信息安全--第11讲 网络安全技术

《信息安全--第11讲 网络安全技术》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、信息安全技术柴亚辉华东交通大学信息工程学院第11讲网络安全技术§11.1防火墙技术§11.2入侵检测技术§11.3虚拟专用网VPN技术信息安全技术32021/7/17防火墙的本义原是指古代人们房屋之间修建的墙，这道墙可以防止火灾发生的时候蔓延到别的房屋，如下图所示。这里所说的防火墙不是指为了防火而造的墙，而是指隔离在本地网络与外界网络之间的一道防御系统。§11.1防火墙技术信息安全技术42021/7/17在互联网上，防火墙是一种非常有效的网络安全系统，通过它可以隔离风险区域（Internet或有

2、一定风险的网络）与安全区域（局域网）的连接，同时不会妨碍安全区域对风险区域的访问，网络防火墙结构如下图所示。§11.1防火墙技术信息安全技术52021/7/17根据不同的需要，防火墙的功能有比较大差异，但是一般都包含以下三种基本功能：1、可以限制未授权的用户进入内部网络，过滤掉不安全的服务和非法用户2、防止入侵者接近网络防御设施3、限制内部用户访问特殊站点由于防火墙假设了网络边界和服务，因此适合于相对独立的网络，例如Intranet等种类相对集中的网络。Internet上的Web网站中，超过三分

3、之一的站点都是有某种防火墙保护的，任何关键性的服务器，都应该放在防火墙之后。§11.1防火墙技术信息安全技术62021/7/17防火墙的必要性：（1）集中化的安全管理，强化安全策略Internet上每天都有上百万人在那里收集信息、交换信息，不可避免地会出现个别品德不良的人或违反规则的人，防火墙是为了防止不良现象发生的“交通警察”，它执行站点的安全策略，仅仅容许“认可的”和符合规则的请求通过。（2）网络日志及使用统计防火墙是所有进出信息必须通路，非常适用收集关于系统和网络使用和误用的信息。作为访问

4、的唯一点，防火墙能在被保护网络和外部网络之间进行记录，对网络存取访问进行和统计。§11.1防火墙技术信息安全技术72021/7/17（3）保护那些易受攻击的服务防火墙能够用来隔开网络中一个网段与另一个网段。这样能够防止影响一个网段的问题通过整个网络传播。（4）增强的保密用来封锁有关网点系统的DNS信息。因此，网点系统名字和IP地址都不要提供给Internet。（5）实施安全策略防火墙是一个安全策略的检查站，控制对特殊站点的访问。所有进出的信息都必须通过防火墙，防火墙便成为安全问题的检查点，使可疑

5、的访问被拒绝于门外。§11.1防火墙技术信息安全技术92021/7/17防火墙有以下四方面的局限：（1）防火墙不能防范网络内部的攻击。比如：防火墙无法禁止内部间谍将敏感数据拷贝到软盘上。（2）防火墙不能防范不通过它的连接。防火墙能够有效地防止通过它进行传输信息，然而不能防止不通过它而传输的信息。如果用网中有些资源绕过防火墙直接与Internet连通，则得不到防火墙的保护。（3）防火墙不能防止传送己感染病毒的软件或文件，不能期望防火墙去对每一个文件进行扫描，查出潜在的病毒。（4）防火墙用来防备已知

6、的威胁，不能自动防御所有新的威胁。§11.1防火墙技术信息安全技术102021/7/17常见的放火墙有三种类型：数据包过滤、电路层网关、应用层网关。1、包过滤(PacketFiltering)：作用在协议组的网络层和传输层，根据分组包头源地址、目的地址和端口号、协议类型等标志确定是否允许数据包通过，只有满足过滤逻辑的数据包才被转发到相应的目的地的出口端，其余数据包则从数据流中丢弃。2、应用代理(ApplicationProxy)：也叫应用网关(ApplicationGateway)，作用在应用层

7、，其特点是完全“阻隔”网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。实际中的应用网关通常由专用工作站实现。§11.1防火墙技术信息安全技术112021/7/173、状态检测（StatusDetection）：直接对分组里的数据进行处理，并且结合前后分组的数据进行综合判断，然后决定是否允许该数据包通过。§11.1防火墙技术信息安全技术122021/7/17包过滤防火墙：数据包过滤可以在网络层截获数据。使用一些规则来确定是否转发或丢弃所各个数据包。通常情况下，如

8、果规则中没有明确允许指定数据包的出入，那么数据包将被丢弃§11.1防火墙技术信息安全技术132021/7/17一个可靠的包过滤防火墙依赖于规则集，下表列出了几条典型的规则集。一：主机10.1.1.1任何端口访问任何主机的任何端口，基于TCP协议的数据包都允许通过。二：任何主机的20端口访问主机10.1.1.1的任何端口，基于TCP协议的数据包允许通过。三：任何主机的20端口访问主机10.1.1.1小于1024的端口，如果基于TCP协议的数据包都禁止通过。组序号动作源IP目的IP源端口目的端口协议