网络防火墙安全技术及其今后的发展情况.docVIP

网络防火墙安全技术及其今后的发展情况 　　摘要：防火墙是伴随着Internet和Intranet的发展而产生的，一种专门用于保护Intranet安全的软件。所谓防火墙是指，在某企业网络（Intranet）和外部网络（Internet）之间的界面上，利用专用软件所构建的网络通信监控系统，可用它来监控所有进、出Intranet的数据流，以达到保障Intranet安全的目的。该网络通信监控系统俗称为“防火墙”。 　　关键词：拒绝服务攻击；非军事化区；网络地址转换 　　 　　一、防火墙概述 　　（一）防火墙的概念。 　　防火墙现在已成为各企业网络中实施安全保护的核心，安全管理员的目的是选择性地拒绝进出网络的数据流量，这些工作都是由防火墙来做的。 　　什么是防火墙？防火墙的本义是指古代构筑和使用木制结构房屋的时候，为防止火灾的发生和蔓延，人们将坚固的石块堆砌在房屋周围作为屏障，一旦某个单元起火这种方法保护了其它的居住者，这种防护构筑物就被称之为“防火墙”。然而，多数防火墙里都有一个重要的门，允许人们进入或离开大楼。因此，虽然防火墙保护了人们的安全，但这个门在提供增强安全性的同时允许必要的访问。 　　（二）防火墙的功能。 　　一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。 　　 　　二、防火墙的分类 　　（一）按照防火墙防御方式划分。 　　防火墙技术虽然出现了许多，但总体来讲可分为“包过滤型”和“应用代理型”两大类。前者以以色列的Checkpoint防火墙和美国Cisco公司的PIX防火墙为代表，后者以美国NAI公司的Gauntlet防火墙为代表。 　　(1)包过滤(Packet filtering)型 　　(2)应用代理(Application Proxy)型 　　（二）按防火墙结构划分。 　　从防火墙结构上分，防火墙主要有：单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。 　　单一主机防火墙是最为传统的防火墙，独立于其它网络设备，它位于网络边界。 　　分布式防火墙再也不是只是位于网络边界，而是渗透于网络的每一台主机，对整个内部网络的主机实施保护。在网络服务器中，通常会安装一个用于防火墙系统管理软件，在服务器及各主机上安装有集成网卡功能的PCI防火墙卡，这样一块防火墙卡同时兼有网卡和防火墙的双重功能。这样一个防火墙系统就可以彻底保护内部网络。各主机把任何其它主机发送的通信连接都视为“不可信”的，都需要严格过滤。而不是传统边界防火墙那样，仅对外部网络发出的通信请求“不信任”。 　　（三）按软、硬件形式上分。 　　如果从防火墙的软、硬件形式来分的话，防火墙可以分为软件防火墙和硬件防火墙以及芯片级防火墙。 　　软件防火墙 　　硬件防火墙 　　（四）按防火墙的应用部署位置分。 　　如果按防火墙的应用部署位置分，可以分为边界防火墙、个人防火墙和混合防火墙三大类。 　　（五）按防火墙的性能分。 　　如果按防火墙的性能来分可以分为百兆级防火墙和千兆级防火墙两类。 　　三、防火墙的体系结构 　　（一）屏蔽路由器（Screening Router） 　　这是防火墙最基本的构件。它可以由厂家专门生产的路由器实现，也可以用主机来实现。屏蔽路由器作为内外连接的唯一通道，要求所有的报文都必须在此通过检查。路由器上可以装基于IP层的报文过滤软件，实现报文过滤功能。许多路由器本身带有报文过滤配置选项，但一般比较简单。 　　单纯由屏蔽路由器构成的防火墙的危险带包括路由器本身及路由器允许访问的主机。它的缺点是一旦被攻陷后很难发现，而且不能识别不同的用户。 　　（二）双穴主机网关（Dual Homed Gateway） 　　双重宿主主机体系结构是围绕具有双重宿主的主机计算机而构筑的，该计算机至少有两个网络接口。这种配置是用一台装有两块网卡的堡垒主机做防火墙。两块网卡各自与受保护网和外部网相连。堡垒主机上运行着防火墙软件，可以转发应用程序，提供服务等。防火墙内部的系统能与双重宿主主机通信，同时防火墙外部的系统（在因特网上）能与双重宿主主机通信，但是这些系统不能直接互相通信。它们之间的IP通信被完全阻止。 　　双穴主机网关优于屏蔽路由器的地方是：堡垒主机的系统软件可用于维护系统日志、硬件拷贝日志或远程日志。