園區(qū)網(wǎng)防火墻管理與維護的研究_第1頁
園區(qū)網(wǎng)防火墻管理與維護的研究_第2頁
園區(qū)網(wǎng)防火墻管理與維護的研究_第3頁
已閱讀5頁,還剩4頁未讀, 繼續(xù)免費閱讀

下載本文檔

版權(quán)說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請進行舉報或認領(lǐng)

文檔簡介

園區(qū)網(wǎng)防火墻管理與維護的研究

摘要本文從介紹防火墻的基本概念、分類以及特點入手,探討防火墻維護與管理的方法、技術(shù)的發(fā)展趨勢。

關(guān)鍵詞園區(qū)網(wǎng);防火墻;管理與維護1引言

網(wǎng)絡(luò)安全是一個不容忽視的問題,當人們在享受網(wǎng)絡(luò)帶來的方便與快捷的同時,也要時時面對網(wǎng)絡(luò)開放帶來的數(shù)據(jù)安全方面的新挑戰(zhàn)和新危險。為了保障網(wǎng)絡(luò)安全,當園區(qū)網(wǎng)與外部網(wǎng)連接時,可以在中間加入一個或多個中介系統(tǒng),防止非法入侵者通過網(wǎng)絡(luò)進行攻擊,非法訪問,并提供數(shù)據(jù)可靠性、完整性以及保密性等方面的安全和審查控制,這些中間系統(tǒng)就是防火墻(Firewall)技術(shù)。它通過監(jiān)測、限制、修改跨越防火墻的數(shù)據(jù)流,盡可能地對外屏蔽網(wǎng)絡(luò)內(nèi)部的結(jié)構(gòu)、信息和運行情況、阻止外部網(wǎng)絡(luò)中非法用戶的攻擊、訪問以及阻擋病毒的入侵,以此來實現(xiàn)內(nèi)部網(wǎng)絡(luò)的安全運行。2防火墻的概述及其分類

網(wǎng)絡(luò)安全的重要性越來越引起網(wǎng)民們的注意,大大小小的單位紛紛為自己的內(nèi)部網(wǎng)絡(luò)“筑墻”、防病毒與防黑客成為確保單位信息系統(tǒng)安全的基本手段。防火墻是目前最重要的一種網(wǎng)絡(luò)防護設(shè)備,是處于不同網(wǎng)絡(luò)(如可信任的局域內(nèi)部網(wǎng)和不可信的公共網(wǎng))或網(wǎng)絡(luò)安全域之間的一系列部件的組合。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的惟一出入口,能根據(jù)企業(yè)的安全策略控制(允許、拒絕、監(jiān)測)出入網(wǎng)絡(luò)的信息流,且本身具有較強的抗攻擊能力。它是提供信息安全服務(wù),實現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。2.1概述

在邏輯上,防火墻其實是一個分析器,是一個分離器,同時也是一個限制器,它有效地監(jiān)控了內(nèi)部網(wǎng)間或Internet之間的任何活動,保證了局域網(wǎng)內(nèi)部的安全。

1)什么是防火墻

古時候,人們常在寓所之間砌起一道磚墻,一旦火災發(fā)生,它能夠防止火勢蔓延到別的寓所?,F(xiàn)在,如果一個網(wǎng)絡(luò)接到了Internet上面,它的用戶就可以訪問外部世界并與之通信。但同時,外部世界也同樣可以訪問該網(wǎng)絡(luò)并與之交互。為安全起見,可以在該網(wǎng)絡(luò)和Internet之間插入一個中介系統(tǒng),豎起一道安全屏障。這道屏障的作用是阻斷來自外部通過網(wǎng)絡(luò)對本網(wǎng)絡(luò)的威脅和入侵,提供扼守本網(wǎng)絡(luò)的安全和審計的關(guān)卡,它的作用與古時候的防火磚墻有類似之處,因此就把這個屏障叫做“防火墻”。

防火墻可以是硬件型的,所有數(shù)據(jù)都首先通過硬件芯片監(jiān)測;也可以是軟件型的,軟件在計算機上運行并監(jiān)控。其實硬件型也就是芯片里固化了UNIX系統(tǒng)軟件,只是它不占用計算機CPU的處理時間,但價格非常高,對于個人用戶來說軟件型更加方便實在。

2)防火墻的功能

防火墻只是一個保護裝置,它是一個或一組網(wǎng)絡(luò)設(shè)備裝置。它的目的就是保護內(nèi)部網(wǎng)絡(luò)的訪問安全。它的主要任務(wù)是允許特別的連接通過,也可以阻止其它不允許的連接。其主體功能可以歸納為如下幾點:

·根據(jù)應用程序訪問規(guī)則可對應用程序聯(lián)網(wǎng)動作進行過濾;

·對應用程序訪問規(guī)則具有學習功能;

·可實時監(jiān)控,監(jiān)視網(wǎng)絡(luò)活動;

·具有日志,以記錄網(wǎng)絡(luò)訪問動作的詳細信息;

·被攔阻時能通過聲音或閃爍圖標給用戶報警提示。

3)防火墻的使用

由于防火墻的目的是保護一個網(wǎng)絡(luò)不受來自另一個網(wǎng)絡(luò)的攻擊。因此,防火墻通常使用在一個被認為是安全和可信的園區(qū)網(wǎng)與一個被認為是不安全與不可信的網(wǎng)絡(luò)之間,阻止別人通過不安全與不可信的網(wǎng)絡(luò)對本網(wǎng)絡(luò)的攻擊,破壞網(wǎng)絡(luò)安全,限制非法用戶訪問本網(wǎng)絡(luò),最大限度地減少損失。2.2防火墻的分類

市場上的硬件防火墻產(chǎn)品非常之多,分類的標準比較雜,從技術(shù)上通常將其分為“包過濾型”、“代理型”和“監(jiān)測型”等類型。

1)包過濾型

包過濾型產(chǎn)品是防火墻的初級產(chǎn)品,其技術(shù)依據(jù)是網(wǎng)絡(luò)中的分包傳輸技術(shù)。網(wǎng)絡(luò)上的數(shù)據(jù)都是以“包”為單位進行傳輸?shù)模瑪?shù)據(jù)被分割成為一定大小的數(shù)據(jù)包,每一個數(shù)據(jù)包中都會包含一些特定信息,如數(shù)據(jù)的源地址、目標地址、TCP/UDP(傳輸控制協(xié)議/用戶數(shù)據(jù)報協(xié)議)源端口和目標端口等。防火墻通過讀取數(shù)據(jù)包中的地址信息來判斷這些“包”是否來自可信任的安全站點,一旦發(fā)現(xiàn)來自危險站點的數(shù)據(jù)包,防火墻便會將這些數(shù)據(jù)拒之門外。

2)代理型

代理型防火墻也可以被稱為代理服務(wù)器,它的安全性要高于包過濾型產(chǎn)品,并已經(jīng)開始向應用層發(fā)展。代理服務(wù)器位于客戶機與服務(wù)器之間,完全阻擋了二者間的數(shù)據(jù)交流。從客戶機來看,代理服務(wù)器相當于一臺真正的服務(wù)器;而從服務(wù)器來看,代理服務(wù)器又是一臺真正的客戶機。當客戶機需要使用服務(wù)器上的數(shù)據(jù)時,首先將數(shù)據(jù)請求發(fā)給代理服務(wù)器,代理服務(wù)器再根據(jù)這一請求向服務(wù)器索取數(shù)據(jù),然后由代理服務(wù)器將數(shù)據(jù)傳輸給客戶機。由于外部系統(tǒng)與內(nèi)部服務(wù)器之間沒有直接的數(shù)據(jù)通道,外部的惡意侵害也就很難傷害到企業(yè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)。

3)監(jiān)測型

監(jiān)測型防火墻是新一代的產(chǎn)品,這一技術(shù)實際上已經(jīng)超越了最初的防火墻定義。監(jiān)測型防火墻能夠?qū)Ω鲗拥臄?shù)據(jù)進行主動的、實時的監(jiān)測,在對這些數(shù)據(jù)加以分析的基礎(chǔ)上,監(jiān)測型防火墻能夠有效地判斷出各層中的非法侵入。同時,這種監(jiān)測型防火墻產(chǎn)品一般還帶有分布式探測器,這些探測器安置在各種應用服務(wù)器和其他網(wǎng)絡(luò)的節(jié)點之中,不僅能夠檢測來自網(wǎng)絡(luò)外部的攻擊,同時對來自內(nèi)部的惡意破壞也有極強的防范作用。據(jù)權(quán)威機構(gòu)統(tǒng)計,在針對網(wǎng)絡(luò)系統(tǒng)的攻擊中,有相當比例的攻擊來自網(wǎng)絡(luò)內(nèi)部。因此,監(jiān)測型防火墻不僅超越了傳統(tǒng)防火墻的定義,而且在安全性上也超越了前兩代產(chǎn)品。3防火墻的作用、特點及優(yōu)缺點

防火墻通常使用在一個可信任的內(nèi)部網(wǎng)絡(luò)和不可信任的外部網(wǎng)絡(luò)之間,阻斷來自外部通過網(wǎng)絡(luò)對局域網(wǎng)的威脅和入侵,確保局域網(wǎng)的安全。與其它網(wǎng)絡(luò)產(chǎn)品相比,有著其自身的專用特色,但其本身也有著某些不可避免的局限。下面對其在網(wǎng)絡(luò)系統(tǒng)中的作用、應用特點和其優(yōu)缺點進行簡單的闡述。3.1防火墻的作用

防火墻可以監(jiān)控進出網(wǎng)絡(luò)的通信量,僅讓安全、核準了的信息進入,同時又抵制對園區(qū)網(wǎng)構(gòu)成威脅的數(shù)據(jù)。隨著安全性問題上的失誤和缺陷越來越普遍,對網(wǎng)絡(luò)的入侵不僅來自高超的攻擊手段,也有可能來自配置上的低級錯誤或不合適的口令選擇。因此,防火墻的作用是防止不希望的、未授權(quán)的通信進出被保護的網(wǎng)絡(luò),迫使單位強化自己的安全策略。一般的防火墻都可以達到如下目的:一是可以限制他人進入內(nèi)部網(wǎng)絡(luò),過濾掉不安全服務(wù)和非法用戶;二是防止入侵者接近防御設(shè)施;三是限定用戶訪問特殊站點;四是為監(jiān)視Internet安全提供方便。3.2防火墻的特點

我們在使用防火墻的同時,對性能、技術(shù)指標和用戶需求進行分析。包過濾防火墻技術(shù)的特點是簡單實用,實現(xiàn)成本較低,在應用環(huán)境比較簡單的情況下,能夠以較小的代價在一定程度上保證系統(tǒng)的安全。包過濾技術(shù)是一種基于網(wǎng)絡(luò)層的安全技術(shù),只能根據(jù)數(shù)據(jù)包的來源、目標和端口等網(wǎng)絡(luò)信息進行判斷,無法識別基于應用層的惡意侵入,如惡意的Java小程序以及電子郵件中附帶的病毒;代理型防火墻的特點是安全性較高,可以針對應用層進行偵測和掃描,對付基于應用層的侵入和病毒都十分有效。當然代理服務(wù)器必須針對客戶機可能產(chǎn)生的所有應用類型逐一進行設(shè)置,大大增加了系統(tǒng)管理的復雜性;雖然監(jiān)測型防火墻安全性上已超越了包過濾型和代理服務(wù)器型防火墻,但由于監(jiān)測型防火墻技術(shù)的實現(xiàn)成本較高,也不易管理,所以目前在實用中的防火墻產(chǎn)品仍然以第二代代理型產(chǎn)品為主,但在某些方面也已經(jīng)開始使用監(jiān)測型防火墻。

防火墻一般具有如下顯著特點:

·廣泛的服務(wù)支持通過動態(tài)的、應用層的過濾能力和認證相結(jié)合,可以實現(xiàn)WWW瀏覽器、HTTP服務(wù)器、FTP等;

·對私有數(shù)據(jù)的加密支持保證通過Internet進行虛擬私人網(wǎng)絡(luò)和商業(yè)活動不受損壞;

·客戶端只允許用戶訪問指定的網(wǎng)絡(luò)或選擇服務(wù)企業(yè)本地網(wǎng)、園區(qū)網(wǎng)與分支機構(gòu)、商業(yè)伙伴和移動用戶等安全通信的信息;

·反欺騙欺騙是從外部獲取網(wǎng)絡(luò)訪問權(quán)的常用手段,它使數(shù)據(jù)包類似于來自網(wǎng)絡(luò)內(nèi)部。防火墻能監(jiān)視這樣的數(shù)據(jù)包并能丟棄;

·C/S模式和跨平臺支持能使運行在一個平臺的管理模塊控制運行在另一個平臺的監(jiān)視模塊。3.3防火墻的優(yōu)勢和存在的不足

防火墻在確保網(wǎng)絡(luò)的安全運行上發(fā)揮著重要的作用。但任何事物都不是完美無缺的,對待任何事物必須一分為二,防火墻也不例外。在充分利用防火墻優(yōu)點為我們服務(wù)的同時,也不得不面對其自身弱點給我們帶來的不便。

1)防火墻的優(yōu)勢

(1)防火墻能夠強化安全策略。因為網(wǎng)絡(luò)上每天都有上百萬人在收集信息、交換信息,不可避免地會出現(xiàn)個別品德不良或違反規(guī)則的人。防火墻就是為了防止不良現(xiàn)象發(fā)生的“交通警察”,它執(zhí)行站點的安全策略,僅僅允許“認可的”和符合規(guī)則的請求通過。

(2)防火墻能有效地記錄網(wǎng)絡(luò)上的活動。因為所有進出信息都必須通過防火墻,所以防火墻非常適合用于收集關(guān)于系統(tǒng)和網(wǎng)絡(luò)使用和誤用的信息。作為訪問的唯一點,防火墻能在被保護的網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間進行記錄。

(3)防火墻限制暴露用戶點。防火墻能夠用來隔開網(wǎng)絡(luò)中的兩個網(wǎng)段,這樣就能夠防止影響一個網(wǎng)段的信息通過整個網(wǎng)絡(luò)進行傳播。

(4)防火墻是一個安全策略的檢查站。所有進出的信息都必須通過防火墻,防火墻便成為安全問題的檢查點,使可疑的訪問被拒絕于門外。

2)防火墻存在的不足

(1)不能防范惡意的知情者。防火墻可以禁止系統(tǒng)用戶經(jīng)過網(wǎng)絡(luò)連接發(fā)送專有的信息,但用戶可以將數(shù)據(jù)復制到磁盤、磁帶上,放在公文包中帶出去。如果入侵者已經(jīng)在防火墻內(nèi)部,防火墻是無能為力的。內(nèi)部用戶可以偷竊數(shù)據(jù),破壞硬件和軟件,并且巧妙地修改程序而不接近防火墻。對于來自知情者的威脅,只能要求加強內(nèi)部管理。

(2)不能防范不通過它的連接。防火墻能夠有效地防止通過它傳輸?shù)男畔?,然而它卻不能防止不通過它而傳輸?shù)男畔ⅰ@?,如果站點允許對防火墻后面的內(nèi)部系統(tǒng)進行撥號訪問,那么防火墻絕對沒有辦法阻止入侵者進行撥號入侵。

(3)不能防備全部的威脅。防火墻被用來防備已知的威脅,如果是一個很好的防火墻設(shè)計方案,就可以防備新的威脅,但沒有一臺防火墻能自動防御所有新的威脅。4防火墻的管理與維護

如果已經(jīng)設(shè)計好了一個防火墻,使它滿足了你的機構(gòu)的需要,接下來的工作就是防火墻的管理與維護了。在防火墻設(shè)計建造完成以后,使它正常運轉(zhuǎn)還要做大量的工作。值得注意的是,這里許多維護工作是自動進行的。管理與維護工作主要有4個方面,它們分別是:建立防火墻的安全策略、日常管理、監(jiān)控系統(tǒng)、保持最新狀態(tài)。4.1建立防火墻的安全策略

要不要制定安全上的策略規(guī)定是一個有爭議的問題。有些人認為制定一套安全策略是相當必須的,因為它可以說是一個組織的安全策略輪廓,尤其在網(wǎng)絡(luò)上以及網(wǎng)絡(luò)系統(tǒng)管理員對于安全上的顧慮并沒有明確的策略時。

安全策略也可以稱為訪問上的控制策略。它包含了訪問上的控制以及組織內(nèi)其他資源使用的種種規(guī)定。訪問控制包含了哪些資源可以被訪問,如讀取、刪除、下載等行為的規(guī)范,以及哪些人擁有這些權(quán)力等信息。

1)網(wǎng)絡(luò)服務(wù)訪問策略

網(wǎng)絡(luò)服務(wù)訪問策略是一種高層次的、具體到事件的策略,主要用于定義在網(wǎng)絡(luò)中允許的或禁止的網(wǎng)

溫馨提示

  • 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁內(nèi)容里面會有圖紙預覽,若沒有圖紙預覽就沒有圖紙。
  • 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
  • 5. 人人文庫網(wǎng)僅提供信息存儲空間,僅對用戶上傳內(nèi)容的表現(xiàn)方式做保護處理,對用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對任何下載內(nèi)容負責。
  • 6. 下載文件中如有侵權(quán)或不適當內(nèi)容,請與我們聯(lián)系,我們立即糾正。
  • 7. 本站不保證下載資源的準確性、安全性和完整性, 同時也不承擔用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。

評論

0/150

提交評論