《信息安全工程》課件第1章

第1章信息安全概述1.1信息安全的重要性1.2信息安全的基本概念1.3信息安全的基本措施 1.1信息安全的重要性

美國數(shù)學(xué)家、信息論的創(chuàng)始人香農(nóng)(Shannon)認(rèn)為：“信息是用來消除隨機(jī)不定性的東西”。信息是信息論中的一個術(shù)語，通常把消息中有意義的內(nèi)容稱為信息。信息是一種資源，它由信息源、內(nèi)容、載體、傳輸、接收者五部分構(gòu)成。信息一般有4種形態(tài)，即數(shù)據(jù)、文本、聲音、圖像，這4種形態(tài)可以相互轉(zhuǎn)化。例如，圖像被傳送到計算機(jī)，就把圖像轉(zhuǎn)化成了數(shù)字。信息可以從不同角度來分類，按照其重要程度可分為戰(zhàn)略信息、戰(zhàn)術(shù)信息和作業(yè)信息；按照其應(yīng)用領(lǐng)域可分為管理信息、社會信息、科技信息和軍事信息；按照信息的加工順序可分為一次信息、二次信息和三次信息等；按照信息的反映形式可分為數(shù)字信息、圖像信息和聲音信息等；按照性質(zhì)可分為定性信息和定量信息。總之，信息在人類歷史的發(fā)展過程中扮演著重要的角色，對我們的生產(chǎn)和生活有著重要的意義。

目前,我國除有線通信外,蜂窩移動通信、WLAN等寬帶無線接入、藍(lán)牙和RFID等近距離無線通信也正在得到越來越廣泛的應(yīng)用。與此同時,國外敵對勢力為了竊取我國的政治、軍事、經(jīng)濟(jì)、科學(xué)技術(shù)等方面的秘密信息,運用偵察臺、偵察船、衛(wèi)星等手段,形成固定與移動、遠(yuǎn)距離與近距離、空中與地面相結(jié)合的立體偵察網(wǎng),截取我國通信傳輸中的信息。信息在存儲、處理和交換過程中,都存在泄密或被截收、竊聽、篡改和偽造的可能性。因此,有效地、系統(tǒng)地解決信息安全問題是一項迫切而艱巨的任務(wù)。其實,不僅我國存在這些問題,世界各個國家都會面臨信息安全問題。

信息安全及其合法使用問題已成為當(dāng)前世界上普遍存在的、亟待解決的重要問題之一。國際上圍繞信息的獲取、使用和控制的斗爭愈演愈烈,信息安全已成為維護(hù)國家安全和社會穩(wěn)定的一個焦點,各國都給予了極大的關(guān)注與投入。

因此,信息安全是國家安全的重要組成部分,關(guān)系著一個國家和民族的根本利益,要從國家和民族的最高利益出發(fā),對信息安全工作加以重視。 1.2信息安全的基本概念

1.2.1安全威脅

安全威脅是指某個人、物、事件或概念對某一資源的保密性、完整性、可用性或合法使用所造成的危險,而某種攻擊就是以某種威脅為目標(biāo)的具體實現(xiàn)手段。

安全威脅可以分為故意的和偶然的兩類。故意的威脅又可以進(jìn)一步分為被動威脅和主動威脅。被動威脅包括只對信息進(jìn)行監(jiān)聽,而不對其進(jìn)行修改。主動威脅包括對信息進(jìn)行故意修改?？傮w來說,被動攻擊比主動攻擊更容易以更少的代價付諸工程實現(xiàn)。表1.2.1已知安全威脅圖1.2.1典型的已知安全威脅及其相互關(guān)系1.2.2

ISO信息安全屬性

(1)保密性是指保證信息只讓合法用戶訪問,不泄露給非授權(quán)的個人或?qū)嶓w。信息的保密性可以具有不同的程度或?qū)哟?。所有人員都可以訪問的信息為公開信息。需要限制訪問的信息一般為敏感信息。敏感信息又可以根據(jù)信息的重要性及保密要求分為不同的密級,例如根據(jù)秘密泄露對國家經(jīng)濟(jì)、安全利益產(chǎn)生的影響,可將國家秘密分為秘密、機(jī)密和絕密三個等級?？筛鶕?jù)信息安全的實際要求,在符合《國家保密法》的前提下將信息劃分為不同的密級。具體實施中的信息保密性還有時效性要求(如保密期限到期后即可進(jìn)行解密)等。

(2)完整性是指保障信息及其處理方法的準(zhǔn)確性、完全性。它一方面是指信息在利用、傳輸、存儲等過程中不被篡改、丟失、缺損等;另一方面是指信息處理方法的正確性。不正確的操作有可能造成重要信息的丟失。信息完整性是信息安全的基本要求,破壞信息的完整性是影響信息安全的常用手段。例如,破壞商用信息的完整性可能就意味著整個交易的失敗。

(3)可用性是指有權(quán)使用信息的人在需要的時候可以立即獲取。例如,有線電視線路被中斷就是對信息可用性的破壞。

(4)可控性是指對信息的傳播及內(nèi)容具有控制能力。實現(xiàn)信息安全需要一套合適的控制機(jī)制,如策略、慣例、程序、組織結(jié)構(gòu)或軟件功能,這些都是用來保證信息的安全目標(biāo)能夠最終實現(xiàn)的機(jī)制。例如,美國制定和倡導(dǎo)的“密鑰托管”、“密鑰恢復(fù)”措施就是實現(xiàn)信息安全可控性的有效方法。1.2.3美國NII信息安全屬性

除ISO定義了安全屬性外,美國也定義了自己的信息安全屬性,其本質(zhì)和ISO定義的一致。在美國國家信息基礎(chǔ)設(shè)施(NII)的文獻(xiàn)中,給出了安全的5個屬性:可用性、機(jī)密性、完整性、可靠性和不可抵賴性。

(1)可用性是指得到授權(quán)的實體在需要時可以得到所需要的網(wǎng)絡(luò)資源和服務(wù)。

(2)機(jī)密性是指網(wǎng)絡(luò)中的信息不被非授權(quán)實體(包括用戶和進(jìn)程等)獲取與使用。

(3)完整性是指網(wǎng)絡(luò)信息的真實可信性,即網(wǎng)絡(luò)中的信息不會被偶然或者蓄意地進(jìn)行刪除、修改、偽造、插入等破壞,保證授權(quán)用戶得到的信息是真實的。

(4)可靠性是指系統(tǒng)在規(guī)定的條件下和規(guī)定的時間內(nèi),完成規(guī)定功能的概率?？煽啃允切畔踩罨镜囊笾?。

(5)不可抵賴性(也稱為不可否認(rèn)性)是指通信雙方在通信過程中,對于自己所發(fā)送或接收的消息的事實和內(nèi)容不能抵賴。1.2.4實際可用的信息安全屬性

ISO和NII給出的安全屬性中涉及的可控性和可靠性這兩種屬性不是通過信息安全中的安全協(xié)議就可以實現(xiàn)的,而需要采用其他特別的策略。例如,可用性的確?？赡苄枰锢泶胧?因為防止攻擊者使用信息容易,而防止攻擊者破壞信息很難;可控性一般采用數(shù)字內(nèi)容權(quán)限管理等技術(shù)來實現(xiàn)?？紤]到工程實現(xiàn)的可行性,這里結(jié)合現(xiàn)有的一些成熟的工程技術(shù)(如IEEE802.11(i)等)提出一種可以實現(xiàn)的信息安全屬性。這里所提出的安全屬性與NII的安全屬性相似,區(qū)別在于使用“認(rèn)證性”代替“可用性”,使用“新鮮性”代替“可靠性”,其他屬性保留,即認(rèn)證性、機(jī)密性、完整性、新鮮性和不可抵賴性。這里解釋一下認(rèn)證性和新鮮性。

認(rèn)證性是指確保信息訪問者獲取信息的來源是可認(rèn)證合法的,而不是來源不明的信息。認(rèn)證性和不可抵賴性不同,前者強(qiáng)調(diào)在沒有第三方的條件下消息接收者能夠確認(rèn)消息來源的有效性;后者強(qiáng)調(diào)任何第三方都可以鑒別消息發(fā)送者發(fā)送了該消息的事實。認(rèn)證性是有關(guān)通信雙方互相確認(rèn)對方身份的問題;不可抵賴性是有關(guān)第三方仲裁通信雙方糾紛的問題。新鮮性是指確保信息訪問者獲取的信息是當(dāng)前最新的,而不是過期的或重復(fù)獲取的信息。

在以后的章節(jié)中,討論某方案的安全性時,我們也主要以這里提出的5個屬性(即認(rèn)證性、機(jī)密性、完整性、新鮮性和不可抵賴性)為指標(biāo)。如果一個安全技術(shù)方案能夠同時滿足這里提出的5個安全屬性,則目前普遍認(rèn)為其是可用的,而且是足夠安全的。一般只有在涉及安全信息應(yīng)用系統(tǒng)時,才會考慮信息的可用性、可控性等,單個的安全技術(shù)方案不需要考慮。安全性和可用性本來就是一對矛盾,安全保護(hù)的結(jié)果必然導(dǎo)致如拒絕服務(wù)攻擊DoS等問題，從而影響可用性。這對矛盾需要通過策略去均衡,僅通過密碼技術(shù)是很難解決的。1.2.5信息安全的內(nèi)容

信息安全的內(nèi)容包括實體安全與運行安全兩方面。實體安全是保護(hù)設(shè)備、設(shè)施以及其他硬件設(shè)施免遭地震、水災(zāi)、火災(zāi)、有害氣體和其他環(huán)境事故以及人為因素破壞的措施和過程。運行安全是指為保障系統(tǒng)功能的安全實現(xiàn),提供一套安全措施來保護(hù)信息處理過程的安全。信息安全的內(nèi)容可以分為計算機(jī)系統(tǒng)安全、數(shù)據(jù)庫安全、網(wǎng)絡(luò)安全、病毒防護(hù)安全、訪問控制安全和加密安全六個方面。

(1)計算機(jī)系統(tǒng)安全是指計算機(jī)系統(tǒng)的硬件和軟件資源能夠得到有效控制,保證其資源能夠正常使用,避免各種運行錯誤與硬件損壞,為進(jìn)一步的系統(tǒng)構(gòu)建工作提供一個可靠、安全的平臺。

(2)數(shù)據(jù)庫安全是指為數(shù)據(jù)庫系統(tǒng)所管理的數(shù)據(jù)和資源提供有效的安全保護(hù)。一般將多種安全機(jī)制與操作系統(tǒng)相結(jié)合,從而實現(xiàn)數(shù)據(jù)庫的安全保護(hù)。

(3)網(wǎng)絡(luò)安全是指對訪問網(wǎng)絡(luò)資源或使用網(wǎng)絡(luò)服務(wù)的安全保護(hù),即為網(wǎng)絡(luò)的使用提供一套安全管理機(jī)制。

(4)病毒防護(hù)安全是指對計算機(jī)病毒的防護(hù)能力,包括單機(jī)系統(tǒng)和網(wǎng)絡(luò)系統(tǒng)資源的防護(hù)。

(5)訪問控制安全是指保證系統(tǒng)的外部用戶或內(nèi)部用戶對系統(tǒng)資源的訪問以及對敏感信息的訪問方式符合事先制定的安全策略,主要包括出入控制和存取控制。

(6)加密安全是指為了保證數(shù)據(jù)的保密性和完整性,通過特定算法完成明文與密文的轉(zhuǎn)換。1.2.6

ISO信息安全體系結(jié)構(gòu)

1.安全服務(wù)

安全服務(wù)是由參與通信的開放系統(tǒng)的某一層所提供的服務(wù),是針對網(wǎng)絡(luò)信息系統(tǒng)安全的基本要求而提出的,旨在加強(qiáng)系統(tǒng)的安全性以及對抗安全攻擊。

ISO7498－2標(biāo)準(zhǔn)中確定了五大類安全服務(wù),即鑒別、訪問控制、數(shù)據(jù)保密性、數(shù)據(jù)完整性和禁止否認(rèn)。

(1)鑒別服務(wù)用于保證雙方通信的真實性,證實通信數(shù)據(jù)的來源和去向是我方或他方所要求和認(rèn)同的,包括對等實體鑒別和數(shù)據(jù)源鑒別。

(2)訪問控制服務(wù)用于防止未經(jīng)授權(quán)的用戶非法使用系統(tǒng)中的資源,保證系統(tǒng)的可控性。訪問控制不僅可以提供給單個用戶,也可以提供給用戶組。

(3)數(shù)據(jù)保密性服務(wù)的目的是保護(hù)網(wǎng)絡(luò)中各系統(tǒng)之間交換的數(shù)據(jù),防止因數(shù)據(jù)被截獲而造成泄密。

(4)數(shù)據(jù)完整性服務(wù)用于防止非法用戶的主動攻擊(如對正在進(jìn)行交換的數(shù)據(jù)進(jìn)行修改、插入,使數(shù)據(jù)延時以及丟失數(shù)據(jù)等),以保證數(shù)據(jù)接收方收到的信息與發(fā)送方發(fā)送的信息完全一致。它包括可恢復(fù)的連接完整性、無恢復(fù)的連接完整性、選擇字段的連接完整性、無連接完整性、選擇字段的無連接完整性等。

(5)禁止否認(rèn)服務(wù)用來防止發(fā)送數(shù)據(jù)方發(fā)送數(shù)據(jù)后否認(rèn)自己發(fā)送過的數(shù)據(jù),或接收方接收數(shù)據(jù)后否認(rèn)自己收到過數(shù)據(jù)。它包括不得否認(rèn)發(fā)送和不得否認(rèn)接收。

2.安全機(jī)制

安全機(jī)制可以分為兩類:一類與安全服務(wù)有關(guān),是實現(xiàn)安全服務(wù)的技術(shù)手段;另一類與管理功能有關(guān),用于加強(qiáng)對安全系統(tǒng)的管理。ISO7498－2提供了八大類安全機(jī)制,分別是加密機(jī)制、數(shù)據(jù)簽名機(jī)制、訪問控制機(jī)制、數(shù)據(jù)完整性機(jī)制、認(rèn)證交換機(jī)制、防業(yè)務(wù)填充機(jī)制、路由控制機(jī)制和公證機(jī)制。 1.3信息安全的基本措施

1.3.1密碼技術(shù)

1.密鑰的產(chǎn)生和分配

在密鑰的產(chǎn)生過程中,關(guān)鍵是隨機(jī)性,要求盡可能用客觀的、物理的方法產(chǎn)生密鑰,并盡可能用完備的統(tǒng)計方法檢驗密鑰的隨機(jī)性,使不隨機(jī)的密鑰序列的出現(xiàn)概率能夠最小。

密鑰的分配是密鑰管理中最大的問題。密鑰必須通過最安全的信道進(jìn)行分配,指派非?？煽康男攀箶y帶密鑰來分配給互相通信的各用戶的人工方式不再適用,因為隨著用戶的增多和通信量的增大,密鑰更換十分頻繁(密鑰必須定期更換才能做到安全可靠),所以密鑰在網(wǎng)內(nèi)的自動分配方法便應(yīng)運而生。

在網(wǎng)內(nèi),密鑰可在用戶之間直接實現(xiàn)分配,也可通過密鑰分配中心(KDC,KeyDistributionCenter)分配。用戶甲向密鑰分配中心發(fā)送明文,說明想和用戶乙通信,也就是向KDC申請會話時使用的會話密鑰。KDC收到申請后,從用戶專用的主密鑰文件中找出用戶甲和乙的主密鑰,同時產(chǎn)生甲和乙通信所用的會話密鑰,分別用甲、乙的主密鑰加密會話密鑰并發(fā)送給甲、乙雙方,甲和乙即可用會話密鑰進(jìn)行保密通信。KDC可以為每對用戶在每次通信時產(chǎn)生一個新的會話密鑰,這就使得破譯密文變得十分困難。主密鑰是用來保護(hù)會話密鑰的,因此主密鑰也不能在不進(jìn)行更換的情況下長期使用。

2.密鑰的注入

密鑰的注入可采用鍵盤、軟盤、磁卡、磁條、智能卡、USBKey、專用設(shè)備等方式。對密鑰的注入應(yīng)予以嚴(yán)格保護(hù),注入過程應(yīng)在一個封閉的、保密的環(huán)境,注入人員應(yīng)當(dāng)可靠。操作時,只有在輸入合法的口令后才可開始注入,重要的密鑰應(yīng)當(dāng)由多人、多批次分開注入完成,不允許存在任何可能導(dǎo)出密鑰的殘留信息,一旦竊取者試圖讀出或分析推算出注入的密鑰,密鑰就會自行銷毀。

3.密鑰的存儲與銷毀

在密鑰產(chǎn)生以后,需要以密文形式存儲密鑰。密鑰的存儲方法有兩種:一種是讓密鑰存儲在密碼裝置中,這種方法需大量存儲和頻繁更換密鑰,實際操作過程十分繁瑣;另一種方法是運用一個主密鑰來保護(hù)其他密鑰,這種方法可將主密鑰存儲在密碼裝置中,而將數(shù)量相當(dāng)多的數(shù)據(jù)加密密鑰存儲在限制訪問權(quán)限的密鑰表中,從而既保證了密鑰的安全性與保密性,又有利于密鑰的管理。此外,在密鑰的存儲過程中,加、解密的操作口令應(yīng)由密碼操作人員掌握;加密設(shè)備應(yīng)有物理保護(hù)措施,如失電保護(hù)等;非法使用加密設(shè)施時應(yīng)有審核手段;采用軟件加密形式時,應(yīng)有軟件保護(hù)措施。對使用時間過長或已經(jīng)失效的密鑰,應(yīng)及時銷毀。1.3.2安全控制技術(shù)

1.數(shù)字簽名

書信或文件是根據(jù)親筆簽名或印章來證明其真實性的。但在計算機(jī)網(wǎng)絡(luò)中傳遞的文件又如何蓋章呢？這就是數(shù)字簽名所需解決的問題。數(shù)字簽名必須保證以下三點:

(1)接收者能核實發(fā)送者對報文的簽名。

(2)發(fā)送者事后不能抵賴對報文的簽名。

(3)接收者不能偽造對報文的簽名。

2.鑒別技術(shù)

鑒別技術(shù)用于證實交換過程的合法性、有效性和交換信息的真實性,可以防止對信息進(jìn)行有意篡改的主動攻擊。常用的鑒別方法主要有報文鑒別和身份鑒別。

1)報文鑒別

在對報文內(nèi)容進(jìn)行鑒別時,信息發(fā)送者在報文中加入一個鑒別碼,并經(jīng)加密后提供給對方檢驗。信息接收方利用約定的算法,對解密后的報文進(jìn)行運算,將得到的鑒別碼與收到的鑒別碼進(jìn)行比較,如果相符,則該報文內(nèi)容正確,否則,報文在傳送過程中已被改動了。2)身份鑒別

身份鑒別是對用戶能否使用計算機(jī)的鑒定,包括識別與驗證。識別是為了確認(rèn)誰要進(jìn)入系統(tǒng)。驗證是在進(jìn)入者回答身份后,系統(tǒng)對其身份的真?zhèn)舞b別。沒有驗證,識別就沒有可信性。口令是最常用的驗證方法,也是針對網(wǎng)絡(luò)的最常見的攻擊點之一。一般來說,口令是使用者為獲得進(jìn)入要求訪問的計算機(jī)系統(tǒng)或文件所必須使用的代碼,計算機(jī)將用戶提供的口令和存放在系統(tǒng)中的口令表進(jìn)行比較來鑒別用戶的合法身份?？诹畹纳煞椒ㄓ袃煞N:一種是由用戶自己選擇;另一種是由機(jī)器自動生成?！傲钆啤笔橇硗庖环N身份鑒別方法,它是用戶插入閱讀器的物理鑰匙或磁卡,通過在注冊時驗證令牌來獲得對計算機(jī)的訪問權(quán)。令牌相對于口令的優(yōu)點是:用戶不必?fù)?dān)心忘記它們的口令;口令可以很長且不可猜測。令牌的進(jìn)一步發(fā)展是“智能卡”,它帶有微處理器與存儲器,識別性能更好,能很好地對付冒充、猜測與攻擊。例如,銀行通過給每個客戶分配一個個人識別號(PIN)來保證自動出納機(jī)的安全問題。

3.訪問控制技術(shù)

訪問控制是指確定合法用戶對計算機(jī)系統(tǒng)資源所享有的權(quán)限,以防止非法用戶入侵和合法用戶使用非權(quán)限內(nèi)的資源。訪問控制是維護(hù)計算機(jī)安全運行、保護(hù)系統(tǒng)信息的重要技術(shù)手段。訪問控制技術(shù)包括網(wǎng)絡(luò)的訪問控制技術(shù)、主機(jī)的訪問控制技術(shù)、微型機(jī)的訪問控制技術(shù)和文件的訪問控制技術(shù)。訪問控制的作用是:保護(hù)存儲在計算機(jī)中的個人信息的保密性;保護(hù)公司重要信息的機(jī)密性;維護(hù)機(jī)器內(nèi)信息的完整性;減少病毒感染機(jī)會,延緩感染的傳播速度。

訪問控制的過程可以用審計的方法加以記載。審計是記錄用戶使用某一計算機(jī)系統(tǒng)所進(jìn)行的所有活動的過程,它通過記錄違反安全訪問規(guī)定的時刻、日期以及用戶活動而在計算機(jī)的控制方面起著重要作用。因為審計過程中收集的數(shù)據(jù)量非常大,所以審計系統(tǒng)的設(shè)計十分重要。1.3.3安全防范技術(shù)

1.病毒防治技術(shù)

20世紀(jì)80年代中期以來,隨著國內(nèi)計算機(jī)應(yīng)用的迅速普及,計算機(jī)病毒如同瘟疫一般在我國流行起來。雖然到目前為止我國還沒有出現(xiàn)影響很大的病毒破壞事件,但不能因此而放松警惕。事實上,計算機(jī)病毒每時每刻都在準(zhǔn)備攻擊計算機(jī)系統(tǒng),破壞計算機(jī)信息的安全。為遏制計算機(jī)病毒的蔓延,國家專門成立了計算機(jī)病毒的防治科研機(jī)構(gòu),自此我國的反病毒技術(shù)有了長足的進(jìn)步。從技術(shù)上來講,對計算機(jī)病毒的防治可以通過如下途徑進(jìn)行:一是在服務(wù)器上裝載防病毒模塊;二是軟件防治,定期或不定期地用防毒軟件檢測計算機(jī);三是在計算機(jī)上插防病毒卡;四是在網(wǎng)絡(luò)接口卡上安裝防病毒芯片。軟件防治可以不斷提高防治能力,但需要人為地經(jīng)常啟動防毒軟件,而且往往在病毒發(fā)作以后才能檢測到。目前國內(nèi)比較成熟的防病毒軟件有瑞星、金山毒霸和KV系列殺毒軟件等。防毒卡可以達(dá)到實時監(jiān)測的目的,但防毒卡的升級不方便,而且對計算機(jī)的運行速度有一定的影響。防病毒芯片將存取控制和病毒防護(hù)合二為一,但是版本升級不及時。病毒的技術(shù)防范畢竟屬于被動防御型措施,對它的全面治理需遵循“防殺結(jié)合,以防為主,以殺為輔,軟硬互補(bǔ),標(biāo)本兼治”的原則,從管理等方面著手,嚴(yán)格遵守各項規(guī)章制度。特別要強(qiáng)調(diào)的是,應(yīng)加強(qiáng)有關(guān)人員的安全防范意識,克服麻痹思想和僥幸心理,力爭防患于未然。目前我國對單機(jī)的防查病毒較為重視,而對網(wǎng)絡(luò)病毒的防治意識十分淡薄。事實上,當(dāng)網(wǎng)絡(luò)用戶將對方帶病毒的文檔或其他文件作為電子郵件接收過來并且另存到硬盤或軟盤上時,文件一直處于重編碼狀態(tài),傳統(tǒng)的基于服務(wù)器和工作站的殺毒軟件對它無能為力,用戶等于把整個系統(tǒng)完全暴露在病毒的攻擊下。例如,1996年底,互聯(lián)網(wǎng)中出現(xiàn)了一種名為PenpalGreetings的特洛伊木馬病毒,它以電子郵件的外表出現(xiàn),表面上似乎在征集筆友,而一旦用戶下載,它就會搗毀硬盤,并自動向信箱中的所有存儲地址轉(zhuǎn)發(fā)這一郵件。

2.防火墻技術(shù)

防火墻技術(shù)是一種使用很廣泛的網(wǎng)絡(luò)安全技術(shù)。防火墻是設(shè)置在被保護(hù)網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的一道屏障,以防止不可預(yù)料的、潛在的破壞入侵。它可通過監(jiān)測、限制、更改跨越防火墻的數(shù)據(jù)流,盡可能地對外部屏蔽被保護(hù)網(wǎng)絡(luò)的信息、結(jié)構(gòu)和運行情況等,防止外部網(wǎng)絡(luò)的未授權(quán)訪問,實現(xiàn)對網(wǎng)絡(luò)信息的安全保護(hù)。這一技術(shù)一般適用于相對獨立、與外部網(wǎng)絡(luò)互聯(lián)途徑有限,并且網(wǎng)絡(luò)服務(wù)相對集中的網(wǎng)絡(luò),如企業(yè)內(nèi)部網(wǎng)(即Intranet網(wǎng))。防火墻的職責(zé)就是根據(jù)本單位的安全策略,對外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)之間交流的數(shù)據(jù)進(jìn)行檢查,符合的予以放行,不符合的拒之門外?；凇鞍^濾”的包過濾型防火墻是防火墻技術(shù)的初級產(chǎn)品。這種類型的防火墻檢查數(shù)據(jù)流中的每個數(shù)據(jù)包后,根據(jù)數(shù)據(jù)包的源地址、目的地址、連接請求的方向(連入或連出的端口)、數(shù)據(jù)包協(xié)議和服務(wù)請求的類型等因素的組合來確定是否允許數(shù)據(jù)包通過。只有滿足訪問控制標(biāo)準(zhǔn)的數(shù)據(jù)包,才被轉(zhuǎn)發(fā)到相應(yīng)的目的地出口端,其余的則被刪除。其他類型的防火墻有代理服務(wù)器型、復(fù)合型、自適應(yīng)代理型和監(jiān)測型等。防火墻技術(shù)不同,其安全性能也大不一樣。防火墻的隔斷作用一方面加強(qiáng)了內(nèi)部網(wǎng)絡(luò)的安全,另一方面卻使內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的信息交流受到阻礙