2章網(wǎng)賣企影與 73

 

 

并審查常規(guī)記錄，防火墻就形同虛設(shè)。在這種情況下，網(wǎng)絡(luò)管理員永遠(yuǎn)不會知道防火墻是否受 到攻擊。 Internet I防火墻可以作為部署NAT( Network Address Translator，網(wǎng)絡(luò)地址變換)的邏

輯地址。因此，防火墻可以用來緩解地址空間短缺的問題，并消除機(jī)構(gòu)在變換ISP時帶來的重

 

 

新編址的麻煩。心只 ，常的路項(xiàng)要島，民口中眼

 

 

 

防火墻的安全保障技術(shù)防火墻的安全保障技術(shù)是基于被保護(hù)網(wǎng)絡(luò)具有明確定義的邊界和服務(wù)，并且網(wǎng)絡(luò)安全的

屏蔽有關(guān)被保護(hù)網(wǎng)絡(luò)的信息、結(jié)構(gòu)，實(shí)現(xiàn)對網(wǎng)絡(luò)的安全保護(hù)，因而比較適合于相對獨(dú)立，與外 威脅僅來自于外部網(wǎng)絡(luò)。它通過監(jiān)測、限制以及更改跨越防火墻的數(shù)據(jù)流，盡可能地對外部網(wǎng)

部網(wǎng)絡(luò)互聯(lián)途徑有限并且網(wǎng)絡(luò)服務(wù)種類相對單一集中的網(wǎng)絡(luò)系統(tǒng)。防火墻系統(tǒng)在技木原理

上對來自內(nèi)部網(wǎng)絡(luò)系統(tǒng)的安全威脅不具備防范作用，并且常常需要有特殊的較為封閉的網(wǎng)絡(luò)

拓?fù)浣Y(jié)構(gòu)來支持。對網(wǎng)絡(luò)安全功能的加強(qiáng)往往以網(wǎng)絡(luò)服務(wù)的靈活性、多樣性和開放性為代價

且需要較大的網(wǎng)絡(luò)管理開銷。回直當(dāng)，日通內(nèi)阻野，頭國，政語，圖年的

盡管防火墻已經(jīng)在 Internet業(yè)界得到了廣泛的應(yīng)用，但與防火墻有關(guān)的話題仍然十分敏

感。防火墻的用戶把防火墻看作是一種重要的新型安全措施，因?yàn)樗阎T多安全功能集于二

點(diǎn)上，大大簡化了安裝、配置和管理的手續(xù)。防火墻的另一特色是它不限于TCP/IP協(xié)議，從

而不只適用于 Internet，類似的技術(shù)完全可以在任何分組交換的網(wǎng)絡(luò)當(dāng)中使用。例如x.25或

 

 

ATM都可以。會的金同內(nèi)業(yè)生限不的思中図內(nèi)業(yè)全

 

個部分。安全策略建立全方位的防御體系基至包括:告訴用戶應(yīng)有的任公司規(guī)定的網(wǎng) 防火墻不僅僅是路由器、堡全主機(jī)或任何提供網(wǎng)絡(luò)安全的設(shè)備的組合，而且是安全策略的

絡(luò)訪間、服務(wù)訪問、本地和遠(yuǎn)地的用戶認(rèn)證、投人和出、磁盤和數(shù)據(jù)加密、病毒防護(hù)措施，以及 雇員培訓(xùn)等。所有可能受到攻擊的地方都必須以同樣的安全級別加以保護(hù)。僅設(shè)立防火墻系

統(tǒng)，而沒有全面的安全策略，那么防火墻就形同虛設(shè)。后中人に

 

3.過濾網(wǎng)上信息。數(shù)據(jù)包過濾技術(shù)顧名思義，是在網(wǎng)絡(luò)中適當(dāng)?shù)奈恢脤?shù)據(jù)包實(shí)施有選

擇的通過，選擇的依據(jù)即為系統(tǒng)內(nèi)設(shè)置的過濾原則(通常稱為訪問控制表 Access Control

List)。只有滿足過濾規(guī)則的數(shù)據(jù)包才被轉(zhuǎn)發(fā)至相應(yīng)的目的地，其余的數(shù)據(jù)包則被從數(shù)據(jù)流中

刪除。包過濾技術(shù)的實(shí)現(xiàn)方式相當(dāng)簡潔，目前大多數(shù)網(wǎng)絡(luò)的路由設(shè)備通常都具有一定的數(shù)據(jù)

包過濾能力。因而是路由設(shè)備在完成路由和轉(zhuǎn)發(fā)功能之外，同時進(jìn)行包過濾，可以提供廉價

有效、容易重新配置和具有一定靈活性的網(wǎng)絡(luò)級安全。

 

此外，在工作站上使用軟件進(jìn)行包過濾，也不失為一種可行的方案，但較為昂貴。若在適

當(dāng)?shù)穆酚稍O(shè)備上啟動包過濾功能(作此用途的路由器稱為屏蔽路由器 Screening Route)，則通

常不需要額外增加硬件軟件配置，也不需要對網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)作改動。但是，包過濾是在網(wǎng)絡(luò)層

和傳輸層上運(yùn)作的技術(shù)，本身對網(wǎng)絡(luò)的保護(hù)功能有局限性，對位于網(wǎng)絡(luò)更高協(xié)議層的信息無理

解力，因而也對通過網(wǎng)絡(luò)應(yīng)用層協(xié)議實(shí)現(xiàn)的安全威脅無防范作用。

 

目前商業(yè)包過濾防火墻超出常規(guī)的路由器，它增加了廣泛的記錄功能和安全功能，如偵察

電子欺騙(外部機(jī)器聲稱自己是受委托主機(jī))。記錄功能不僅能分析進(jìn)攻的情況，而且對保護(hù)

網(wǎng)絡(luò)和提供法律依據(jù)都是極其重要的。

4.限制系統(tǒng)

 

(1)配置軟件。通過增加軟硬件，或者對系統(tǒng)進(jìn)行配置，例如增強(qiáng)記賬，來保護(hù)系統(tǒng)的安