09信息安全知識(shí)競(jìng)賽培訓(xùn)-防火墻

防火墻根底理論知識(shí)培訓(xùn)防火墻概述防火墻主要技術(shù)防火墻其它功能防火墻策略防火墻性能指標(biāo)防火墻部署案例分析防火墻技術(shù)的開展趨勢(shì)防火墻技術(shù)防火墻概述防火墻定義防火墻作用防火墻的局限性防火墻的分類防火墻的開展歷程防火墻術(shù)語(yǔ)防火墻體系結(jié)構(gòu)一種高級(jí)訪問控制設(shè)備，置于不同網(wǎng)絡(luò)平安域之間的一系列部件的組合，它是不同網(wǎng)絡(luò)平安域間通信流的唯一通道，能根據(jù)企業(yè)有關(guān)的平安政策控制〔允許、拒絕、監(jiān)視、記錄〕進(jìn)出網(wǎng)絡(luò)的訪問行為。防火墻定義防火墻概述防火墻定義防火墻作用防火墻的局限性防火墻的分類防火墻的開展歷程防火墻術(shù)語(yǔ)防火墻體系結(jié)構(gòu)防火墻作用過濾進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)管理進(jìn)出網(wǎng)絡(luò)的訪問行為封堵某些禁止的效勞記錄通過防火墻的信息內(nèi)容和活動(dòng)防火墻概述防火墻定義防火墻作用防火墻的局限性防火墻的分類防火墻的開展歷程防火墻術(shù)語(yǔ)防火墻體系結(jié)構(gòu)防火墻的局限性WEB效勞器或SQL效勞器E-MAIL效勞器FW防火墻的局限性如：穿透防火墻的攻擊client防火墻的局限性病毒、木馬等惡性程序可利用email夾帶闖關(guān)；防火墻不能解決來(lái)自內(nèi)部網(wǎng)絡(luò)的攻擊和平安問題；防火墻不能防止策略配置不當(dāng)或錯(cuò)誤配置引起的平安威脅；防火墻不能防止利用標(biāo)準(zhǔn)網(wǎng)絡(luò)協(xié)議中的缺陷以及系統(tǒng)正常效勞的漏洞進(jìn)行的攻擊；防火墻不能防止數(shù)據(jù)驅(qū)動(dòng)式的攻擊。有些外表看來(lái)無(wú)害的數(shù)據(jù)郵寄或拷貝到內(nèi)部網(wǎng)的主機(jī)上并被執(zhí)行時(shí)，可能會(huì)發(fā)生數(shù)據(jù)驅(qū)動(dòng)式的攻擊。防火墻概述防火墻定義防火墻作用防火墻的局限性防火墻的分類防火墻的開展歷程防火墻術(shù)語(yǔ)防火墻體系結(jié)構(gòu)Internet軟件防火墻硬件防火墻按形態(tài)分類按保護(hù)對(duì)象分類Internet保護(hù)整個(gè)網(wǎng)絡(luò)保護(hù)單臺(tái)主機(jī)網(wǎng)絡(luò)防火墻單機(jī)防火墻防火墻的分類防火墻概述防火墻定義防火墻作用防火墻的局限性防火墻的分類防火墻的開展歷程防火墻術(shù)語(yǔ)防火墻體系結(jié)構(gòu)防火墻廠家具有操作系統(tǒng)的源代碼，并可實(shí)現(xiàn)平安內(nèi)核去掉了不必要的系統(tǒng)特性、加固內(nèi)核、強(qiáng)化平安保護(hù)在功能上包括了分組過濾、應(yīng)用網(wǎng)關(guān)、電路級(jí)網(wǎng)關(guān)增加了許多附加的功能:加密、鑒別、地址轉(zhuǎn)換、LB、HA等透明性好、易用性好

基于路由器防火墻具有自主平安操作系統(tǒng)的防火墻基于通用操作系統(tǒng)的防火墻利用路由器本身的分組過濾功能，進(jìn)行分組過濾過濾依據(jù)：地址、端口號(hào)、IP旗標(biāo)及其它網(wǎng)絡(luò)特征防火墻與路由器是一體，只有過濾功能防火墻平安性不高批量上市的專用防火墻包括分組過濾或借用路由器的分組過濾功能兼有專用代理系統(tǒng)、監(jiān)控所有協(xié)議的數(shù)據(jù)和指令保護(hù)用戶編程空間和用戶可配置內(nèi)核參數(shù)的設(shè)置平安性高、速度快的特點(diǎn)套件式防火墻將過濾功能從路由器中獨(dú)立出來(lái)，并加上審計(jì)和報(bào)警功能針對(duì)用戶需求提供模塊化的軟件包軟件可通過網(wǎng)絡(luò)發(fā)送用戶可根據(jù)需要構(gòu)造防火墻與第一代防火墻相比，平安性提高了，價(jià)格降低了防火墻的開展歷程防火墻概述防火墻定義防火墻作用防火墻的局限性防火墻的分類防火墻的開展歷程防火墻術(shù)語(yǔ)防火墻體系結(jié)構(gòu)防火墻術(shù)語(yǔ)主機(jī)連接到網(wǎng)絡(luò)上的計(jì)算機(jī)系統(tǒng)保壘主機(jī)一種被強(qiáng)化的可以防御進(jìn)攻的計(jì)算機(jī)，被暴露于因特網(wǎng)之上，作為進(jìn)入內(nèi)部網(wǎng)的一個(gè)檢查點(diǎn)。雙宿主機(jī)有兩個(gè)網(wǎng)絡(luò)接口的計(jì)算機(jī)系統(tǒng)數(shù)據(jù)包過濾一些設(shè)備，如路由器、網(wǎng)橋或單獨(dú)的主機(jī)，可以有選擇地控制網(wǎng)絡(luò)上往來(lái)的數(shù)據(jù)流。防火墻術(shù)語(yǔ)屏蔽路由器一種可以根據(jù)過濾原那么對(duì)數(shù)據(jù)包進(jìn)行阻塞和轉(zhuǎn)發(fā)的路由器,也稱為篩選路由器。屏蔽主機(jī)被放置在屏蔽路由器后面的網(wǎng)絡(luò)上的主機(jī)，主機(jī)能被訪問的程度取決于路由器的屏蔽規(guī)那么。屏蔽子網(wǎng)位于屏蔽路由器后面的子網(wǎng)，子網(wǎng)能被訪問的程度取決屏蔽規(guī)那么。代理效勞器一種代表客戶和真正效勞器通信的程序。防火墻體系結(jié)構(gòu)屏蔽路由器多宿主主機(jī)屏蔽主機(jī)屏蔽子網(wǎng)內(nèi)部網(wǎng)絡(luò)外部網(wǎng)絡(luò)包過濾器進(jìn)行包過濾屏蔽路由器內(nèi)部網(wǎng)絡(luò)外部網(wǎng)絡(luò)禁止內(nèi)外網(wǎng)絡(luò)之間直接通信雙宿主主機(jī)通過應(yīng)用代理通過登陸到雙宿主主機(jī)上獲得效勞缺點(diǎn)：如何保護(hù)雙宿主主機(jī)本身的平安所有的通信必須經(jīng)過雙宿主主機(jī)雙(多)宿主主機(jī)堡壘主機(jī)進(jìn)行規(guī)那么配置，只允許外部主機(jī)與堡壘主機(jī)通訊互聯(lián)網(wǎng)對(duì)內(nèi)部其他主機(jī)的訪問必須經(jīng)過堡壘主機(jī)缺點(diǎn)：堡壘主機(jī)與其他主機(jī)在同一個(gè)子網(wǎng)

一旦堡壘主機(jī)被攻破或被越過，整個(gè)內(nèi)網(wǎng)和堡壘主機(jī)之間就再也沒有任何阻擋。不允許外部主機(jī)直接訪問除堡壘主機(jī)之外的其他主機(jī)過濾路由器屏蔽主機(jī)內(nèi)部網(wǎng)絡(luò)外部網(wǎng)絡(luò)堡壘主機(jī)禁止內(nèi)外網(wǎng)絡(luò)直接進(jìn)行通訊內(nèi)外部網(wǎng)絡(luò)之間的通信都經(jīng)過堡壘主機(jī)屏蔽子網(wǎng)內(nèi)部屏蔽路由器外部屏蔽路由器防火墻概述防火墻主要技術(shù)防火墻其它功能防火墻策略防火墻性能指標(biāo)防火墻部署案例分析防火墻技術(shù)的開展趨勢(shì)防火墻技術(shù)防火墻主要技術(shù)簡(jiǎn)單包過濾技術(shù)狀態(tài)檢測(cè)包過濾技術(shù)應(yīng)用代理技術(shù)復(fù)合型技術(shù)簡(jiǎn)單包過濾防火墻原理作用在網(wǎng)絡(luò)層和傳輸層，根據(jù)分組包頭源地址，目的地址和端口號(hào)、協(xié)議類型等標(biāo)志確定是否允許數(shù)據(jù)包通過。只有滿足過濾邏輯的數(shù)據(jù)包才被轉(zhuǎn)發(fā)到相應(yīng)的目的地出口端，其余數(shù)據(jù)包那么被從數(shù)據(jù)流中丟棄。創(chuàng)立包過濾規(guī)那么打算提供何種網(wǎng)絡(luò)效勞，并以什么方向提供這些效勞？需要限制內(nèi)部主機(jī)與因特網(wǎng)連接的能力嗎？因特網(wǎng)上是否有可信任的主機(jī)，可以某種形式訪問內(nèi)部網(wǎng)絡(luò)嗎？判斷依據(jù)有：數(shù)據(jù)包協(xié)議類型：TCP、UDP、ICMP、IGMP等源、目的IP地址源、目的端口：FTP、HTTP、DNS等IP選項(xiàng)：源路由選項(xiàng)等TCP選項(xiàng)：SYN、ACK、FIN、RST等其它協(xié)議選項(xiàng)：ICMPECHO、ICMPECHOREPLY等數(shù)據(jù)包流向：in或out數(shù)據(jù)包流經(jīng)網(wǎng)絡(luò)接口：eth0、eth1簡(jiǎn)單包過濾防火墻原理簡(jiǎn)單包過濾防火墻例如簡(jiǎn)單包防火墻應(yīng)用例如狀態(tài)檢測(cè)技術(shù)介紹最早源自Checkpoint一項(xiàng)稱為“StatefulInspection〞的技術(shù)又稱動(dòng)態(tài)包過濾防火墻檢測(cè)原理對(duì)于新建立的應(yīng)用連接，狀態(tài)檢測(cè)型防火墻先檢查預(yù)先設(shè)置的平安規(guī)那么，允許符合規(guī)那么的連接通過，并記錄下該連接的相關(guān)信息，生成狀態(tài)表。對(duì)該連接的后續(xù)數(shù)據(jù)包，只要是符合狀態(tài)表，就可以通過。目前的狀態(tài)檢測(cè)技術(shù)僅可用于TCP/IP網(wǎng)絡(luò)。分析高層協(xié)議狀態(tài)檢測(cè)技術(shù)介紹檢測(cè)內(nèi)容通信信息驗(yàn)證數(shù)據(jù)的源地址、目的地址和端口號(hào)、協(xié)議類型、應(yīng)用信息等多層的標(biāo)志，因此具有更全面的平安性通信狀態(tài)即以前的通信信息。應(yīng)用狀態(tài)即其他相關(guān)應(yīng)用的信息。操作信息在數(shù)據(jù)包中能執(zhí)行邏輯或數(shù)學(xué)運(yùn)算的信息。狀態(tài)檢測(cè)技術(shù)工作原理圖狀態(tài)檢測(cè)技術(shù)特點(diǎn)提供了完整的對(duì)傳輸層的控制能力。使防火墻性能得到較大的提高，特別是大流量的處理能力；而且，它根據(jù)從所有應(yīng)用層中提取的與狀態(tài)相關(guān)信息來(lái)做出平安決策，使得平安性也得到進(jìn)一步的提高。任何一款高性能的防火墻，都會(huì)采用狀態(tài)檢測(cè)技術(shù)。應(yīng)用代理技術(shù)介紹應(yīng)用代理防火墻實(shí)例外部Telnet效勞器內(nèi)部Telnet效勞器日志系統(tǒng)Telnet代理FTP代理認(rèn)證系統(tǒng)應(yīng)用網(wǎng)關(guān)一個(gè)Telnet代理的例子應(yīng)用代理技術(shù)優(yōu)缺點(diǎn)優(yōu)點(diǎn)是可以檢查應(yīng)用層、傳輸層和網(wǎng)絡(luò)層的協(xié)議特征，對(duì)數(shù)據(jù)包的檢測(cè)能力比較強(qiáng)；在網(wǎng)絡(luò)連接建立之前可以對(duì)用戶身份進(jìn)行認(rèn)證；所有通過防火墻的信息流可以被記錄下來(lái)；支持內(nèi)部網(wǎng)絡(luò)的信息隱藏；缺點(diǎn)難于配置由于每個(gè)應(yīng)用都要求單獨(dú)的代理進(jìn)程，這就要求網(wǎng)管能理解每項(xiàng)應(yīng)用協(xié)議的弱點(diǎn)，并能合理的配置平安策略，由于配置繁瑣，難于理解，容易出現(xiàn)配置失誤，最終影響內(nèi)網(wǎng)的平安防范能力。處理速度非常慢防火墻對(duì)用戶不透明復(fù)合型防火墻的工作原理防火墻新技術(shù)內(nèi)容檢測(cè)技術(shù)防資源濫用技術(shù)控制P2P下載連接控制與流量整形通過連接控制來(lái)限制具體用戶所能發(fā)出的會(huì)話數(shù)目。通過流量整形控制具體用戶所能占有的帶寬。QQ、MSN等即時(shí)通訊控制防火墻概述防火墻主要技術(shù)防火墻其它功能防火墻策略防火墻性能指標(biāo)防火墻部署案例分析防火墻技術(shù)的開展趨勢(shì)防火墻技術(shù)防火墻其它功能NAT功能平安審計(jì)負(fù)載均衡雙機(jī)熱備防御功能聯(lián)動(dòng)功能內(nèi)容過濾VPN功能策略路由VLAN終結(jié)和透?jìng)鞫丝谟成銬HCP環(huán)境支持MAC綁定功能帶寬管理多協(xié)議支持隱藏了內(nèi)部網(wǎng)絡(luò)的結(jié)構(gòu)內(nèi)部網(wǎng)絡(luò)可以使用私有IP地址公開地址缺乏的網(wǎng)絡(luò)可以使用這種方式提供IP復(fù)用功能NAT地址轉(zhuǎn)換技術(shù)負(fù)載均衡算法：順序選擇地址+權(quán)值根據(jù)PING的時(shí)間間隔來(lái)選擇地址+權(quán)值根據(jù)Connect的時(shí)間間隔來(lái)選擇地址+權(quán)值根據(jù)Connect然后發(fā)送請(qǐng)求并得到應(yīng)答的時(shí)間間隔來(lái)選擇地址+權(quán)值效勞器負(fù)載均衡

雙機(jī)熱備〔HA)功能HA群集另一個(gè)功能是負(fù)載平衡策略路由功能internetVlan網(wǎng)關(guān)：Vlan1Vlan2Vlan3VLAN路由終結(jié)Vlan1Vlan2Vlan3internet防火墻透明接入VLAN透?jìng)鱒lan網(wǎng)關(guān)：MAP(端口映射)對(duì)DHCP應(yīng)用環(huán)境的支持設(shè)定HostB的MAC地址設(shè)定HostB的IP地址為空根據(jù)HostB的MAC地址進(jìn)行訪問控制IP與MAC地址綁定后，不允許HostB假冒HostA的IP地址上網(wǎng)IP與MAC〔用戶〕的綁定

VPN解決方案與入侵檢測(cè)平安聯(lián)動(dòng)功能主機(jī)A主機(jī)B主機(jī)C發(fā)起攻擊受保護(hù)網(wǎng)絡(luò)識(shí)別出攻擊行為傳送通知報(bào)文發(fā)送響應(yīng)報(bào)文驗(yàn)證報(bào)文并采取措施阻斷連接或報(bào)警黑客多協(xié)議支持支持動(dòng)態(tài)路由對(duì)OSPF路由協(xié)議的支持對(duì)RIP、RIP2協(xié)議的支持多協(xié)議支持對(duì)NETBEUI、VOD協(xié)議的支持支持802.1q和Cisco的ISL協(xié)議等VLAN專用協(xié)議支持DHCP、BOOTP協(xié)議……用戶認(rèn)證支持內(nèi)建用戶認(rèn)證數(shù)據(jù)庫(kù)，支持外部RADIUS/LDAP認(rèn)證數(shù)據(jù)庫(kù)，支持RSA

SecurID和IPsec

VPN下RADIUS擴(kuò)展認(rèn)證。防火墻概述防火墻主要技術(shù)防火墻其它功能防火墻實(shí)現(xiàn)策略防火墻性能指標(biāo)防火墻部署案例分析防火墻技術(shù)的開展趨勢(shì)防火墻技術(shù)不允許外部網(wǎng)絡(luò)或Internet訪問內(nèi)部網(wǎng)絡(luò)，但允許內(nèi)部網(wǎng)絡(luò)訪問外部網(wǎng)絡(luò)或Internet。允許外部網(wǎng)絡(luò)或Internet訪問局部?jī)?nèi)部網(wǎng)絡(luò)，如一些信息效勞器、電子郵件效勞器或域名效勞器等等。哪些Internet效勞是本網(wǎng)絡(luò)系統(tǒng)打算使用或提供的？〔如TELNET、FTP、HTTP〕這些Internet效勞在哪或哪個(gè)范圍內(nèi)使用？〔如在本地網(wǎng)內(nèi)、整個(gè)Internet或撥號(hào)效勞等〕可能有哪些額外或臨時(shí)的效勞或需求？〔如加密、撥入效勞等〕提供這些效勞和訪問有哪些風(fēng)險(xiǎn)和總的花費(fèi)？防火墻實(shí)現(xiàn)策略邊界防火墻較為典型的配置劃分區(qū)域〔內(nèi)網(wǎng)，外網(wǎng)，dmz區(qū)〕，確定部署模式〔透明，路由，混合〕配置各個(gè)接口ip地址作nat規(guī)那么，作詳細(xì)的訪問控制規(guī)那么：內(nèi)網(wǎng)訪問外網(wǎng)外網(wǎng)訪問dmz區(qū)效勞器內(nèi)網(wǎng)訪問dmz區(qū)效勞器dmz區(qū)效勞器訪問外網(wǎng)其他配置防火墻概述防火墻主要技術(shù)防火墻策略防火墻其它功能防火墻性能指標(biāo)防火墻部署案例分析防火墻技術(shù)的開展趨勢(shì)防火墻技術(shù)防火墻性能指標(biāo)最大位轉(zhuǎn)發(fā)率吞吐量延時(shí)丟包率背靠背最大并發(fā)連接數(shù)最大并發(fā)連接建立速率平均無(wú)故障間隔時(shí)間定義：防火墻的位轉(zhuǎn)發(fā)率指在特定負(fù)載下每秒鐘防火墻將允許的數(shù)據(jù)流轉(zhuǎn)發(fā)至正確的目的接口的位數(shù)。最大位轉(zhuǎn)發(fā)率指在不同的負(fù)載下反復(fù)測(cè)量得出的位轉(zhuǎn)發(fā)率數(shù)值中的最大值

備注：將測(cè)試結(jié)果乘以幀長(zhǎng)就是位轉(zhuǎn)發(fā)率最大位轉(zhuǎn)發(fā)率定義：在不丟包的情況下能夠到達(dá)的最大速率衡量標(biāo)準(zhǔn)：吞吐量作為衡量防火墻性能的重要指標(biāo)之一,吞吐量小就會(huì)造成網(wǎng)絡(luò)新的瓶頸，以至影響到整個(gè)網(wǎng)絡(luò)的性能

吞吐量定義：入口處輸入幀最后1個(gè)比特到達(dá)至出口處輸出幀的第一個(gè)比特輸出所用的時(shí)間間隔衡量標(biāo)準(zhǔn)：防火墻的時(shí)延能夠表達(dá)它處理數(shù)據(jù)的速度造成數(shù)據(jù)包延遲到達(dá)目標(biāo)地延時(shí)定義：在連續(xù)負(fù)載的情況下，防火墻設(shè)備由于資源缺乏應(yīng)轉(zhuǎn)發(fā)但卻未轉(zhuǎn)發(fā)的幀百分比衡量標(biāo)準(zhǔn)：防火墻的丟包率對(duì)其穩(wěn)定性、可靠性有很大的影響防火墻由于資源缺乏只轉(zhuǎn)發(fā)了800個(gè)包丟包率=〔1000-800〕/1000=20%丟包率定義：從空閑狀態(tài)開始，以到達(dá)傳輸介質(zhì)最小合法間隔極限的傳輸速率發(fā)送相當(dāng)數(shù)量的固定長(zhǎng)度的幀，當(dāng)出現(xiàn)第一個(gè)幀喪失時(shí)，發(fā)送的幀數(shù)。衡量標(biāo)準(zhǔn)：背對(duì)背包的測(cè)試結(jié)果能表達(dá)出被測(cè)防火墻的緩沖容量,網(wǎng)絡(luò)上經(jīng)常有一些應(yīng)用會(huì)產(chǎn)生大量的突發(fā)數(shù)據(jù)包〔例如：NFS,備份，路由更新等〕，而且這樣的數(shù)據(jù)包的喪失可能會(huì)產(chǎn)生更多的數(shù)據(jù)包，強(qiáng)大緩沖能力可以減小這種突發(fā)對(duì)網(wǎng)絡(luò)造成的影響時(shí)間〔t〕包數(shù)量〔n〕少量包包增多峰值包減少?zèng)]有數(shù)據(jù)背靠背指標(biāo)表達(dá)防火墻對(duì)突發(fā)數(shù)據(jù)的處理能力背靠背定義：指穿越防火墻的主機(jī)之間或主機(jī)與防火墻之間能同時(shí)建立的最大連接數(shù)。衡量標(biāo)準(zhǔn)：并發(fā)連接數(shù)的測(cè)試主要用來(lái)測(cè)試被測(cè)防火墻建立和維持TCP連接的性能，同時(shí)也能通過并發(fā)連接數(shù)的大小表達(dá)被測(cè)防火墻對(duì)來(lái)自于客戶端的TCP連接請(qǐng)求的響應(yīng)能力

并發(fā)連接數(shù)并發(fā)連接數(shù)指標(biāo)可以用來(lái)衡量穿越防火墻的主機(jī)之間能同時(shí)建立的最大連接數(shù)定義：指穿越防火墻的主機(jī)之間或主機(jī)與防火墻之間單位時(shí)間內(nèi)建立的最大連接數(shù)。衡量標(biāo)準(zhǔn)：最大并發(fā)連接數(shù)建立速率主要用來(lái)衡量防火墻單位時(shí)間內(nèi)建立和維持TCP連接的能力單位時(shí)間內(nèi)增加的并發(fā)連接數(shù)最大并發(fā)連接建立速率防火墻概述防火墻主要技術(shù)防火墻策略防火墻其它功能防火墻性能指標(biāo)防火墻部署案例分析防火墻技術(shù)的開展趨勢(shì)防火墻技術(shù)VPN虛擬專用網(wǎng)防火墻內(nèi)容檢測(cè)防病毒入侵探測(cè)防火墻在網(wǎng)絡(luò)平安中的位置防火墻部署方式透明模式路由模式混合模式如果防火墻支持透明模式，那么內(nèi)部網(wǎng)絡(luò)主機(jī)的配置不用調(diào)整透明模式下，這里不用配置IP地址透明模式下，這里不用配置IP地址透明接入透明模式下防火墻相當(dāng)于網(wǎng)橋，原網(wǎng)絡(luò)結(jié)構(gòu)沒有改變外網(wǎng)、DMZ、內(nèi)網(wǎng)在同一個(gè)播送域，防火墻做透明設(shè)置。此時(shí)防火墻為透明模式。透明模式的典型應(yīng)用提供簡(jiǎn)單的路由功能路由接入外網(wǎng)、DMZ區(qū)、內(nèi)網(wǎng)都不在同一網(wǎng)段，防火墻做路由方式。這時(shí)，防火墻相當(dāng)于一個(gè)路由器。路由模式的典型應(yīng)用此時(shí)整個(gè)防火墻工作于透明+路由模式，我們稱之為綜合模式或者混合模式兩接口在不同網(wǎng)段