第九章防火墙安全策略.pptVIP

第9章 防火墙安全策略 第9章 防火墙安全策略 行业不同安全策略的含义不同。一方面，它涉及到书面的政策用以指导系统如何管理以确保资源的安全性。另一方面它涉及到对设备实施的实际配置，如访问控制列表。 这一章介绍两种形式中与防火墙有关的安全策略： 书面的安全策略，有时也称为信息安全策略，定义组织机构（包括他们的防火墙）的安全目标； 入站过滤、出站过滤和接入管理策略（有时也被称为防火墙策略或防火墙规则），这定义了对设备具体的配置。 9.1编写书面安全策略 书面安全策略的存在是为了提供一个高可用性的标记，以保证这是一个阐述清晰、覆盖面广的安全策略。 一个组织机构的总安全策略通常包括难以数计的个体安全策略，它们是针对某些特定的目标、设备以及问题而专门存在的。 安全策略的目标是定义什么需要被保护、谁来提供保护以及在某些情况下如何实施保护。如何实施保护通常被分割为独立的文件处理进程，如进站过滤、出站过滤和接入管理策略。作为一个坚实的保护层，安全策略应该是既简单易懂又言简意赅的概括出那些一定会碰到的特定的要求、规则、对象，并为组织机构提供一种可扩展的、可高效使用的安全保障。 9.1编写书面安全策略 防火墙的安全层次如黑板。 中心部分称为防火墙完全物理层，主要用于对防火墙的物理连接。因此，要确保你的安全策略的实施是和物理上接入设备方式相关的，如通过控制台端口硬件进行连接。 第二层称为防火墙的静态配置层，主要用于一旦防火墙启动起来以后，就可以接入访问到静态配置软件。在这一层中的安全策略的实施需要重点关注对控制的定义，因为它需要对接入的管理非常严格，包括执行软件的升级以及对防火墙的配置。 第三层称为防火墙的动态配置层，主要是通过对防火墙使用诸如路由协议、地址解析协议命令、接口和设备状态检查、核查日志和避让命令行的技术来进行动态配置，以弥补静态配置的不足。这一层的安全策略目标是围绕需要允许实施哪些动态配置来订制的。 最后一层在网络流量穿越防火墙时使用，这才是防火墙的真正意义——保护网络。这一层主要涉及诸如ACL和代理服务信息之类的功能，这一层的安全策略的职责是用来定义相关流量能够穿越防火墙的需求。 9.1编写书面安全策略 9.1.1策略、标准、指南和程序的区别 策略：是一个文档，它拟出了对将会遇到的需求与规则的概要或者大纲。策略通常被认为是一个标准或指南，就像是某种存在物的基本元素一样。作为策略，它的范围往往比较广，并且有对意图高质量的说明。例如：“加密使用策略”需要说明“在这些情况下应该使用加密”的效果和作用。 标准：是一组需求，通常是每个人都必需要使用的特定系统或技术。标准的定义范围往往需要详细说明对给定技术或领域的需求。如：3DES和AES是被认可和接受的加密算法。 指南：指南与标准相似，但指南仅仅指的是一些推荐或建议使用的标准，但并不是强制需要的，指南和标准在大多数情况下可以替换。 程序：被定义为一步一步满足策略、标准或指南的要求的过程。程序的定义范围是为执行一项给定标准或指南而执行的特定进程和步骤。如：对防火墙执行2DES和AES加密的过程。 9.1编写书面安全策略 9.1.1策略、标准、指南和程序的区别 其关系见黑板。 说明：标准和指南在锥形图中处于同一个地位，使可以进行替换的。沿着锥形图向下，文档就越具体，越易于变化。 策略是概括的，不常变换；标准和指南更细节化，但易于改变。程序则十分具体，并且在当为执行特定任务而需要收编新的标准或方式时，程序时常被改动。 9.1编写书面安全策略 9.1.2安全策略格式 为了达到先前定下的目标，大多数安全策略都遵循使用一种特定的格式或大纲，并共享一些通用的因素。通常，大多数安全策略都共享7大部分： 回顾：简单解释该策略是用来干什么的； 目的：解释为什么要该策略； 范围：定义了该策略被应用在什么地方、由谁来负责； 策略：是该策略的正文部分； 实施：说明了如何实施该策略，以及如果不执行该策略会产生的后果； 定义：包括了所有在该策略中使用过的术语和概念的定义； 历史修订：提供了被记录下来的对该策略进行修改的文档和过程 9.1编写书面安全策略 9.1.3通用安全策略 每个组织都有特定的安全需求以及其独特的安全策略。而大多数的环境都要求一些通用的安全策略，而这些通用安全策略如下： 接入管理策略 过滤策略 路由策略 远程接入/VPN策略 监控/日志策略 非军事化区域DMZ策略 通用应用策略 9.1编写书面安全策略 9.1.3通用安全策略 接入管理策略：用来规定一些能够对防火墙进行管理的方法。这种策略致力于将防火墙在物理上的完整性与防火墙静态的结构统一到一个安全的层面上。接入管理策略需要判定哪一种草案同时对远程和本地管理都适用，哪一种草案对用户来说能连接到防火墙以及哪些用户将获得何种权限来完成他们的任务。 此外，