学习防火墙原理不用愁.ppt

本课程的基本内容 防火墙的原理与分类 防火墙系统的设计原则 防火墙的选择与维护 网络的安全系统设计 防火墙的原理 内 容 Internet的安全风险 Internet的基本安全概念 防火墙的重要性 防火墙的基本概念 防火墙的基本功能 防火墙的局限性 防火墙的分类 Internet的安全风险 纷繁复杂的Internet 网络复杂 用户层次复杂 情况瞬息变化 企业网络出于商业目的向公众开放 TCP/IP协议的自身弱点 攻击工具非常容易取得 安全教育严重不足 一个典型的攻击者工具包 网络扫描器(network scanner) 强力口令破解和常用字典口令破解 报文监听(sniffer) 特洛伊木马程序和运行库(Trojan) 选择性修改系统日志的工具 隐藏活动的工具 自动修改系统配置文件的工具 报告错误信息的检验和工具(bogus chksum) Internet上没有人能免于攻击 Internet的基本安全概念 资源和信息 Confidentiality Integrity Availability 接触资源和信息的人 Authentication Authorization Nonrepudiation 防火墙的基本概念 什么是防火墙？ 防火墙是在一个组织的网络和Internet之间执行安全策略的一个或一组系统。 我们希望防火墙具有的功能 过滤不安全因素，拒敌于国门之外 加强安全认证，控制资源和信息的使用 在安全认证的基础上，实现访问授权 减轻主机安全控制和安全配置的负担 提前发现攻击意图，防患于未然 记录攻击者的行踪，为法律解决提供依据 防火墙的基本功能 数据包过滤 服务代理 加密认证 记录和报警 VPN和带宽管理 数据包的过滤 过滤的原理 数据传输的分层与报头的结构 物理链路层--Network access layer 以太网，FDDI，ATM 网络层--Internet layer IP 传输层--Transport Layer TCP or UDP 应用层--Application Layer FTP, Telnet, HTTP 防火墙的过滤原理 数据包的过滤 物理层数据报头的结构 物理报头：以太网，FDDI，ATM等 IP报头结构 TCP数据报头 过滤的种类 基于源IP地址和目标IP地址的过滤 基于协议和端口的过滤 配合其他设备实现基于url的过滤和病毒的过滤 过滤讲解－Telnet 过滤讲解－Telnet 数据包过滤的优点 成本较低 对上层服务协议透明 处理速度相对较快，尤其是在一些专用防火墙设备上可以保证用户的接入速度。 数据包过滤的缺点 当过滤策略较多的时候，不容易掌握，并且会降低数据包转发效率。 容易成为IP Spoofing技术的攻击对象 需要系统管理员具有较丰富的TCP/IP网络管理的经验 不能控制基于上层服务的攻击 在单独承担防火墙系统功能时，安全性较差 设置过滤需要考虑的问题 过滤处理的速度 可以检查的内容 实现过滤规则的顺序 是否可以将规则独立的实施在每一个硬件设备的端口 记录 测试和验证功能 代 理 代理的原理 内部用户能够通过它来实现对外部网络的交互访问。 代理服务的种类 应用层代理服务 回路层代理服务 代理服务的工作原理 应用层代理服务 应用层代理服务器(Proxy) 应用层代理服务器的优点 应用层代理服务器的缺点 回路层代理服务 全状态检测(Stateful Inspection) Stateful Inspection 地址翻译-NAT(一) RFC1918规定了私有地址 下面三类地址不能用于Internet主机地址 地址翻译-NAT(二) 实现方式 静态地址翻译 动态地址翻译 端口地址翻译(PAT) 优点：节约地址资源，有一定的安全保护作用 缺点：有些服务不能支持 NAT-静态地址翻译 NAT-端口地址翻译 记 录 记录的重要性 分析记录提前发现安全隐患 分析记录提供入侵证据 分析记录提供相关事件报告 记录文档的保存 安全 便于检查 其他功能 加密认证 VPN 带宽管理 新一代网络防火墙 一种平台完成多种功能 实现对IP,TCP,Session,Application的全面检查(病毒/Url 过滤) 多种记录和报警方式 开放平台可以和其他网络设备结合实现全面安全网络解决方案 防火墙的局限性 防火墙不能防范未知的攻击方式(最新) 时刻关注TCP/IP攻击技术的发展 防火墙不能防范不经过防火墙的攻击 确认防火墙是对外的唯一连接 防火墙自身不能防范病毒 可以配合其他病毒监测设备实施病毒扫描和清除 防火墙的分类（一） 应用功能 网关型防火墙 服务代理 加密认证 地址翻译 VPN和带宽管理 防火墙的分类（二） 设备类型 软件防火墙 基于操作系统之上，对系统进行加固 强调功能全面，支