应用阶层闸道-淡江大学.ppt

資訊安全導論淡江大學 資訊管理系侯 永 昌.tw/~ychou .tw/Prof_Hou 前言 網路可看成是將許多分散各地的電腦主機連接起來，彼此間可以互傳訊息及共享資訊 網路要正確運作需要一些通信協定來協助(如TCP/IP、SMTP、FTP、Telnet、HTTP等) 要架構一個絕對安全的網路系統是很困難的，因為使用者的需求往往和安全性相衝突 管理者須先清楚知道網路中存在哪些威脅、將授權給哪些人使用、使用哪些通訊協定等。評估網路系統可能遭受的安全威脅後，再研擬適當的防護措施 網路安全的威脅 常見的網路系統安全威脅來自三個來源： 來自外部的駭客(Hackers)：駭客可能透過網路登入到未經授權的主機去竊取機密或進行破壞 惡意的訊息：病毒或垃圾訊息藉以癱瘓系統 內部惡意的使用者：安全威脅可能是經由授權合法的使用者所引起 美國電腦網路危機處理中心每年處理之事件數 封包過濾路由器防火牆 封包過濾路由器的優點 部分網際網路防火牆系統僅使用封包過濾路由器來完成。Provide low-level control and are difficult to get around 由於標準路由器軟體皆包含封包過濾的功能，因此，除了必須花費時間來規劃過濾規則與設定路由器之外，實作封包過濾幾乎毋須任何費用 封包過濾路由器通常不會涉及使用者與應用程式，因此不必再進行特殊的使用者訓練，或是添購特定的軟體 封包過濾路由器的缺點 定義封包過濾規則是相當複雜的工作，因為網路管理員必須深入瞭解各種網際網路服務、封包表頭格式，以及每個欄位所預期的特定值 由於允許外部系統與內部系統之間直接交換封包，但是封包過濾機制無法檢查封包的內容。看似無害的封包若隱藏了惡意程式，通過路由器後，便有可能出現資料攻擊，讓入侵者得以輕易的存取系統 過濾規則若設定不當，容易遭受攻擊；若需要使用複雜的過濾規則，不僅後續管理困難，這些規則也會變得難以理解。一般而言，過濾規則愈多，可通過路由器的封包就愈少 啟用封包過濾機制後，路由器不僅負責轉送封包，還必須根據每條過濾規則過濾檢查每個封包，如此可能會涉及大量CPU運算，因而影響系統效能 應用層閘道器防火牆 應用層閘道器 (Application-Level Gateway) 防火牆，可實作比封包過濾防火牆更為嚴格的安全政策 應用層閘道器防火牆並非使用封包過濾工具，而是針對每種應用程式，在閘道器上安裝特定目的程式 (代理服務)。若網路管理員沒有為某一服務安裝代理程式，則防火牆不會轉送此一服務的相關通訊 此外，網路管理員可進一步設定代理程式，只允許服務的某些特定功能通過，而拒絕服務的其他功能 應用層閘道器防火牆的優點 代理服務可限定特定的服務，以及該服務可存取的內部主機，因此網路管理員可以完全掌控每一項服務 若某一服務沒有對應的代理服務，表示可以完全封鎖該項服務，不讓外界存取，因此網路管理員可以完全掌控不允許的服務 與封包過濾路由器相比，應用層閘道器的過濾規則較易設定與測試 應用層閘道器可以支援可靠的使用者驗證機制，並可詳細記錄資料 應用層閘道器防火牆的缺點 應用層閘道器雖然可以加強安全性，但是相對的代價為︰ 購買專用的閘道器硬體 設定代理服務應用程式 設定閘道器系統所需的時間、知識與技術 防火牆作業更加複雜，因而降低服務效能 遠端使用者必須相對配合，提高使用系統的困難度 防禦主機 應用層閘道器通常稱為「防禦主機」(Bastion Host)，因為它專門用來防禦攻擊的系統 應用層閘道器不同於封包過濾路由器。封包過濾路由器可允許特定封包傳入或傳出內部網路；應用層閘道器雖然允許資訊在網路之間傳送，但是必須透過「代理服務」，並不允許直接交換資料 防禦主機的安全性，來自其設計特性。防禦主機硬體平台使用安全版本的作業系統 屏障式主機防火牆系統(單一網路防禦主機) 屏障式主機防火牆系統(單一網路防禦主機) 路由器介於網際網路與防禦主機之間，而內部伺服器與防禦主機在同一個網路上 如果安全需求高，可以將路由器的過濾規則設定為只允許外部系統存取防禦主機上的代理服務，而封鎖其它存取內部系統的封包。內部主機也必須透過防禦主機上的代理服務來連上網際網路或其它內部伺服器 如果安全需求不高，可以將路由器的過濾規則設定為允許外部系統直接存取內部系統。內部主機也可以跳過防禦主機來連上網際網路或其它內部伺服器 屏障式主機防火牆系統(雙重網路介面防禦主機) 屏障式主機防火牆系統(雙重網路介面防禦主機) 防禦主機介於網際網路與內部網路之間，使得所有外部要存取存放在內部網路的通訊，都必須要經過防禦主機的檢查和代理，提供更安全的防火牆系統 停戰區或屏障式子網路防火牆系統 停戰區或屏障式子網路防火牆系統 停戰區 (demilitar