安全设备培训材料ppt课件.ppt

《安全设备培训材料ppt课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、安全设备培训目录第一章防火墙第二章入侵检测系统第三章入侵检测防御系统第一章防火墙1.1防火墙简介1.2防火墙的功能要求1.3防火墙的安全配置1.4防火墙的安全管理简介——防火墙是什么？InputInputoutputoutputforwardforward过滤！过滤！过滤！实现一个公司的安全策略创建一个阻塞点记录INTERNET活动限制网络暴露简介——防火墙的放在哪？Internet路由器内部子网1内部子网2企业内部网防火墙类型包过滤防火墙状态检测防火墙代理防火墙混合防火墙个人防火墙应用防火墙防火墙类型——包过滤（1）任务:就是作为“通信警察

2、”，指引包和截住那些有危害的包。包过滤防火墙检查每一个通过的网络包，或者丢弃，或者放行，取决于所建立的一套规则；本质上，包过滤防火墙是多址的，表明它有两个或两个以上网络适配器或接口。例如，作为防火墙的设备可能有两块网卡，一块连到内部网络，一块连到公共的Internet。防火墙类型——包过滤（2）包过滤防火墙的工作原理：防火墙可以提供内部信息以说明所通过的连接状态和一些数据流的内容，把判断的信息同规则表进行比较，在规则表中定义了各种规则来表明是否同意或拒绝包的通过。包过滤防火墙检查每一条规则直至发现包中的信息与某规则相符。如果没有一条规则能符合

3、，防火墙就会使用默认规则，一般情况下，默认规则就是要求防火墙丢弃该包。其次，通过定义基于TCP或UDP数据包的端口号，防火墙能够判断是否允许建立特定的连接，如Telnet、FTP连接。防火墙类型——包过滤（3）建立包过滤防火墙规则的例子如下：在公共网络，只允许目的地址为80端口的包通过。这条规则只允许传入的连接为Web连接。这条规则也允许与Web连接使用相同端口的连接，所以它并不是十分安全。丢弃从公共网络传入，但源地址为内部网络地址的包，从而减少IP欺骗性的攻击。丢弃包含源路由信息的包，以减少源路由攻击。要记住，在源路由攻击中，传入的包包含路

4、由信息，它覆盖了包通过网络应采取得正常路由，可能会绕过已有的安全程序。通过忽略源路由信息，防火墙可以减少这种方式的攻击。防火墙类型——包过滤（4）使用包过滤防火墙的优点包括：防火墙对每条传入和传出网络的包实行低水平控制；每个IP包的字段都被检查，例如源地址、目的地址、协议、端口等，防火墙将基于这些信息应用过滤规则；防火墙可以识别和丢弃带欺骗性源IP地址的包；包过滤防火墙是两个网络之间访问的唯一来源，因为所有的通信必须通过防火墙，绕过是困难的；包过滤通常被包含在路由器数据包中，所以不必额外的系统来处理这个特征；使用包过滤防火墙的缺点包括：配置困

5、难：因为包过滤防火墙很复杂，人们经常会忽略建立一些必要的规则，或者错误配置了已有的规则，在防火墙上留下漏洞；为特定服务开放的端口存在着危险，可能会被用于其他传输；可能还有其他方法绕过防火墙进入网络，例如拨入连接，但这个并不是防火墙自身的缺点，而是不应该在网络安全上单纯依赖防火墙的原因；防火墙类型——状态检测（1）状态检测又称动态包过滤，是在传统包过滤上的功能扩展，包过滤防火墙中引入了状态检测表，最早由checkpoint提出。防火墙类型——状态检测（2）工作原理：TCP包：当建立起一个TCP连接时，通过的第一个包被标有包的SYN标志。通常情况

6、下，防火墙丢弃所有外部的连接企图，除非已经建立起某条特定规则来处理它们。对内部的连接试图连到外部主机，防火墙注明连接包，允许响应随后在两个系统之间传输的包，直到连接结束为止。在这种方式下，传入的包只有在它是响应一个已建立的连接时，才会被允许通过。防火墙类型——状态检测（3）工作原理：UDP包：UDP包比TCP包简单，因为它们不包含任何连接或序列信息。它们只包含源地址、目的地址、校验和携带的数据。这种信息的缺乏使得防火墙确定包的合法性很困难，因为没有打开的连接可利用，以测试传入的包是否应被允许通过。可是，如果防火墙跟踪包的状态，就可以确定。对传

7、入的包，若它所使用的地址和UDP包携带的协议与传出的连接请求匹配，该包就被允许通过。和TCP包一样，没有传入的UDP包会被允许通过，除非它是响应传出的请求或已经建立了指定的规则来处理它。对其他种类的包，情况和UDP包类似。防火墙仔细地跟踪传出的请求，记录下所使用的地址、协议和包的类型，然后对照保存过的信息核对传入的包，以确保这些包是被请求的。防火墙类型——状态检测（4）状态/动态检测防火墙的优点有：具有检查IP包的每个字段的能力，并遵从基于包中信息的过滤规则；识别带有欺骗性源IP地址包的能力；具有基于应用程序信息验证一个包的状态的能力，例如基

8、于一个已经建立的FTP连接，允许返回的FTP包通过；允许一个先前认证过的连接继续与被授予的服务通信；具有记录有关通过的每个包的详细信息的能力。基本上，防火墙用来确定