① 包過濾防火牆的過濾規則
包過濾防火牆檢查每一個傳入包,查看包中的源地址、目的地址、TCP/IP埠號、傳回輸協議等,然後將這些信答息與設立的規則相比較。在包過濾防火牆中,定義數據包過濾規則的一般是ACL(AccessControlList,訪問控制列表)。包過濾防火牆檢查每一個傳入包,查看包中的源地址、目的地址、TCP/IP埠號、傳輸協議等,然後將這些信息與設立的規則相比較。
② 動態包過濾型防火牆和靜態包過濾防火牆有什麼區別
靜態包過濾防火牆是根據定義好的過濾規則審查每個數據包,以便確定其是否與某一內條包過濾規則匹配。過容濾規則基於數據包的報頭信息進行制訂。報頭信息中包括IP源地址、IP目標地址、傳輸協議(TCP、UDP、ICMP等等)、TCP/UDP目標埠、ICMP消息類型等。包過濾類型的防火牆要遵循的一條基本原則是「最小特權原則」,即明確允許那些管理員希望通過的數據包,禁止其他的數據包。
動態包過濾防火牆是就是後來的包狀態監測(Stateful Inspection)技術,監控每一個連接,自動臨時增加適當的規則。
③ 狀態防火牆和包過濾防火牆的區別是什麼啊
1、含義上的區別
狀態防火牆是一種能夠提供狀態封包檢查或狀態檢視功能的防火牆。
包過濾防火牆是用一個軟體查看所流經的數據包的包頭,由此決定整個包的命運。
2、作用上的區別
狀態防火牆能夠持續追蹤穿過這個防火牆的各種網路連接(例如TCP與UDP連接)的狀態。這種防火牆被設計來區分不同連接種類下的合法數據包。只有匹配主動連接的數據包才能夠被允許穿過防火牆,其他的數據包都會被拒絕。
包過濾防火牆除了決定是否有到達目標地址的路徑外,還要決定是否應該發送數據包;能為用戶提供了一種透明的服務,用戶不需要改變客戶端的任何應用程序,也不需要用戶學習任何新的東西。因為過濾路由器工作在IP層和TCP層,而IP層和TCP層與應用層的問題毫不相關。
3、工作原理上的區別
狀態防火牆會跟蹤網路連接的狀態(例如TCP流或UDP通信),狀態檢查隨著時間的推移監視傳入和傳出的數據包以及連接的狀態,並將數據存儲在動態狀態表中。在建立連接時執行大部分CPU密集型檢查,條目僅為滿足定義的安全策略的TCP連接或UDP流創建。
數據包過濾用在內部主機和外部主機之間, 過濾系統是一台路由器或是一台主機。過濾系統根據過濾規則來決定是否讓數據包通過。用於過濾數據包的路由器被稱為過濾路由器。數據包過濾是通過對數據包的IP頭和TCP頭或UDP頭的檢查來實現。
④ 包過濾防火牆的工作原理
防火牆只是能夠使包往哪個埠走,就像一間房子的作用。。。他子開放幾個通道,不會對包內容(比如是否有病毒)進行檢查的。。。。除非你用超好的
⑤ 包過濾防火牆的特點是
包過濾防火牆是用一個軟體查看所流經的數據包的包頭(header),版由此決定整個包的命運。它權可能會決定丟棄(DROP)這個包,可能會接受(ACCEPT)這個包(讓這個包通過),也可能執行其它更復雜的動作。
特點如下:
1對於一個小型的、不太復雜的站點,包過濾比較容易實現。
2因為過濾路由器工作在IP層和TCP層,所以處理包的速度比代理伺服器快。
3過濾路由器為用戶提供了一種透明的服務,用戶不需要改變客戶端的任何應用程序,也不需要用戶學習任何新的東西。因為過濾路由器工作在IP層和TCP層,而IP層和TCP層與應用層的問題毫不相關。所以,過濾路由器有時也被稱為「包過濾網關」或「透明網關」,之所被稱為網關,是因為包過濾路由器和傳統路由器不同,它涉及到了傳輸層。
4過濾路由器在價格上一般比代理伺服器便宜。
⑥ 靜態包過濾防火牆、動態(狀態檢測)包過濾防火牆、應用層(代理)防火牆這三類防火牆適用情況
//ok,我改
//包過濾的防火牆最簡單,你可以指定讓某個IP或某個埠或某個網段的數據包通過[或不通過],它不支持應用層的過濾,不支持數據包內容的過濾。
//狀態防火牆更復雜一點,按照TCP基於狀態的特點,在防火牆上記錄各個連接的狀態,這可以彌補包過濾防火牆的缺點,比如你允許了ip為1.1.1.1的數據包通過防火牆,但是惡意的人偽造ip的話,沒有通過tcp的三次握手也可以闖過包過濾防火牆。
//應用代理網關防火牆徹底隔斷內網與外網的直接通信,內網用戶對外網的訪問變成防火牆對外網的訪問,然後再由防火牆轉發給內網用戶。所有通信都必須經應用層代理軟體轉發,訪問者任何時候都不能與伺服器建立直接的 TCP 連接,應用層的協議會話過程必須符合代理的安全策略要求。
應用代理網關的優點是可以檢查應用層、傳輸層和網路層的協議特徵,對數據包的檢測能力比較強。
//
一、當前防火牆技術分類
防火牆技術經歷了包過濾、應用代理網關、再到狀態檢測三個階段。
1.1 包過濾技術
包過濾防火牆工作在網路層,對數據包的源及目地 IP 具有識別和控製作用,對於傳輸層,也只能識別數據包是 TCP 還是 UDP 及所用的埠信息,如下圖所示。現在的路由器、 Switch Router 以及某些操作系統已經具有用 Packet Filter 控制的能力。
由於只對數據包的 IP 地址、 TCP/UDP 協議和埠進行分析,包過濾防火牆的處理速度較快,並且易於配置。
包過濾防火牆具有根本的缺陷:
1 .不能防範黑客攻擊。包過濾防火牆的工作基於一個前提,就是網管知道哪些 IP 是可信網路,哪些是不可信網路的 IP 地址。但是隨著遠程辦公等新應用的出現,網管不可能區分出可信網路與不可信網路的界限,對於黑客來說,只需將源 IP 包改成合法 IP 即可輕鬆通過包過濾防火牆,進入內網,而任何一個初級水平的黑客都能進行 IP 地址欺騙。
2 .不支持應用層協議。假如內網用戶提出這樣一個需求,只允許內網員工訪問外網的網頁(使用 HTTP 協議),不允許去外網下載電影(一般使用 FTP 協議)。包過濾防火牆無能為力,因為它不認識數據包中的應用層協議,訪問控制粒度太粗糙。
3 .不能處理新的安全威脅。它不能跟蹤 TCP 狀態,所以對 TCP 層的控制有漏洞。如當它配置了僅允許從內到外的 TCP 訪問時,一些以 TCP 應答包的形式從外部對內網進行的攻擊仍可以穿透防火牆。
綜上可見,包過濾防火牆技術面太過初級,就好比一位保安只能根據訪客來自哪個省市來判斷是否允許他(她)進入一樣,難以履行保護內網安全的職責。
1.2 應用代理網關技術
應用代理網關防火牆徹底隔斷內網與外網的直接通信,內網用戶對外網的訪問變成防火牆對外網的訪問,然後再由防火牆轉發給內網用戶。所有通信都必須經應用層代理軟體轉發,訪問者任何時候都不能與伺服器建立直接的 TCP 連接,應用層的協議會話過程必須符合代理的安全策略要求。
應用代理網關的優點是可以檢查應用層、傳輸層和網路層的協議特徵,對數據包的檢測能力比較強。
缺點也非常突出,主要有:
· 難於配置。由於每個應用都要求單獨的代理進程,這就要求網管能理解每項應用協議的弱點,並能合理的配置安全策略,由於配置繁瑣,難於理解,容易出現配置失誤,最終影響內網的安全防範能力。
· 處理速度非常慢。斷掉所有的連接,由防火牆重新建立連接,理論上可以使應用代理防火牆具有極高的安全性。但是實際應用中並不可行,因為對於內網的每個 Web 訪問請求,應用代理都需要開一個單獨的代理進程,它要保護內網的 Web 伺服器、資料庫伺服器、文件伺服器、郵件伺服器,及業務程序等,就需要建立一個個的服務代理,以處理客戶端的訪問請求。這樣,應用代理的處理延遲會很大,內網用戶的正常 Web 訪問不能及時得到響應。
總之,應用代理防火牆不能支持大規模的並發連接,在對速度敏感的行業使用這類防火牆時簡直是災難。另外,防火牆核心要求預先內置一些已知應用程序的代理,使得一些新出現的應用在代理防火牆內被無情地阻斷,不能很好地支持新應用。
在 IT 領域中,新應用、新技術、新協議層出不窮,代理防火牆很難適應這種局面。因此,在一些重要的領域和行業的核心業務應用中,代理防火牆正被逐漸疏遠。
但是,自適應代理技術的出現讓應用代理防火牆技術出現了新的轉機,它結合了代理防火牆的安全性和包過濾防火牆的高速度等優點,在不損失安全性的基礎上將代理防火牆的性能提高了 10 倍。
1.3 狀態檢測技術
我們知道, Internet 上傳輸的數據都必須遵循 TCP/IP 協議,根據 TCP 協議,每個可靠連接的建立需要經過 「 客戶端同步請求 」 、 「 伺服器應答 」 、 「 客戶端再應答 」 三個階段,我們最常用到的 Web 瀏覽、文件下載、收發郵件等都要經過這三個階段。這反映出數據包並不是獨立的,而是前後之間有著密切的狀態聯系,基於這種狀態變化,引出了狀態檢測技術。
狀態檢測防火牆摒棄了包過濾防火牆僅考查數據包的 IP 地址等幾個參數,而不關心數據包連接狀態變化的缺點,在防火牆的核心部分建立狀態連接表,並將進出網路的數據當成一個個的會話,利用狀態表跟蹤每一個會話狀態。狀態監測對每一個包的檢查不僅根據規則表,更考慮了數據包是否符合會話所處的狀態,因此提供了完整的對傳輸層的控制能力。
網關防火牆的一個挑戰就是能處理的流量,狀態檢測技術在大為提高安全防範能力的同時也改進了流量處理速度。狀態監測技術採用了一系列優化技術,使防火牆性能大幅度提升,能應用在各類網路環境中,尤其是在一些規則復雜的大型網路上。
任何一款高性能的防火牆,都會採用狀態檢測技術。
從 2000 年開始,國內的著名防火牆公司,如北京天融信等公司,都開始採用這一最新的體系架構,並在此基礎上,天融信 NGFW4000 創新推出了核檢測技術,在操作系統內核模擬出典型的應用層協議,在內核實現對應用層協議的過濾,在實現安全目標的同時可以得到極高的性能。目前支持的協議有 HTTP/1.0/1.1 、 FTP 、 SMTP 、 POP3 、 MMS 、 H.232 等最新和最常用的應用協議。
二、防火牆發展的新技術趨勢
2.1 新需求引發的技術走向
防火牆技術的發展離不開社會需求的變化,著眼未來,我們注意到以下幾個新的需求。
· 遠程辦公的增長。這次全國主要城市先後受到 SARS 病毒的侵襲,直接促成大量的企事業在家辦公,這就要求防火牆既能抵抗外部攻擊,又能允許合法的遠程訪問,做到更細粒度的訪問控制。現在一些廠商推出的 VPN (虛擬專用網)技術就是很好的解決方式。只有以指定方式加密的數據包才能通過防火牆,這樣可以確保信息的保密性,又能成為識別入侵行為的手段。
· 內部網路 「 包廂化 」 ( compartmentalizing )。人們通常認為處在防火牆保護下的內網是可信的,只有 Internet 是不可信的。由於黑客攻擊技術和工具在 Internet 上隨手可及,使得內部網路的潛在威脅大大增加,這種威脅既可以是外網的人員,也可能是內網用戶,不再存在一個可信網路環境。
由於無線網路的快速應用以及傳統撥號方式的繼續存在,內網受到了前所未有的威脅。企業之前的合作將合作夥伴納入了企業網路里,全國各地的分支機構共享一個論壇,都使可信網路的概念變得模糊起來。應對的辦法就是將內部網細分成一間間的 「 包廂 」 ,對每個 「 包廂 」 實施獨立的安全策略。
2.2 黑客攻擊引發的技術走向
防火牆作為內網的貼身保鏢,黑客攻擊的特點也決定了防火牆的技術走向。
80 埠的關閉。從受攻擊的協議和埠來看,排在第一位的就是 HTTP 協議( 80 埠)。
根據 SANS 的調查顯示,提供 HTTP 服務的 IIS 和 Apache 是最易受到攻擊,這說明 80 埠所引發的威脅最多。
因此,無論是未來的防火牆技術還是現在應用的防火牆產品,都應盡可能將 80 埠關閉。
· 數據包的深度檢測。 IT 業界權威機構 Gartner 認為代理不是阻止未來黑客攻擊的關鍵,但是防火牆應能分辨並阻止數據包的惡意行為,包檢測的技術方案需要增加簽名檢測 (signature inspection) 等新的功能,以查找已經的攻擊,並分辨出哪些是正常的數據流,哪些是異常數據流。
· 協同性。從黑客攻擊事件分析,對外提供 Web 等應用的伺服器是防護的重點。單單依靠防火牆難以防範所有的攻擊行為,這就需要將防火牆技術、入侵檢測技術、病毒檢測技術有效協同,共同完成保護網路安全的任務。早在 2000 年,北京天融信公司就已經認識到了協同的必要性和緊迫性,推出了 TOPSEC 協議,與 IDS 等其他安全設備聯動,與其他安全設備配合組成一個有機的可擴展的安全體系平台。目前主要支持和 IDS 的聯動和認證伺服器進行聯動。如支持國內十幾家知名的 IDS 、安全管理系統、安全審計、其他認證系統等等組成完整的 TOPSEC 解決方案。 2002 年 9 月,北電、思科和 Check Point 一道宣布共同推出安全產品,也體現了廠商之間優勢互補、互通有無的趨勢。
⑦ 簡述包過濾防火牆的工作原理
包過濾防火牆是最簡單的一種防火牆,它在網路層截獲網路數據包,根據防火牆的規則專表,來檢屬測攻擊行為。包過濾防火牆一般作用在網路層(IP層),故也稱網路層防火牆(Network Lev Firewall)或IP過濾器(IP filters)。數據包過濾(Packet Filtering)是指在網路層對數據包進行分析、選擇。通過檢查數據流中每一個數據包的源IP地址、目的IP地址、源埠號、目的埠號、協議類型等因素或它們的組合來確定是否允許該數據包通過。在網路層提供較低級別的安全防護和控制。
⑧ 防火牆的優缺點
防火牆就是一個位於計算機和它所連接的網路之間的軟體。該計算機流入流出的所有網路通信均要經過此防火牆。防火牆對流經它的網路通信進行掃描,這樣能夠過濾掉一些攻擊,以免其在目標計算機上被執行。防火牆還可以關閉不使用的埠。而且它還能禁止特定埠的流出通信,封鎖特洛伊木馬。最後,它可以禁止來自特殊站點的訪問,從而防止來自不明入侵者的所有通信。目前市場上的防火牆基本大同小異,瑞星、天網等都可以用的。
不過目前的很多遠程監控程序都是採用反向鏈接方式,這樣一來防火牆基本上就形同虛設了,防止非法遠程監控最簡單有效的方法是安裝媲西伊遮斯。媲西伊遮斯是遠程式控制制軟體的剋星,是一款採用全新技術、唯一專門從根本上阻斷遠程監控的軟體。它能從根本上徹底阻斷非法屏幕監控、非法鍵盤和滑鼠記錄,阻斷密碼大盜和文檔資料的竊取,是一款全新概念的防阻非法監控的軟體。只要一出現四大非法監控,媲西伊遮斯馬上自動切斷。尤其對於那些未流行病毒、黑客自己製作的木馬以及某些所謂的正當監控軟體作用更明顯,因為這些是殺毒軟體無法查到無法殺掉的
⑨ 包過濾防火牆與代理伺服器防火牆區別和聯系
過濾來防火牆工作在源網路協議IP層,它只對IP包的源地址、目標地址及相應埠進行處理,因此速度比較快,能夠處理的並發連接比較多,缺點是對應用層的攻擊無能為力。
代理伺服器防火牆將收到的IP包還原成高層協議的通訊數據,比如http連接信息,因此能夠對基於高層協議的攻擊進行攔截。缺點是處理速度比較慢,能夠處理的並發數比較少。代理伺服器是防火牆技術的發展方向,眾多廠商都在提高處理速度的同時基於代理開發防火牆的更高級防護功能。
⑩ 包過濾防火牆的過濾策略
* 拒絕來自某主機或某網段的所有連接。
* 允許來自某主機或某網段的所有連接。回
* 拒絕來答自某主機或某網段的指定埠的連接。
* 允許來自某主機或某網段的指定埠的連接。
* 拒絕本地主機或本地網路與其它主機或其它網路的所有連接。
* 允許本地主機或本地網路與其它主機或其它網路的所有連接。
* 拒絕本地主機或本地網路與其它主機或其它網路的指定埠的連接。
* 允許本地主機或本地網路與其它主機或其它網路的指定埠的連接。