网络安全——网络安全设备

❖ 之所以通用，是因为它不是针对各个具体的网络服务采取特 殊的处理方式，而是适用于所有网络服务；
❖ 之所以廉价，是因为大多数路由器都提供数据包过滤功能， 所以这类防火墙多数是由路由器集成的；
❖ 之所以有效，是因为它能很大程度上满足了绝大多数企业安
全要求。
8
信息安全案例教程：技术与应用
1. 网络安全设备：防火墙
操作 允许 允许 拒绝
11
信息安全案例教程：技术与应用
1. 网络安全设备：防火墙
❖ （2）防火墙的工作原理
❖ 2）状态包过滤技术。
❖ 状态包过滤（Stateful Packet Filter）是一种基于连接的状 态检测机制，将属于同一连接的所有包作为一个整体的数据 流看待，对接收到的数据包进行分析，判断其是否属于当前 合法连接，从而进行动态的过滤。
12
信息安全案例教程：技术与应用
1. 网络安全设备：防火墙
❖ （2）防火墙的工作原理
❖ 2）状态包过滤技术的局限。 ❖ 基于网络层和传输层实现的包过滤防火墙难以实现对应用层
服务的过滤。 ❖ 访问控制列表的配置和维护困难。 ❖ 对安全管理人员的要求高，在建立安全规则时，必须对协议
本身及其在不同应用程序中的作用有较深入的了解。 ❖ 包过滤防火墙难以详细了解主机之间的会话关系。 ❖ 大多数过滤器中缺少审计和报警机制，只能依据包头信息，
❖ 设置在不同网络（如可信任的企业内部网络和不可 信的公共网络）或网络安全域之间的一系列部件的 组合。在逻辑上，防火墙是一个分离器，一个限制 器，也是一个分析器，能有效地监控流经防火墙的 数据，保证内部网络和隔离区（Demilitarized Zone，DMZ，或译作非军事区）的安全。
4
信息安全案例教程：技术与应用
❖ （1）防火墙的概念 ❖ 防火墙可以是软件、硬件或软硬件的组合。
▪ 软件防火墙就像其它的软件产品一样需要在计算机上安装 并做好配置才可以发挥作用，例如Windows系统自带的 软件防火墙和著名安全公司Check Point推出的 ZoneAlarm Pro 软件防火墙。
6
信息安全案例教程：技术与应用
7
信息安全案例教程：技术与应用
1. 网络安全设备：防火墙
❖ （2）防火墙的工作原理
❖ 包过滤防火墙工作在网络层和传输层，它根据通过防火墙的 每个数据包的源IP地址、目标IP地址、端口号、协议类型等 信息来决定是将让该数据包通过还是丢弃，从而达到对进出 防火墙的数据进行检测和限制的目的。
❖ 包过滤方式是一种通用、廉价和有效的安全手段。
网络安全 ——网络安全设备
陈波
南京师范大学计算机科学与技术学院
回顾整体性原则：PDRR安全防护模型
$dollars
Management 安全管理
$dollars
统一管理
、协调 PDRR之 间的行动
$dollars
Recovery 安全备份
Protect 安全保护
Detection 入侵检测
Reaction 安全响应
1. 网络安全设备：防火墙
❖ （1）防火墙的概念
❖ 防火墙可以是软件、硬件或软硬件的组合。
▪ 目前市场上大多数防火墙是硬件防火墙。这类防火墙一般 基于PC架构，也就是说这类防火墙和普通PC类似。
▪ 还有基于特定用途集成电路（Application Specific Integrated Circuit，ASIC）、基于网络处理器（ Network Processor，NP）以及基于现场可编程门阵列 （Field-Programmable Gate Array，FPGA）的防火 墙。这类防火墙采用专用操作系统，因此防火墙本身的漏 洞比较少，而且由于基于专门的硬件平台，因而处理能力 强、性能高。
10
信息安全案例教程：技术与应用
1. 网络安全设备：防火墙
❖ （2）防火墙的工作原理
❖ 1）静态包过滤技术的缺陷。
序 号
源IP
目标IP
协议
1 内部网络地址 外部网络地址 TCP
2 外部网络地址 内部网络地址 TCP
3
所有
所有
所有
源端口
目的 端口
标志位
任意 80 任意
80
>102 3
ACK
所有 所有 所有
9
信息安全案例教程：技术与应用
1. 网络安全设备：防火墙
❖ （2）防火墙的工作原理
❖ 1）静态包过滤技术。
序 号
源IP
目标IP
协议
1 内部网络地址 外部网络地址 TCP
2 外部网络地址 内部网络地址 TCP
3
所有
所有
所有
源端口
目的 端口
标志位
任意 80 任意
80
>102 3
ACK
所有 所有 所有
操作 允许 允许 拒绝
而不能对用户身份进行验证，很容易遭受欺骗型攻击。
1. 网络安全设备：防火墙
❖ （1）防火墙的概念 ❖ 防火墙具有以下3种基本性质：
▪ 是不同网络或网络安全域之间信息的唯一出入口； ▪ 能根据网络安全策略控制(允许、拒绝、监测)出入网络的
信息流，且自身具有较强的抗攻击能力； ▪ 本身不能影响网络信息的流通。
5
信息安全案例教程：技术与应用
1. 网络安全设备：防火墙
❖ 跟传统包过滤只有一张过滤规则表不同，状态包过滤同时维 护过滤规则表和状态表。过滤规则表是静态的，而状态表中 保留着当前活动的合法连接，它的内容是动态变化的，随着 数据包来回经过设备而实时更新。当新的连接通过验证，在 状态表中则添加该连接条目，而当一条连接完成它的通信任 务后，状态表中的该条目将自动删除。
❖ （2）防火墙的工作原理
❖ 包过滤技术在发展中出现了两种不同版本，第一代称为静态 包过滤，第二代称为动态包过滤。
❖ 1）静态包过滤技术。 ❖ 这类防火墙几乎是与路由器同时产生的，它根据定义好的过
滤规则审查每个数据包，以便确定其是否与某一条包过滤规 则匹配。 ❖ 过滤规则基于数据包的包头信息进行制订。 ❖ 这些规则常称为数据包过滤访问控制列表（ACL）。 ❖ 各个厂商的防火墙产品都有自己的语法用于创建规则。
2
信息安全案例教程：技术与应用
本讲要点：
❖1. 网络安全设备：防火墙 ❖2. 网络安全设备：入侵检测 ❖3. 网络安全新设备：
入侵防御、下一代防火墙、统一威胁管理
3
信息安全案例教程：技术与应用
1. 网络安全设备：防火墙
பைடு நூலகம்❖ （1）防火墙的概念
❖国家标准GB/T 20281-2006 《信息安全技术 防火 墙技术要求和测试评价方法》给出的防火墙定义是 ：