微点交流论坛 - 防火墙

» 游客: 注册 | 登录 | 帮助

微点交流论坛 » 防火墙 » 防火墙

hanker
版主

永远的偶像

积分 963
发帖 929
注册 2007-2-28

#1 防火墙

防火墙定义

      所谓防火墙指的是一个有软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问政策、验证工具、包过滤和应用网关4个部分组成，
      防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件(其中硬件防火墙用的很少只有国防部等地才用,因为它价格昂贵)。该计算机流入流出的所有网络通信均要经过此防火墙。

防火墙的功能

      防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。

为什么使用防火墙?

      防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。你可以将防火墙配置成许多不同保护级别。高级别的保护可能会禁止一些服务，如视频流等，但至少这是你自己的保护选择。

防火墙的类型

      防火墙有不同类型。一个防火墙可以是硬件自身的一部分，你可以将因特网连接和计算机都插入其中。防火墙也可以在一个独立的机器上运行，该机器作为它背后网络中所有计算机的代理和防火墙。最后，直接连在因特网的机器可以使用个人防火墙。

防火墙的概念

      当然，既然打算由浅入深的来了解，就要先看看防火墙的概念了。防火墙是汽车中一个部件的名称。在汽车中，利用防火墙把乘客和引擎隔开，以便汽车引擎一旦著火，防火墙不但能保护乘客安全，而同时还能让司机继续控制引擎。再电脑术语中，当然就不是这个意思了，我们可以类比来理解，在网络中，所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信。

防火墙的功能

      防火墙是网络安全的屏障：

      一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。

      防火墙可以强化网络安全策略：

      通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。

   对网络存取和访问进行监控审计：

      如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。

   防止内部信息的外泄：

      通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger，DNS等服务。Finger显示了主机的所有用户的注册名、真名，最后登录时间和使用shell类型等。但是Finger显示的信息非常容易被攻击者所获悉。攻击者可以知道一个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。防火墙可以同样阻塞有关内部网络中的DNS信息，这样一台主机的域名和IP地址就不会被外界所了解。

      除了安全作用，防火墙还支持具有Internet服务特性的企业内部网络技术体系VPN（虚拟专用网）。

      防火墙的英文名为“FireWall”，它是目前一种最重要的网络防护设备。从专业角度讲，防火墙是位于两个(或多个)网络间，实施网络之间访问控制的一组组件集合。

      防火墙在网络中经常是以下图所示的两种图标出现的。左边那个图标非常形象，真正像一堵墙一样。而右边那个图标则是从防火墙的过滤机制来形象化的，在图标中有一个二极管图标。而二极管我们知道，它具有单向导电性，这样也就形象地说明了防火墙具有单向导通性。这看起来与现在防火墙过滤机制有些矛盾，不过它却完全体现了防火墙初期的设计思想，同时也在相当大程度上体现了当前防火墙的过滤机制。因为防火最初的设计思想是对内部网络总是信任的，而对外部网络却总是不信任的，所以最初的防火墙是只对外部进来的通信进行过滤，而对内部网络用户发出的通信不作限制。当然目前的防火墙在过滤机制上有所改变，不仅对外部网络发出的通信连接要进行过滤，对内部网络用户发出的部分连接请求和数据包同样需要过滤，但防火墙仍只对符合安全策略的通信通过，也可以说具有“单向导通”性。

      防火墙的本义是指古代构筑和使用木制结构房屋的时候，为防止火灾的发生和蔓延，人们将坚固的石块堆砌在房屋周围作为屏障，这种防护构筑物就被称之为“防火墙”。其实与防火墙一起起作用的就是“门”。如果没有门，各房间的人如何沟通呢，这些房间的人又如何进去呢？当火灾发生时，这些人又如何逃离现场呢？这个门就相当于我们这里所讲的防火墙的“安全策略”，所以在此我们所说的防火墙实际并不是一堵实心墙，而是带有一些小孔的墙。这些小孔就是用来留给那些允许进行的通信，在这些小孔中安装了过滤机制，也就是上面所介绍的“单向导通性”。

      我们通常所说的网络防火墙是借鉴了古代真正用于防火的防火墙的喻义，它指的是隔离在本地网络与外界网络之间的一道防御系统。防火可以使企业内部局域网（LAN）网络与Internet之间或者与其他外部网络互相隔离、限制网络互访用来保护内部网络。典型的防火墙具有以下三个方面的基本特性：

      （一）内部网络和外部网络之间的所有网络数据流都必须经过防火墙

      这是防火墙所处网络位置特性，同时也是一个前提。因为只有当防火墙是内、外部网络之间通信的唯一通道，才可以全面、有效地保护企业网部网络不受侵害。

      根据美国国家安全局制定的《信息保障技术框架》，防火墙适用于用户网络系统的边界，属于用户网络边界的安全保护设备。所谓网络边界即是采用不同安全策略的两个网络连接处，比如用户网络和互联网之间连接、和其它业务往来单位的网络连接、用户内部网络不同部门之间的连接等。防火墙的目的就是在网络连接之间建立一个安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出内部网络的服务和访问的审计和控制。

      典型的防火墙体系网络结构如下图所示。从图中可以看出，防火墙的一端连接企事业单位内部的局域网，而另一端则连接着互联网。所有的内、外部网络之间的通信都要经过防火墙。

   （二）只有符合安全策略的数据流才能通过防火墙

      防火墙最基本的功能是确保网络流量的合法性，并在此前提下将网络的流量快速的从一条链路转发到另外的链路上去。从最早的防火墙模型开始谈起，原始的防火墙是一台“双穴主机”，即具备两个网络接口，同时拥有两个网络层地址。防火墙将网络上的流量通过相应的网络接口接收上来，按照OSI协议栈的七层结构顺序上传，在适当的协议层进行访问规则和安全审查，然后将符合通过条件的报文从相应的网络接口送出，而对于那些不符合通过条件的报文则予以阻断。因此，从这个角度上来说，防火墙是一个类似于桥接或路由器的、多端口的（网络接口>=2）转发设备，它跨接于多个分离的物理网段之间，并在报文转发过程之中完成对报文的审查工作。如下图：

      （三）防火墙自身应具有非常强的抗攻击免疫力

      这是防火墙之所以能担当企业内部网络安全防护重任的先决条件。防火墙处于网络边缘，它就像一个边界卫士一样，每时每刻都要面对黑客的入侵，这样就要求防火墙自身要具有非常强的抗击入侵本领。它之所以具有这么强的本领防火墙操作系统本身是关键，只有自身具有完整信任关系的操作系统才可以谈论系统的安全性。其次就是防火墙自身具有非常低的服务功能，除了专门的防火墙嵌入系统外，再没有其它应用程序在防火墙上运行。当然这些安全性也只能说是相对的。

      目前国内的防火墙几乎被国外的品牌占据了一半的市场，国外品牌的优势主要是在技术和知名度上比国内产品高。而国内防火墙厂商对国内用户了解更加透彻，价格上也更具有优势。防火墙产品中，国外主流厂商为思科（Cisco）、CheckPoint、NetScreen等，国内主流厂商为东软、天融信、联想、方正等，它们都提供不同级别的防火墙产品。
      防火墙的硬件体系结构曾经历过通用CPU架构、ASIC架构和网络处理器架构，他们各自的特点分别如下：
通用CPU架构
　　通用CPU架构最常见的是基于Intel X86架构的防火墙，在百兆防火墙中Intel X86架构的硬件以其高灵活性和扩展性一直受到防火墙厂商的青睐；由于采用了PCI总线接口，Intel X86架构的硬件虽然理论上能达到2Gbps的吞吐量甚至更高，但是在实际应用中，尤其是在小包情况下，远远达不到标称性能，通用CPU的处理能力也很有限。
　　国内安全设备主要采用的就是基于X86的通用CPU架构。
ASIC架构
　　ASIC（Application Specific Integrated Circuit，专用集成电路）技术是国外高端网络设备几年前广泛采用的技术。由于采用了硬件转发模式、多总线技术、数据层面与控制层面分离等技术， ASIC架构防火墙解决了带宽容量和性能不足的问题，稳定性也得到了很好的保证。
　　ASIC技术的性能优势主要体现在网络层转发上，而对于需要强大计算能力的应用层数据的处理则不占优势，而且面对频繁变异的应用安全问题，其灵活性和扩展性也难以满足要求。
　　由于该技术有较高的技术和资金门槛，主要是国内外知名厂商在采用，国外主要代表厂商是Netscreen，国内主要代表厂商为天融信。
网络处理器架构
　　由于网络处理器所使用的微码编写有一定技术难度，难以实现产品的最优性能，因此网络处理器架构的防火墙产品难以占有大量的市场份额。
　　随着网络处理器的主要供应商Intel, Broadcom, IBM等相继出售其网络处理器业务，目前该技术在网络安全产品中的应用已经走到了尽头。

※ ※ ※ 本文纯属【hanker】个人意见，与【微点交流论坛】立场无关※ ※ ※

2008-2-29 10:30

hanker
版主

永远的偶像

积分 963
发帖 929
注册 2007-2-28

#2

防火墙的发展史
第一代防火墙

　　第一代防火墙技术几乎与路由器同时出现，采用了包过滤（Packet filter）技术。下图表示了防火墙技术的简单发展历史。

　　第二、三代防火墙

　　1989年，贝尔实验室的Dave Presotto和Howard Trickey推出了第二代防火墙，即电路层防火墙，同时提出了第三代防火墙——应用层防火墙（代理防火墙）的初步结构。

　　第四代防火墙

　　1992年，USC信息科学院的BobBraden开发出了基于动态包过滤（Dynamic packet filter）技术的第四代防火墙，后来演变为目前所说的状态监视（Stateful inspection）技术。1994年，以色列的CheckPoint公司开发出了第一个采用这种技术的商业化的产品。

　　第五代防火墙

　　1998年，NAI公司推出了一种自适应代理（Adaptive proxy）技术，并在其产品Gauntlet Firewall for NT中得以实现，给代理类型的防火墙赋予了全新的意义，可以称之为第五代防火墙。

※ ※ ※ 本文纯属【hanker】个人意见，与【微点交流论坛】立场无关※ ※ ※

2008-2-29 10:30

hanker
版主

永远的偶像

积分 963
发帖 929
注册 2007-2-28

#3

《防火墙》：哈里森-福特重出江湖
Firewall

片名：Firewall
译名：防火墙/错误元素
导演：理查德·朗克莱恩Richard Loncraine
主演：哈里森·福特Harrison Ford
　　　弗吉尼亚·玛得森Virginia Madsen
　　　吉米·本内特Jimmy Bennett
　　　保罗·贝坦尼Paul Bettany
类型：动作/剧情/犯罪/惊悚
片长：105分钟
级别：PG-13(令人紧张的暴力内容)
出品：华纳兄弟
上映日期：2006年2月10日(美国) 2006年4月11日(中国内地)
官方网站：firewallmovie.warnerbros.com
IMDB评分：6.1/10 (564 votes)
推荐指数：★★★☆
剧情简介
　　日益猖獗的计算机黑客经常会在计算机网络上想方设法盗取银行的资产。然而，当今一种专门从事阻止黑客侵入银行计算机系统的防护系统也正在和网络上的这种违法行为进行着斗争。计算机安全专家杰克·斯坦福(哈里森·福特)便是从事这一行业的人。他如今供职于美国西部西雅图市一家国际金融机构太平洋银行。杰克·斯坦福是一名备受股东们信赖的高级网络安全主管，多年来负责设计最有效的防盗计算机系统和各种“防火墙”式的软件。然而，杰克的防盗系统却有一个致命弱点，那就是他自己。因为，防火墙的密码就由他来保管。这一点，似乎包括对银行里的现金垂涎已久的罪犯们也心知肚明……
　　身份非同一般的杰克，在公司的地位和待遇都相当的优厚。这也让他和他那身为建筑师的妻子贝丝·斯坦福(维吉尼亚·马德森)以及他们的一双儿女过着优裕的生活，包括一栋位于市郊高级住宅区的豪宅。但，幸福的生活终于被邪恶的贪心贼给打破了，这名凶狠的歹徒决定利用这一家人的性命以及杰克脑中的防火墙密码来满足自己瞬间发财的欲望。因此，好几个月来，比尔·考克斯(保罗·贝坦尼)一直在仔细观察杰克和他的家人的日常生活规律，并利用各种先进的电子设备，监控他们上网的活动，窃听他们的私人电话，熟知他们的日常作息，并窃取他们最隐私的资料等等。比尔·考克斯甚至了解到他们小孩的朋友的名字，以及他们的病史，更知道了他们居住的社区安保系统的密码。他花了将近一年的时间以完全掌控杰克一家人的每一个生活细节，现在终于到了可以行动的时间。比尔率领几个手下凶残地闯入杰克的豪宅，把贝丝和她的孩子们软禁在自己的家里。然后，勒令杰克帮助他们在网上安全地通过太平洋银行防火墙的保护窃取一亿美元的巨款……

演员阵容
　　在豪宅中休息了两年的哈里森·福特如今却重出江湖，不知是影迷们的一大幸事还是影坛的悲哀。很多人都怀疑，如此老迈的胳膊腿能否在动作戏中再次带给人们当年的精彩？想必印第安纳·琼斯的魅力已经一去不复返了。事实上，就在几年前，老福特已经显现出无法遮掩的老迈来了。《六天七夜》的差强人意，《疑云重重》的不知所谓，《K-19》也可谓一片混乱，一系列影片都在票房的争夺战中败下阵来。但经验老道的哈里森·福特适时地选择了休息，让人们在视觉疲劳时同样地有了很好的休息。如今，两年后尚不服老的福特再次披挂上阵也说明了他已经有了充分的准备。其实，哈里森·福特此番出山也颇为谨慎。为了使剧情看点足具，哈里森·福特不仅费心请来英伦演员保罗·贝坦尼扮演凶残绑匪，与自己共演一出智力与体力的双重对决，还亲自出马甄选片中自己老婆的人选，甚至对影片制作团队中较为低等的工作人员都做了百般挑选。
　　明眼的人都能看到，2005年，好莱坞电影的颓势也伴随着多位老明星再次“就范”的局面的产生。不知是冥冥中有何种联系，还是电影的必然规律所致。06年更是有老史泰龙精神抖擞地重上拳台，再次将老洛奇的故事展现示人……

※ ※ ※ 本文纯属【hanker】个人意见，与【微点交流论坛】立场无关※ ※ ※

2008-2-29 10:31

carrier
新手上路

积分 12
发帖 12
注册 2008-2-25

#4

学习了顶起继续学习

※ ※ ※ 本文纯属【carrier】个人意见，与【微点交流论坛】立场无关※ ※ ※

2008-3-2 18:22

qq2008444
银牌会员

职业潜水艇

积分 5373
发帖 5291
注册 2007-7-7
来自兰·基亚斯兰古拉王国

#5

可以给新手入门，很形象的介绍

※ ※ ※ 本文纯属【qq2008444】个人意见，与【微点交流论坛】立场无关※ ※ ※

迅雷不及掩耳盗铃，以不变应万变不离其宗，成事不足挂齿，此物最相思风雨中，一屋不扫何以扫天下无敌，东边日出西边雨一直下，举头望明月几时有，呆若木鸡毛当令箭，杀鸡焉用牛刀小试，锋芒毕露春光，围魏救赵宝奎，Very good bye，八格牙鲁冰花，一泻千里共婵娟……

2008-3-3 16:34

tustin
版主

积分 5092
发帖 5067
注册 2007-3-10
来自重庆

#6

不错的介绍

※ ※ ※ 本文纯属【tustin】个人意见，与【微点交流论坛】立场无关※ ※ ※

2008-3-3 22:42

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号