过程叫做域名解析有的防火墙会提供双重DNS，对外解析成公网地址对内解析成内网地址。

虚拟专用网络(VPN)

VPN即在公用网络上建立专用网络，进行加密通讯。在企业网络中有广泛应用。VPN网关通过对数据包的加密和数据包目标地址的转换实现远程访问，可以在建立一个虚拟通道，让两者感觉是在同一个网络上，可以安全且不受拘束地互相存取。

特殊控制需求

有时候企业会有特别的控制需求，如限制特定特定使用者才能发送Email，FTP只能下载文件不能上传文件，限制同时上网人数，限制使用时间或阻塞Java、ActiveX控件等，依需求不同而定。

3.2.3用户网络结合

(1)管理的难易度

防火墙使用的难易度是防火墙能否达到安全目的的是决定因素之一。用已有的网络设备直接当作防火墙，除了不能达到完全的控制之外，设定工作困难、须具备完整的知识以及不易排除错误等管理问题，更是一般企业不愿意使用的主要原因。

(2)自身的安全性

大多数人都将注意力放在防火墙如何控制连接以及防火墙支持多少种服务，但往往忽略了一点，防火墙也是网络上的主机之一，也可能存在安全问题，防火墙如果不能确保自身安全，则防火墙的控制功能再强，也终究不能完全保护内部

网络。

大部分防火墙都安装在一般的操作系统上，如Unix、Linux系统等。在防火墙主机上执行的除了防火墙软件外，所有的程序、系统核心，也大多来自于操作系统本身的原有程序。当防火墙主机上所执行的软件出现安全漏洞时，防火墙本身也将受到威胁。此时，任何的防火墙控制机制都可能失效，因为当一个黑客取得了防火墙上的控制权以后，黑客几乎可为所欲为地修改防火墙上的访问规则，进而侵入更多的系统。因此防火墙自身应有相当高的安全保护。

(4)良好的可维护性

好的防火墙应该是企业整体网络的保护者，并能弥补其它操作系统的不足，使操作系统的安全性不会对企业网络的整体安全造成影响。防火墙应该能够支持多种平台，因为使用者才是完全的控制者，而使用者的平台往往是多种多样的，它们应选择一套符合现有环境需求的防火墙产品。由于新产品的出现，就会有人研究新的破解方法，所以好的防火墙产品应拥有完善及时的售后服务体系。

(5)完整的安全检查

好的防火墙还应该向使用者提供完整的安全检查功能，但是一个安全的网络仍必须依靠使用者的观察及改进，因为防火墙并不能有效地杜绝所有的恶意封包，企业想要达到真正的安全仍然需要内部人员不断记录、改进、追踪。防火墙可以限制唯有合法的使用者才能进行连接，但是否存在利用合法掩护非法的情形仍需依靠管理者来发现。

4.企业网网络安全总体设计

根据企业网络的特点，按照安全策略的要求、风险分析的结果及整个网络的安全目标，整个网络措施应按系统体系建立。具体的安全控制系统由以下几个方面组成,本方案主要从以下几个方面进行安全设计：物理安全、网络平台安全、系统安全、应用安全、黑客攻击防范、恶意代码与网络病毒防范。

4.1物理安全

物理安全是保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提，物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程雷。目前,随着计算机硬件制造技术的迅猛发展,计算机软、硬件在性能上