11.3 防火墙与入侵检测

《11.3 防火墙与入侵检测》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、网络安全1第五章防火墙和入侵检测技术兰州交通大学李启南本地ISP公司网络区域ISP路由器工作站服务器移动节点网络安全21.1防火墙定义：计算机网络安全领域中的防火墙(Firewall)指位于两个或多个网络之间，执行访问控制策略的一个或一组系统，是一类防范措施的总称。其作用是防止不希望的、未经授权的通信进出被保护的网络，通过边界控制强化内部网络的安全政策。防火墙通常放置在外部网络和内部网络中间，执行网络边界的过滤封锁机制。网络安全3定义网络安全41.1DMZDMZ是英文“demilitarizedzone”的缩写，中文名称为“隔离区”，也称“非军事化区”。它是为了解决安装防火

2、墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区，这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。另一方面，通过这样一个DMZ区域，更加有效地保护了内部网络，因为这种网络部署，比起一般的防火墙方案，对攻击者来说又多了一道关卡。网络安全51.1DMZ当规划一个拥有DMZ的网络时候,我们可以明确各个网络之间的访问关系,可以确定以下六条访问控制策略。1.内网可以访问外网2.内网可以访问DMZ3.外网不能访问内网4.外网可以访问DMZ5.DMZ

3、不能访问内网6.DMZ不能访问外网网络安全61.1防火墙在互联网上防火墙是一种非常有效的网络安全设备，通过它可以隔离风险区域（即Internet或有一定风险的网络）与安全区域（即通常讲的内部网络）的连接，同时不妨碍本地网络用户对风险区域的访问。防火墙可以监控进出网络的通信，仅让安全、核准了的信息进入，抵制对本地网络安全构成威胁的数据。因此，防火墙的作用是防止不希望的、未授权的通信进出被保护的网络，迫使用户强化自己的网络安全政策，简化网络的安全管理。网络安全71.1防火墙总体上看，常见的防火墙应具有以下五大基本功能。①过滤进、出内部网络的数据。②管理进、出内部网络的访问行为。

4、③封堵某些禁止的业务。④记录通过防火墙的信息内容和活动。⑤对网络攻击进行检测和报警。有的防火墙还根据需求包括其他的功能，如网络地址转换功能（NAT）、双重DNS、虚拟专用网络（VPN）、扫毒功能、负载均衡和计费等功能。网络安全81.1防火墙防火墙的特性：防火墙一般放置在被保护网络的边界，要使防火墙起到安全防御作用，必须做到：使所有进出被保护网络的通信数据流必须经过防火墙，所有通过防火墙的通信必须经过安全策略的过滤或者防火墙的授权，另外，防火墙本身也必须是不可被侵入的。网络安全91.1防火墙防火墙具有以下优点：①防火墙对企业内部网实现了集中的安全管理，可以强化网络安全策略，比

5、分散的主机管理更经济易行。②防火墙能防止非授权用户进入内部网络。③防火墙可以方便地监视网络的安全性并报警。④可以作为部署网络地址转换的地点，利用NAT技术，可以缓解地址空间的短缺，隐藏内部网的结构。⑤由于所有的访问都经过防火墙，防火墙是审计和记录网络访问和使用的最佳地方。网络安全101.1防火墙防火墙的局限性①防火墙不能防范不经过防火墙的攻击。没有经过防火墙的数据，防火墙无法检查。传统的防火墙在工作时，入侵者可以伪造数据绕过防火墙或者找到防火墙中可能敞开的后门。②防火墙不能防止来自网络内部的攻击和安全问题。③由于防火墙性能上的限制，因此它通常不具备实时监控入侵的能力。④防火

6、墙不能防止策略配置不当或错误配置引起的安全威胁。防火墙是一个被动的安全策略执行设备，就像门卫一样，要根据政策规定来执行安全，而不能自作主张。网络安全111.1防火墙⑤防火墙不能防止受病毒感染的文件的传输，由于病毒种类繁多，如果要在防火墙完成对所有病毒代码的检查，防火墙的效率就会降到不能忍受的程度。⑥防火墙不能防止利用服务器系统和网络协议漏洞所进行的攻击。黑客通过防火墙准许的访问端口对该服务器的漏洞进行攻击，防火墙不能防止。⑦防火墙不能防止数据驱动式的攻击。当有些表面看来无害的数据邮寄或拷贝到内部网的主机上并被执行时，可能会发生数据驱动式的攻击。⑧防火墙不能防止内部的泄密行为

7、。防火墙内部的一个合法用户主动泄密，防火墙是无能为力的。⑨防火墙不能防止本身的安全漏洞的威胁。防火墙保护别人有时却无法保护自己，防火墙本身必须具有很强的抗攻击能力，以确保其自身的安全性。网络安全121.1防火墙包过滤防火墙：其技术依据是网络中的分包传输技术，它工作在OSI模型的网络层。包过滤防火墙又被称为访问控制列表防火墙，其要遵循的一条基本原则是“最小特权原则”，即明确允许管理员指定希望通过的数据包，而禁止其他的数据包。基本思想：选择路由的同时对数据包进行检查，根据定义好的过滤规则审查每个数据包并确定数据包是否与