第4章网络隔离与防火墙技术01.pptVIP

计算机网络安全基础 计算机网络安全基础 计算机网络安全基础 安全网管技术 张焕杰 中国科学技术大学网络信息中心 james@ 0/~james/nms Tel: 3601897(O) 第4章 网络隔离与防火墙技术(1) 本章主要内容 物理隔离技术与双网隔离计算机 协议隔离技术 防火墙技术 包过滤防火墙 Socks协议 参考资料： 计算机网络安全基础，袁津生等，人民邮电出版社 网络隔离与防火墙技术 根据安全等级不同将网络划分不同的部分 各个部分之间采用物理、逻辑隔离或受限访问方式互连 物理隔离 网络间禁止有物理通信线路连接 困难 拨号/无线网络 移动设备 逻辑隔离 协议转换 受限访问 防火墙 案例：政府网络 一般划分为3个安全等级不同的部分 内部保密专用网络，传送保密信息 业务网络，传送政府业务管理信息 Internet连接网络，建设网站或对外访问 保密网络要求跟其它部分物理隔离 其它部分可以在保证安全性情况下互连 案例：证券交易网 一般划分为3个安全等级不同的部分 证券交易业务专用网络，传送证券业务信息 企业内综合管理网络，传送办公、财务、VoIP等企业内部管理信息 Internet连接网络，建设网站或对外访问 交易网络首先要保证可靠性和安全性，跟其它部分物理隔离，必要时可以采用逻辑隔离方式连接 其它可以在保证安全性情况下互连 4.1 物理隔离 网络间禁止有物理通信线路连接 建立2套独立的网络系统 交换机、服务器、布线、客户机 难点： 无处不在的Internet 拨号/无线网络 移动设备 每人2台计算机？ 双网隔离计算机 解决每人2台计算机的问题 1台计算机，可以分时使用内网或外网 关键部件 硬盘 网线 软盘/USB/MODEM等 共享部件 显示器 键盘/鼠标 主板/电源 原理 切换关键部件 简单双网隔离计算机 简单双网隔离计算机 优点 一台计算机，可以分时使用内外网 降低成本 控制卡简单 缺点 增加硬盘 增加网线 安装复杂，重新安装一个操作系统 内外网数据无法传递 切换时需要 断电、切换、重新启动 复杂双网隔离计算机 复杂双网隔离计算机 优点 仅仅增加控制卡和远端设备（无源），成本低 安装容易，不需重新安装操作系统 软切换，界面友好 存在数据传输通道 设置一个逻辑分区，内网状态只读，外网状态可读写 缺点 控制卡复杂 双网隔离计算机 侧重保密需求 政府中应用较多 对病毒并无特别防护 使用中注意其它数据传输途径的危害 软盘/USB等 MODEM 4.2 协议隔离技术 使用不同的协议，切断整个系统内的全局连通性 避免被攻击后整个系统处于危险状态 类似于代理技术，协议转换相当于在不同协议之间的代理 常用于安全要求较高，但是又不得不建立连接的地方 串口/并口隔离技术 串口/并口隔离技术 优点 简单，相对比较安全 缺点 专有的转换程序、协议，不容易维护 速率慢 隐患 如简单的文件传输，带病毒的文件也会被传输 异构协议的隔离技术 异构协议的隔离技术 目的:破坏全局连通性 仅仅允许特定数据包被转发 安全性取决于 程序的实现 转换机的操作系统安全性 转换的协议细节 异构协议的隔离技术 转换的协议 一般采用基于数据包 收/发 的通信方式 跟应用直接相关 如证券交易的操作 主机签到/签到应答 交易请求/交易应答 查询请求/查询应答 协议越简单，实现的难度越低，越不容易出现问题，越安全 案例：网上证券交易系统 同构协议的隔离技术 单向连接 仅仅允许信息单向流动 如一个系统需要公开发布的信息，可以通过单向连接传输出去，而系统不具备任何被攻击的可能 实时交换 先连接到一个网络上读取一些数据 断开所有连接，对数据进行处理、安全检查 再连接到一个网络上发送这些数据 实时交换技术 实时交换技术 实时交换技术 实时交换技术 破坏了全局连通性 依靠类似存储转发机制 安全性提高？ 系统效率？ /product/product_gapbps.htm 4.3 防火墙技术 Firewall 来源于建筑业，用墙来分隔建筑物的各个部分，并具有防火功能。 万一某一部分或单元失火时，火灾被限制在一个局部范围内，其它部分不会受到损害。 防火墙技术 主要介绍： 1. 防火墙基本概念 2. 防火墙的分类 3. 包过滤 4. 代理服务 防火墙基本概念 防火墙是在两个网络之间执行访问控制策略的一个或一组系统，包括硬件和软件，目的是保护网络不被他人侵扰。 本质上，它遵循的是一种允许或阻止业务来往的网络通信安全机制，也就是提供可控的过滤网络通信，只允许授权的通信。 网络边界上访问控制设施。根据预先定义的策略控制穿过防火墙的信息流通。 防火墙基本概念 防火墙可以看成是安装在两个网络之间的一道栅栏，根据安全计划和安全策略中的定义来保护其后面的网络。 防火墙基本概念 由软件和硬