浅议新一代防火墙技术应用与发展.docVIP

浅议新一代防火墙技术应用与发展 　　摘要：防火墙技术是网络安全中的重要技术之一。文章主要分析了新一代智能防火墙技术、新一代嵌入式防火墙技术、新一代分布式防火墙技术的应用情况，并对新一代防火墙技术的发展趋势做了展望。 　　关键词：防火墙；安全技术；应用；发展 　　中图分类号：TP393 文献标识码：A 文章编号：1000－8136（2011）12－0150－03 　　 　　新一代防火墙应该加强放行数据的安全性，因为网络安全的真实需求是既要保证安全，也要保证应用的正常进行。新一代防火墙既有包过滤的功能，又能在应用层进行代理。较传统的防火墙来说，具有先进的过滤和代理体系，能从数据链路层到应用层进行全方位安全处理，TCP/IP协议和代理的直接相互配合，提供透明代理模式，减轻客户端的配置工作，使本系统的防欺骗能力和运行的健壮性都大大提高；除了访问控制功能外，新一代防火墙还应集成了其它许多安全技术，如NAT和VPN、病毒防护等，使防火墙的安全性提升到又一高度。 　　1新一代智能防火墙技术 　　1.1概念 　　智能防火墙从技术特征上是利用统计、记忆、概率和决策的智能方法来对数据进行识别，并达到访问控制的目的。新的数学方法，消除了匹配检查所需要的海量计算，高效发现网络行为的特征值，直接进行访问控制。由于这些方法多是人工智能学科采用的方法，因此被称为智能防火墙。智能防火墙的主要技术包括： 　　1.1.1AAA技术 　　IP v4版本的一大缺陷是缺乏身份认证功能，所以在IP v6版本中增加了该功能。问题是IP v6的推广尚需时日，IP v4在相当长一段时间内，还会继续存在。智能防火墙增加了对IP层的身份认证。基于身份来实现访问控制。 　　1.1.2防扫描技术 　　智能防火墙能智能识别黑客的恶意扫描，并有效地阻断或欺骗恶意扫描者。对目前已知的扫描工具如ISS、SSS、NMAP等扫描工具，智能防火墙可以防止被扫描。防扫描技术还可以有效地解决代表或恶意代码的恶意扫描攻击。 　　1.1.3防攻击技术 　　智能防火墙能智能识别恶意数据流量，并有效地阻断恶意数据攻击。智能防火墙可以有效地解决SYN Flooding，Land Attack，UDP Flooding，Fraggle Attack，Ping Flooding，Smurf，Ping of Death，Unreachable Host等攻击。防攻击技术还可以有效的切断恶意病毒或木马的流量攻击。 　　1.1.4包擦洗和协议正常化技术 　　智能防火墙支持包擦洗技术，对IP，TCP，UDP，ICMP等协议的擦洗，实现协议的正常化，消除潜在的协议风险和攻击。这些方法对消除TCP/IP协议的缺陷和应用协议的漏洞所带来的威胁，效果显著。 　　1.1.5入侵防御技术 　　智能防火墙为了解决准许放行包的安全性，对准许放行的数据进行入侵检测，并提供入侵防御保护。入侵防御技术采用了多种检测技术，特征检测可以准确检测已知的攻击，特征库涵盖了目前流行的网络攻击；异常检测基于对监控网络的自学习能力，可以有效地检测新出现的攻击；检测引擎中还集成了针对缓冲区溢出等特定攻击的检测。智能防火墙完成了深层数据包监控，并能阻断应用层攻击。 　　1.1.6防欺骗技术 　　智能防火墙提供基于MAC的访问控制机制，可以防止MAC欺骗和IP欺骗，支持MAC过滤，支持IP过滤。将防火墙的访问控制扩展到OSI的第二层。 　　1.2优点 　　智能防火墙成功地解决了普遍存在的拒绝服务攻击（DDOS）的问题、病毒传播问题和高级应用入侵问题，代表着防火墙的主流发展方向。新一代智能防火墙自身的安全性较传统的防火墙有很大的提高，在特权最小化、系统最小化、内核安全、系统加固、系统优化和网络性能最大化方面，与传统防火墙相比有质的飞跃。 　　1.3应用 　　其主要应用领域主要包括： 　　1.3.1入侵防御 　　智能防火墙为了解决准许放行包的安全性，对准许放行的数据进行入侵检测，并提供入侵防御保护，这样就完成了深层数据包监控，并能阻断应用层攻击。 　　1.3.2防范黑客攻击 　　智能防火墙能智能识别黑客的恶意扫描，并有效地阻断或欺骗恶意扫描者。对目前已知的扫描工具如ISS、SSS、NMAP等扫描工具，可以防止被扫描。并可有效地解决恶意代码的恶意扫描攻击。 　　1.3.3防范潜在风险 　　智能防火墙支持包擦洗技术，对IP、TCP、UDP、ICMP等协议的擦洗，实现协议的正常化，消除潜在的协议风险和攻击。这些方法对消除TCP/IP协议的缺陷和应用协议的漏洞所带来的威胁，效果显著。 　　1.3.4防范恶意数据攻击 　　智能防火墙能智能识别恶意数据流量，并有效地阻断恶意数据攻击，解决SYN Flooding，L