第6讲-第三章-系统与网络安全下.pptVIP

1.1 防火墙概述 防火墙概念 William Cheswick和Steve Beilovin（1994）：防火墙是放置在两个网络之间的一组组件，这组组件共同具有下列性质： 只允许本地安全策略授权的通信信息通过 双向通信信息必须通过防火墙 防火墙本身不会影响信息的流通 防火墙是位于两个信任程度不同的网络之间（如企业内部网络和Internet之间）的软件或硬件设备的组合，它对两个网络之间的通信进行控制，通过强制实施统一的安全策略，防止对重要信息资源的非法存取和访问以达到保护系统安全的目的。 关键技术 数据包过滤 依据事先设定的过滤规则，对所接收的每个数据包做允许拒绝的决定。 数据包过滤优点： 速度快，性能高 对用户透明 数据包过滤缺点： 维护比较困难(需要对TCP/IP了解） 安全性低（IP欺骗等） 不提供有用的日志，或根本就不提供 不防范数据驱动型攻击 不能根据状态信息进行控制 不能处理网络层以上的信息 无法对网络上流动的信息提供全面的控制 关键技术 应用层代理 网关理解应用协议，可以实施更细粒度的访问控制 对每一类应用，都需要一个专门的代理 灵活性不够 关键技术 NAT （Network Address Translation） 网络地址转就是在防火墙上装一个合法IP地址集，然后 当内部某一用户要访问Internet时，防火墙动态地从地址集中选一个未分配的地址分配给该用户； 同时