电子商务的安全技术课件2.pptVIP

入侵檢測系統的新發展2.IPS的定義與功能IPS又稱為入侵檢測和防禦系統（IDP），它不但能檢測入侵的發生，並且能指揮防火牆和其他回應方式，即時終止入侵行為的發生和發展，是即時保護系統不受實質性攻擊的智能化的安全產品。從功能上來看，IPS則是一種主動的、積極的入侵防範、阻止系統，是一種線上的解決方案。它部署在網路的進出口處，當它檢測到攻擊企圖後，它會自動地將攻擊包丟掉或採取措施將攻擊源阻斷。它可以阻擊由防火牆漏掉的或IDS檢測到而不能處理的網路攻擊，從而減少因網路攻擊而受到的損失，增強網路的性能和可用性。但是，IPS在處理一些比較新的協議和比較少用的協議上面，表現得不盡如人意。另外，一些需要解碼的數據報，IPS不能夠準確判斷。在這方面IPS還是需要繼續改進的。防火牆主要技術按普及程度和可用性順序，NAT防火牆最基本的翻譯模式包括：靜態翻譯。在這種模式中，一個指定的內部網路源有一個從改變的固定翻譯表。動態翻譯。在這種模式中，為了隱藏內部主機的身份或擴展內部網的地址空間，一個大的Internet客戶群共用單一一個或一組小的InternetIP地址。負載平衡翻譯。在這種模式中，一個IP地址和端口被翻譯為同等配置的多個伺服器的一個集中處，這樣一個公共地址可以為許多伺服器服務。網路冗餘翻譯。在這種模式中，多個Internet連接被附加在一個NAT防火牆上，從而防火牆根據負載和可用性對這些連接進行選擇和使用。防火牆主要技術3.應用級代理代理現在主要用於防火牆。代理伺服器通過偵聽網路內部客戶的服務請求，檢查並驗證其合法性，若合法，它將作為一臺客戶機一樣向真正的伺服器發出請求並取回所需資訊，最後再轉發給客戶。代理的工作流程如圖8.4所示。圖8.4一個服務代理防火牆主要技術應用代理技術的優缺點：代理隱藏了私有客戶，不讓它們暴露給外界。但客戶必須使用代理才能工作，且不能被設置為網路透明工作。代理能阻斷危險的URL，但阻斷URL也容易被消除。代理能在危險的內容傳送給客戶之前過濾掉它們，但代理無法保護操作系統。代理能檢查返回內容的一致性。但大多數一致性檢查都是在發現有被利用的弱點後才有效。代理能消除在網路之間的傳輸層路由。但阻斷路由功能通常使用得不充分代理提供了單點的訪問、控制和日誌記錄功能。代理伺服器有消除冗餘訪問，平衡內部多個伺服器負載的性能優化功能，但易形成服務瓶頸。防火牆分類按技術分類根據防火牆採用的技術，防火牆分為包過濾型、代理型和監測型。包過濾型防火牆通過讀取數據包中的地址資訊來判斷這些“包”是否來自可信任的安全站點，一旦發現來自危險站點的數據包，防火牆便會將這些數據拒之門外。系統管理員也可以根據實際情況靈活制訂判斷規則。包過濾技術的優點是簡單實用，實現成本。其缺點只能根據數據包的來源、目標和端口等網路資訊進行判斷，無法識別基於應用層的惡意入侵。防火牆分類代理型代理型防火牆也稱為代理伺服器。從結構上看，代理伺服器由代理的伺服器部分和代理的客戶機部分組成。從客戶機來看，代理伺服器相當於一臺真正的伺服器，而從伺服器來看，代理伺服器又是一臺真正的客戶機。壁壘主機即一臺軟體上配置代理服務程式的電腦，也可以作為代理伺服器。代理型防火牆的優點是安全性較高，可以針對應用層進行偵測和掃描，對付基於應用層的入侵和病毒都十分有效。其缺點是對系統的整體性能有較大的影響，而且代理伺服器必須針對客戶機可能產生的所有應用類型逐一進行設置，大大增加了系統管理的複雜性。防火牆分類監測型監測型防火牆是新一代的產品，它實際已經超越了最初的防火牆定義。監測型防火牆能夠對各層的數據進行主動的、即時的監測。並在對這些數據分析的基礎上，它能夠有效地判斷出各層中的非法入侵。監測型防火牆產品一般還帶有分佈式探測器，這些探測器安置在各種應用伺服器和其他網路的節點之中，不僅能夠檢測來自網路外部的攻擊，還對來自內部的惡意破壞也有極強的防範作用。因此，監測型防火牆不僅超越了傳統防火牆的定義，而且在安全性上也超越了前兩代產品。防火牆分類2.按結構分類目前，防火牆按結構可分為簡單型和複合型。簡單型包括只使用遮罩路由器或者作為代理伺服器的雙目主機結構；複合結構一般包括遮罩主機和遮罩子網。雙目主機結構雙目主機結構防火牆系統主要由一臺雙目主機構成，具有兩個網路介面，分別連接到內部網和外部網，充當轉發器，如圖8.5所示。這樣，主機可以充當與這些介面相連的路由器，能夠把IP數據包從一個網路介面轉發到另一個網路介面。但是，實現雙目主機的防火牆結構禁止這種轉發功能。防火牆分類圖8.5雙目主機結構防火牆防火牆內部的系統能