电子商务安全-第3章.pptVIP

电子商务安全 第三章 Internet安全 3.1防火墙技术 防火墙（Fire wall）： 软件和硬件（如计算机、路由器）的组合，处于企业或网络群体计算机与外界通道之间，用来加强Internet与Intranet之间安全防范的一个或一组系统。它控制网络内外的信息交流，提供接入控制和审查跟踪，在外部网和内部网之间的界面构筑的保障屏障。 3.1.1防火墙的功能 包过滤技术 网络地址转换 代理服务 状态检查 包过滤防火墙 包过滤技术在网络层对数据包进行选择，但不能针对数据包的内容对数据包进行过滤（因为数据包的内容是应用层数据）； 包过滤防火墙的安装：双宿网关、路由器或服务器。 包过滤防火墙的原理 包过滤防火墙的工作原理 通过在网络中的适当位置对数据包进行过滤，根据检查数据流中每个数据包的源地址、目的地址、所有的TCP端口号和TCP链路状态等要素，然后依据一组预定义的规则，以允许合乎逻辑的数据包通过防火墙进入到内部网络，而将不合乎逻辑的数据包加以删除。 包过滤防火墙优缺点 优点：不用改动应用程序、过滤路由器能协助保护整个网络、数据包过滤对用户透明、过滤路由器速度快、效率高。 缺点：不能彻底防止地址欺骗；一些应用协议不适合于数据包过滤（如UDP协议）；正常的数据包过滤路由器无法执行某些安全策略；安全性较差 ；数据包工具存在很多局限性。 网络地址服务 网络地址转换器在防火墙上装一套自己的IP地址集。当受保护网络某一个用户需要访问Internet时，防火墙动态的从地址集中选一个未使用的地址分配给该用户，同时对于内部的服务器，网络地址转换器允许为其分配一个固定的合法地址，外部网络用户可以通过防火墙来访问内部服务器。 代理服务防火墙 代理服务防火墙运行在两个网络之间，它对于客户来说像是一台真的服务器一样，而对于外界的服务器来说，它又是一台客户机。 当代理服务器接收到用户的请求后，会检查用户请求的站点是否符合公司的要求，如果公司允许用户访问该站点的话，代理服务器会像一个客户一样，去那个站点取回所需信息再转发给客户。 代理服务防火墙的优点 （1）代理易于配置。 （2）代理能生成各项记录。 （3）代理能灵活、完全地控制进出流量、内容。 （4）代理能过滤数据内容。 （5）代理能为用户提供透明的加密机制。 （6）代理可以方便地与其他安全手段集成。 代理服务防火墙的缺点 （1）代理速度较路由器慢。 （2）代理对用户不透明。 （3）对于每项服务代理可能要求不同的服务器。 （4）代理服务不能保证免受所有协议弱点的限制。 （5）代理不能改进底层协议的安全性。 状态检查防火墙 采用一个在网关上执行网络安全策略的软件引擎（称之为检测模块）。检测模块在不影响网络正常工作的前提下，采用抽取相关数据的方法对网络通信的各层实施监测，抽取部分数据，即状态信息，并动态地保存起来作为以后指定安全决策的参考。 状态检查防火墙的优缺点 优点： （1）检测模块支持多种协议和应用程序，并可以很容易地实现应用和服务的扩充。 （2）它会监测RPC和UDP之类的端口信息，而包过滤和代理网关都不支持此类端口。 （3）性能坚固 缺点： （1）配置非常复杂。 （2）降低网络的速度。 3.1.2防火墙体系结构 3.1.3防火墙实施 屏蔽路由器防火墙 屏蔽主机网关防火墙 双宿主机网关防火墙 屏蔽子网防火墙 安全服务器网络防火墙 屏蔽路由器防火墙 又称包过滤路由器，在一般路由器的基础上增加了一些新的安全控制功能，是一个检查通过它的数据包的路由器。 屏蔽主机防火墙 屏蔽主机防火墙由包过滤路由器和堡垒主机（Bastion Host）组成，它所提供的安全性能要比包过滤防火墙系统要强，因为它实现了网络层安全（包过滤）和应用层安全（代理服务）的结合。当入侵者在破坏内部网络的安全性之前，必须首先突破这两种不同的安全系统。 屏蔽主机防火墙原理和实现过程 堡垒主机位于内部网络上，而包过滤路由器则放置在内部网络和外部网络之间。在路由器上设置相应的规则，使得外部系统只能访问堡垒主机。 由于内部主机与堡垒主机处于同一个网络，内部系统是否允许直接访问外部网络，或者是要求使用堡垒主机上的代理服务来访问外部网络完全由企业的安全策略来决定。 对路由器的过滤规则进行配置，使得其只接收来自堡垒主机的内部数据包，就可以强制内部用户使用代理服务，从而加强内部用户对外部Internet访问的管理。 双宿主