暑期实习信息安全调研报告.docx

《暑期实习信息安全调研报告.docx》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、北京科技大学信安09班40950195杨郅文暑期实习信息安全调研报告学校：北京科技大学学院：计算机与通信工程学院专业：信息安全班级：信安09姓名：杨郅文学号：409501952012年7月12北京科技大学信安09班40950195杨郅文身边的信息安全技术及科学问题目录1.前言21.1防火墙：21.1.1防火墙类型：21.1.2代理服务：31.1.3防火墙架设结构：31.1.4防火墙的缺点：41.2路由器防火墙：52TP-link路由器防火墙设置52.1路由器防火墙应用举例—53思科路由器防火墙设置84TP-LINK路由器防

2、火墙与思科路由器防火墙设置区别105安全路由器与防火墙的区别105.1背景105.2目的105.3核心技术115.3.1IP地址欺骗（使连接非正常复位）115.3.2TCP欺骗（会话重放和劫持）115.3.3安全策略115.3.4对性能的影响115.3.5防攻击能力126调研感想1212北京科技大学信安09班40950195杨郅文1.前言我所做的关于身边的信息安全技术及科学问题的调研内容主要是关于路由器防火墙的相关知识内容和对比，以及防火墙、安全路由器和路由器防火墙的对比。首先在这里介绍一下防火墙的概念。1.1防火墙：在电

3、脑运算领域中，防火墙(英文：firewall)是一项协助确保资讯安全的设备，会依照特定的规则，允许或是限制传输的资料通过。防火墙可能是一台专属的硬件或是架设在一般硬件上的一套软件。防火墙最基本的功能就是隔离网络，通过将网络划分成不同的区域（通常情况下称为ZONE），制定出不同区域之间的访问控制策略来控制不同任程度区域间传送的数据流。例如互联网是不可信任的区域，而内部网络是高度信任的区域。以避免安全策略中禁止的一些通信。它有控制信息基本的任务在不同信任的区域。典型信任的区域包括互联网(一个没有信任的区域)和一个内部网络(一个

4、高信任的区域)。最终目标是提供受控连通性在不同水平的信任区域通过安全政策的运行和连通性模型之间根据最少特权原则例如：TCP/IPPort135~139是MicrosoftWindows的【网上邻居】所使用的。如果电脑有使用【网上邻居】的【分享资料夹】，又没使用任何防火墙相关的防护措施的话，就等于把自己的【分享资料夹】公开到Internet，供不特定的任何人有机会浏览目录内的档案。且早期版本的Windows有【网上邻居】系统溢位的无密码保护的漏洞（这里是指【分享资料夹】有设密码，但可经由此系统漏洞，达到无须密码便能浏览资料夹

5、的需求）。1.1.1防火墙类型：1.1.1.1个人防火墙：个人防火墙，通常是在一部电脑上具有封包过滤功能的软件，如ZoneAlarm及WindowsXPSP2后内建的防火墙程式。而专用的防火墙通常做成网络设备，或是拥有2个以上网络接口的电脑。以作用的TCP/IP堆栈区分，主要分为网络层防火墙和应用层防火墙两种，但也有些防火墙是同时运作于网络层及应用层。1.1.1.2网络层防火墙：网络层防火墙可视为一种IP封包过滤器，运作在底层的TCP/IP协定堆栈上。我们可以以列举的方式，只允许符合特定规则的封包通过，其余的一概禁止穿越防

6、火墙。这些规则通常可以经由管理员定义或修改，不过某些防火墙设备可能只能套用内建的规则。12北京科技大学信安09班40950195杨郅文我们也能以另一种较宽松的角度来制定防火墙规则，只要封包不符合任何一项“否定规则”就予以放行。现在的操作系统及网络设备大多已内建防火墙功能。较新的防火墙能利用封包的多样属性来进行过滤，例如：来源IP地址、来源埠号、目的IP地址或埠号、服务类型(如WWW或是FTP)。也能经由通讯协定、TTL值、来源的网域名称或网段...等属性来进行过滤。1.1.1.3应用层防火墙：防火墙的视察软件接口范例，纪录

7、IP进出情况与对应事件应用层防火墙是在TCP/IP堆栈的“应用层”上运作，使用浏览器时所产生的资料流或是使用FTP时的资料流都是属于这一层。应用层防火墙可以拦截进出某应用程式的所有封包，并且封锁其他的封包(通常是直接将封包丢弃)。理论上，这一类的防火墙可以完全阻绝外部的资料流进到受保护的机器里。防火墙借由监测所有的封包并找出不符规则的属性，可以防范电脑蠕虫或是木马程式的快速蔓延。不过就实作而言，这个方法既烦且杂（因软件种类极其繁多），所以大部分的防火墙都不会考虑以这种方法设计。XML防火墙是一种新型态的应用层防火墙。1.1

8、.2代理服务：代理服务（Proxy）设备（可能是一台专属的硬件，或只是普通电脑上的一套软件）也能像应用程式一样回应输入封包(例如连线要求)，同时封锁其他的封包，达到类似于防火墙的效果。代理会使从外部网络窜改一个内部系统更加困难，且只要对于代理有良好的设定，即使内部系统出现问题也不一定会造成安全上的漏洞。