防火墻產(chǎn)品配置模型.ppt

1、Internet/ 公網(wǎng),內(nèi)部網(wǎng),路由器,控制臺,服務(wù)器,服務(wù)器,服務(wù)器,主機,主機,內(nèi)外網(wǎng)絡(luò)隔離 截取IP包，根據(jù)安全策略控制其進/出 雙向網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT） 基于一次性口令對移動訪問進行身份識別和控制 IPMAC捆綁，防止IP地址的濫用,安全記錄 通信事件記錄 操作事件記錄 違規(guī)事件記錄 異常情況告警,移動用戶,撥號用戶,局域網(wǎng)用戶,防火墻,內(nèi)部地址,內(nèi)部地址,路由器,HTTP服務(wù)器,DNS服務(wù)器,Email服務(wù)器,防火墻,DMZ區(qū),內(nèi)部專用網(wǎng)絡(luò),防火墻管理器,外部網(wǎng)絡(luò),安裝方式之一,安裝方式之二,隔離內(nèi)外網(wǎng)絡(luò)通信 控制外部用戶進入內(nèi)部專網(wǎng) 限制內(nèi)部用戶出訪 鑒別移動或異地辦公用戶的網(wǎng)

2、絡(luò)訪問 支持內(nèi)部網(wǎng)絡(luò)主機和服務(wù)器采用私有地址，對外界隱藏內(nèi)部網(wǎng)絡(luò)拓撲 防止內(nèi)部主機IP地址的濫用和誤用 對來自外部、內(nèi)部的網(wǎng)絡(luò)違規(guī)和入侵行為進行檢測和集中監(jiān)控 系統(tǒng)安全審計對違規(guī)通信、安全事件進行實時報警和處置 統(tǒng)計網(wǎng)絡(luò)通信流量，并根據(jù)策略進行流量控制 采用基于策略的方式對防火墻設(shè)備進行配置,產(chǎn)品應(yīng)用功能,安全公理/定理/推理,公理：所有的程序都有缺陷（摩菲定理） 大程序定律：大程序的缺陷甚至比它包含的內(nèi)容還多 推理：一個安全相關(guān)程序有安全性缺陷 定理：只要不運行這個程序，那么這個程序有缺陷，也無關(guān)緊要 推理：只要不運行這個程序，那么這個程序有安全性漏洞，也無關(guān)緊要 定理：對外暴露的計算機，應(yīng)

3、盡可能少地運行程序，且運行的程序也盡可能地小 推論：防火墻基本法則：防火墻必須配置得盡可能地小，才能降低風(fēng)險,防火墻配置策略的基本準則,一切未被允許的就是禁止的。 防火墻缺省封鎖所有的信息流，然后對希望提供的服務(wù)逐項開放。 優(yōu)點 : 實用,安全，可靠性高。 按規(guī)則鏈來進行匹配 使用源地址、目的地址、源端口、目的端口、協(xié)議、時間段進行匹配 從頭到尾的匹配方式 匹配成功馬上停止 立刻使用該規(guī)則的”接受、禁止、拒絕,防火墻 網(wǎng)絡(luò)地址轉(zhuǎn)換,6,內(nèi)部網(wǎng)絡(luò)地址 192.168.0.x,外部網(wǎng)絡(luò)/Internet地址,網(wǎng)絡(luò)地址轉(zhuǎn)換,Internet,0,192.

4、168.1.11,內(nèi)部網(wǎng),/,WWW Server,E_Mail Server,FTP Server,2,3/24,防火墻,6/24,重定向（反向NAT,/24,/24,/24,88 00:88:CC:A0:2C:4D,88 88:88:88:88:88:88,PASS,NO,IP包,IP包,IP / MAC 地址對應(yīng),安全日志,記錄用戶訪問的開始和終止時間 記錄用戶的通信事件，例如主機地址、訪問時間、協(xié)議等信息 記錄安全管理員的操作事件 記錄違規(guī)事件,安全VPN系統(tǒng),網(wǎng)絡(luò)隔離&加密&入侵檢測,認證服務(wù)器,安全網(wǎng)關(guān),網(wǎng)絡(luò)安全 管理工作站,各級分支機構(gòu),安全網(wǎng)關(guān),安全網(wǎng)關(guān),總部,資源子網(wǎng),路由器,路由器,各級分支機構(gòu),DDN/PSTN,行 業(yè) 及 領(lǐng) 域 專 網(wǎng) 安 全 平 臺,中央總部,省級機構(gòu),省級機構(gòu),市級機構(gòu),市級機構(gòu),市級機構(gòu),縣級機構(gòu),業(yè)務(wù)末端,縣級機構(gòu),縣級機構(gòu),業(yè)務(wù)末端,業(yè)務(wù)末端,業(yè)務(wù)末端,縣級機構(gòu),縣級機構(gòu),縣級機構(gòu),市級機構(gòu),業(yè)務(wù)末端,業(yè)務(wù)末端,業(yè)務(wù)末端,業(yè)務(wù)末端,縱向多級專網(wǎng)示意,國家級管理域,省級管理域,公共網(wǎng)絡(luò) DD