防火墙演化.docxVIP

防火墙新技术——深度检测状态检测防火墙是目前使用最广泛的防火墙，用来防护黑客攻击。但是，随着专门针对应用层的Web攻击现象的增多，在攻击防护中，状态检测防火墙的有效性越来越低。 　设计状态检测防火墙时，并没有专门针对Web应用程序攻击，为了适应不断增长的Web应用程序的威胁，新一代的深度检测防火墙出现了。　本文先介绍了防火墙技术的演变过程，然后介绍了深度检测技术的四个基本特征。　1、防火墙技术的演变过程　防火墙技术的演变过程，如图1所示。到目前为止，主要有包过滤防火墙、状态检测防护墙和深度检测防火墙三种类型。　1.1 包过滤防火墙（Packet Filter Firewall）　包过滤防火墙----第一代防火墙，没有状态的概念。通过包过滤，管理员能够允许或禁止ACLs（Access Control Lists，访问控制列表）中的选项，包过滤防火墙主要具有以下属性：　★ 数据包到达的物理网络接口；　★ 源IP地址和端口；　★ 目标IP地址和端口；　但是，包过滤防火墙的安全性有一定的缺陷，因为系统对应用层信息无感知，也就是说，防火墙不理解通信的内容，所以可能被黑客所攻破。　由于种种原因，人们认为包过滤防火墙不过安全，于是逐渐被状态检测防火墙所取代。　1.2 状态检测防火墙（Stateful Inspection Firewall）　状态检测防火墙出现，并成为市场上的绝对领导者，主要有以下原因，包括性能，部署能力和扩展能力。他们在90年代中期得到了迅速发展。1993年，Check Point公司成功推出了世界上第一台商用的状态检测防火墙产品。　状态检测防火墙工作于网络层，与包过滤防火墙相比，状态检测防火墙判断允许还是禁止数据流的依据也是源IP地址，目的IP地址，源端口，目的端口和通讯协议等。与包过滤防火墙不同的是，状态检测防火墙是基于会话信息做出决策的，而不是包的信息；状态检测防火墙验证进来的数据包时，判断当前数据包是否符合先前允许的会话，并在状态表中保存这些信息。状态检测防火墙还能阻止基于异常TCP的网络层的攻击行为。网络设备，比如路由器，会将数据包分解成更小的数据帧，因此，状态检测设备，通常需要进行IP数据帧的重组，按其原来顺序组装成完整的数据包。状态检测防火墙基本保持了简单包过滤防火墙的优点，性能比较好，同时对应用是透明的，在此基础上，对于安全性有了大幅提升。这种防火墙摒弃了简单包过滤防火墙仅仅考察进出网络的数据包，不关心数据包状态的缺点，在防火墙的核心部分建立状态连接表，维护了连接，将进出网络的数据当成一个个的事件来处理。可以这样说，状态检测包过滤防火墙规范了网络层和传输层行为，而应用代理型防火墙则是规范了特定的应用协议上的行为。　1.3 深度检测防火墙（Deep Inspection Firewall）　　深度检测防火墙，将状态检测和应用防火墙技术结合在一起，以处理应用程序的流量，防范目标系统免受各种复杂的攻击。结合了状态检测的所有功能，深度检测防火墙能够对数据流量迅速完成网络层级别的分析，并做出访问控制决；对于允许的数据流，根据应用层级别的信息，对负载做出进一步的决策。　深度检测防火墙深入分析了TCP或UDP数据包的内容，以便对负载有个总的认识2、深度检测技术的四个基本特征　新的深度检测技术仍在不断出现，以实现不同的深度检测功能，但是我们需要了解深度检测技术所具有的基本特征。　高级的深度检测防火墙整合了包过滤防火墙和状态检测防火墙的所有功能，如图1所示。　高级的深度检测技术一般具有以下四个方面的特征：　◆ 应用层加密/解密；　◆ 正常化；　◆ 协议一致性；　◆ 双向负载检测；　这四种特征，为Web应用程序提供了重要防护，如果其中一种特征没有实现的话，深度检测防火墙在抵制应用层攻击时，效果会大打折扣。　2.1 应用层加密/解密　SSL广泛被应用于各种场合，以确保相关数据的安全性。这就对防火墙提出了新要求：必须能够处理数据加密/解密。如果不对SSL加密的数据进行解密，防火墙就不能对负载的信息进行分析，更不可能判断数据包中是否含有应用层攻击信息。如果没有解密功能，深度检测的所有优点都无法体现出来。　由于SSL加密的安全性很高，企业常使用SSL技术，以确保关键应用程序的通讯数据的安全性。如果深度检测不能对企业中关键应用程序提供深度检测安全性的话，整个深度检测的优势将失去意义。2.2 正常化　防范应用层攻击，很大程度上依赖于字符串匹配。不正常的匹配会造成安全漏洞。比如，为了探知某种请求的安全策略是否被启用，防火墙通常根据请求的URL与安全策略来进行匹配。一旦与某种策略条件完全匹配，防火墙就采用对应的安全策略。指向同一个资源的URL或许有多种不同形态，如果该URL的编码方式不同的话，二进制方式的比较就不起作用了。攻击者会利用各种技术