複製鏈接
請複製以下鏈接發送給好友
https://baike.baidu.hk/item/防火牆技術/5390177
複製
複製成功

防火牆技術

鎖定
防火牆是一個由計算機硬件和軟件組成的系統，部署於網絡邊界，是內部網絡和外部網絡之間的連接橋樑，同時對進出網絡邊界的數據進行保護，防止惡意入侵、惡意代碼的傳播等，保障內部網絡數據的安全 [1]  。防火牆技術是建立在網絡技術和信息安全技術基礎上的應用性安全技術，幾乎所有的企業內部網絡與外部網絡（如因特網）相連接的邊界設都會放置防火牆，防火牆能夠起到安全過濾和安全隔離外網攻擊、入侵等有害的網絡安全信息和行為 [2]  。
中文名
防火牆技術
外文名
Firewall Technology
防火牆
計算機硬件和軟件組成的系統 [1] 
性    質
應用性安全技術 [2] 
作    用
安全過濾和安全隔離外網攻擊、入侵 [2] 
類    別
網絡防禦技術 [1] 

目錄

  1. 1 系統簡介
  2. 2 系統作用
  1. 3 系統類型
  2. 4 系統功能
  1. 5 系統特徵
  2. 6 優缺點

防火牆技術系統簡介

古時候，人們常在寓所之間砌起一道磚牆，一旦火災發生，它能夠防止火勢蔓延到別的寓所。如果一個網絡接到了Internet上面，它的用户就可以訪問外部世界並與之通信。但同時，外部世界也同樣可以訪問該網絡並與之交互。為了安全起見，可以在該網絡和Internet之間插入一箇中介系統，豎起一道安全屏障。這道屏障的作用是阻斷來自外部通過網絡對本網絡的威脅和入侵，提供扼守本網絡的安全和審計的關卡，它的作用與古時候的防火磚牆有類似之處，因此我們把這個屏障就叫作“防火牆” [3]  。
防火牆技術是建立在現代通信網絡技術和信息安全技術基礎上的應用性安全技術。它是一個系統，位於被保護網絡和其它網絡之間，進行訪問控制，阻止非法的信息訪問和傳遞。防火牆並非單純的軟件或硬件，它實質是軟件和硬件加上一組安全策略的集合 [4]  。
防火牆遵循的基本準則有兩點。第一，它會拒絕所有未經説明允許的命令。防火牆的審查基礎的逐項審閲，任何一個服務請求和應用操作都將被逐一審查符合允許的命令後才可能執行，這樣的操作方法為保證內部計算機安全性提供了切實可行的辦法。反而言之，用户可以申請的服務和服務數量是有限的，提高了安全性的同時也就減弱可用性。第二，它會允許所有未經説明拒絕的命令。防火牆在傳遞所有信息的時候都是按照約定的命令執行的，也就是會逐項審查後杜絕潛在危害性的命令，這一點的缺陷就是可用性優於安全性的地位，但是增加安全性的難度。 [5] 

防火牆技術系統作用

防火牆是“木桶”理論在網絡安全的應用。網絡安全概念中有一個“木桶”理論：一個桶能裝的水量不取決於桶有多高，而取決於組成該桶的最短的那塊木條的高度。在一個沒有防火牆的環境裏，網絡的安全性只能體現為每一個主機的功能，所有主機必須通力合作，才能達到較高程度的安全性。而防火牆能夠簡化安全管理，網絡的安全性是在防火牆系統上進行加固，而不是分佈在內部網絡的所有主機上 [6]  。
強化內部網絡的安全性
防火牆可以限制非法用户，比如防止黑客、網絡破壞者等進入內部網絡，禁止存在安全脆弱性的服務和未授權的通信進出網絡，並抗擊來自各種路線的攻擊。對網絡存取和訪問進行記錄、監控作為單一的網絡接入點，所有進出信息都必須通過防火牆，所以防火牆非常適用收集關於系統和網絡使用和誤用的信息並做出日誌記錄。在防火牆上可以很方便地監視網絡的安全性，併產生報警 [6]  。
限定內部用户訪問特殊站點
防火牆通過用户身份認證來確定合法用户。防火牆通過事先確定的完全檢查策略，來決定內部用户可以使用哪些服務，可以訪問哪些網站 [6]  。
限制暴露用户點，防止內部攻擊
利用防火牆對內部網絡的劃分，可實現網絡中網段的隔離，防止影響一個網段的問題通過整個網絡傳播，從而限制了局部重點或敏感網絡安全問題對全局網絡造成的影響，同時，保護一個網段不受來自網絡內部其它網段的攻擊 [6]  。
網絡地址轉換（NAT，Network Address Translation）
防火牆可以作為部署NAT的邏輯地址，因此防火牆可以用來緩解地址空間短缺的問題，並消除機構在變換ISP時帶來的重新編址的麻煩 [6]  。
虛擬專用網（VPN，Virtual Private Network）
防火牆還支持具有Internet服務特性的企業內部網絡技術體系VPN。通過VPN將企事業單位在地域上分佈在全世界各地的LAN或專用子網，有機地聯成一個整體。不僅省去了專用通信線路，而且為信息共享提供了技術保障。 [6] 

防火牆技術系統類型

隨着技術的進步和防火牆應用場景的不斷延伸，現防火牆按照不同的使用場景主要可以分成以下四類 [7]  。
過濾防火牆
過濾防火牆，顧名思義，就是在計算機網絡中起一個過濾的作用。這種防火牆會根據已經預設好的過濾規則， 對在網絡中流動的數據包進行過濾行為。如果符合過濾規則的數據包會被放行，如果數據包不滿足過濾規則， 就會被刪除。數據包的過濾規則是基於數據包報審的特徵的。防火牆通過檢查數據包的源頭 IP 地址，目的IP地址，數據包遵守的協議，端口號等特徵來完成。第一代的防火牆就屬於過濾防火牆 [7]  。
應用網關防火牆
已經介紹了的過濾防火牆在 OSI七層協議中主要工作在數據鏈路層和 IP 層。與之不同的是，應用網關防火牆主要工作在最上層應用層。不僅如此， 相比於基於過濾的防火牆來説， 應用網關防火牆最大的特點是有一套自己的邏輯分析。基於這個邏輯分析，應用網關服務器在應用層上進行危險數據的過濾， 分析內部網絡應用層的使用協議， 並且對計算機網絡內部的所有數據包進行分析， 如果數據包沒有應用邏輯則不會被放行通過防火牆 [7]  。
服務防火牆
上述的兩種防火牆都是應用在計算機網絡中來阻擋惡意信息進入用户的電腦的。服務防火牆則有其他的應用場景， 服務防火牆主要用於服務器的保護中。在現在的應用軟件中， 往往需要通過和服務器連接來獲得完整的軟件體驗。所以服務防火牆也就應運而生。服務防火牆用來防止外部網絡的惡意信息進入到服務器的網絡環境中 [7]  。
監控防火牆
如果説之前介紹的防火牆都是被動防守的話， 那麼監控防火牆則是不僅僅防守， 還會主動出擊。一方面監控防火牆可以像傳統的防火牆一樣， 過濾網絡中的有害數據。另一方面， 監控防火牆可以主動對數據進行分析和測試， 得到網絡中是否存在外部攻擊。這種防火牆對內可以過濾， 對外可以監控。從技術上來説， 是傳統防火牆的重大升級 [7]  。

防火牆技術系統功能

網絡安全屏障
防火牆對內部網絡環境安全性起着極大的提高意義，它作為阻塞點和控制點過濾那些潛在危險的服務從而降低了網絡內部環境的風險。因為所有進入網絡內容的信息都是經過防火牆精心過濾過的，所以網絡內部環境就非常的安全可靠。例如，NFS 是一個不安全協議，防火牆可以過濾點該信息，不允許該協議進入受保護的網絡，這樣外部的攻擊者就無法進入內部網絡進行攻擊侵害。防火牆同時可以保護網絡免受基於路由的攻擊，如 IP 選項中的源路由攻擊和 ICMP 重定向中的重定向路徑。防火牆應該可以拒絕所有以上類型攻擊的報文並通知防火牆管理員 [5]  。
網絡安全策略
如果對網絡安全配置上以防火牆為中心，就可以讓口令、加密、身份認證、審計等安全軟件配置在防火牆上。防火牆的這種集中安全管理與各個主機分散控制網絡安全問題相比更比較經濟實惠。另外，防火牆的集中安全控制也避免了一次一密口令系統和其他的身份認證系統分散在各個主機上的麻煩 [5]  。
進行監控審計
防火牆有着很好的日誌記錄功能，它會記錄所有經過防火牆訪問過的記錄，更能夠把網絡使用情況的數據進行彙總分析，從而得出網絡訪問的統計性數據。如果訪問的數據裏面含有可疑性的動作，防火牆會進行報警，顯示網絡可能受到的相關的檢測和攻擊方面的數據信息。另外，它還可以通過訪問數據的統計提供某個網絡的使用情況和誤用情況，為網絡使用需求分析和網絡威脅分析提供有價值的參考數據 [5]  。
防止內部信息的外泄
防火牆可以把內部網絡隔離成若干個段，對局部重點網絡或敏感網絡加強監控，全局網絡的安全問題就不會因為局部網絡的一段問題而受到牽連。另外，防火牆對 Finger、DNS等服務顯示的內部細節數據進行隱蔽，這樣由於 Finger 顯示的所有用户的註冊名、真名，最後登錄時間和使用 shell 類型等信息就受到保護了，也就降低了外部的攻擊侵入。同樣，防火牆對內部網絡中 DNS 信息的阻塞，也避免了主機域名和IP 地址的外泄，有效了保護內部信息的安全 [5]  。

防火牆技術系統特徵

  1. 支持線速處理，在不影響網絡運行情況下，實現無縫部署到現有的網絡中 [8]  。
  2. 標準的傳統防火牆功能，NGFW 需要擁有傳統防火牆的所有功能，包含包過濾、網絡地址轉換（Network Address Translation，NAT）、狀態檢測、虛擬專用網（Virtual Private Network，VPN）等功能 [8]  。
  3. 集成入侵防禦系統（Intrusion prevention system，IPS），NGFW 在同一硬件內結成了傳統防火牆和 IPS 的功能，IPS 成為NGFW 的核心部件，不是兩者的簡單疊加，而是功能的無縫融合。NGFW 中防火牆和 IPS 的無縫融合、自動聯動的協作機制將大大提升防禦性能，增強網絡安全 [8]  性。
  4. 應用識別、控制與可視化，NGFW 與傳統防火牆基於端口和 IP 協議進行應用識別不同，而是會根據深度包檢測引擎識別到的流量在應用層執行訪問控制策略。流量控制不再是單純地阻止或允許特定應用，而是可用來管理寬帶或優先排序應用層流量。深度流量檢測讓管理員可針對單個應用組件執行細粒度策略 [8]  。
  5. 智能防火牆，NGFW 可以收集來自防火牆外面的各類信息，用於改進阻塞決定，或優化阻塞規則庫 [8]  。

防火牆技術優缺點

沒有任何一個防火牆的設計能適用於所有的環境。它就似一個防盜門，在通常情況下能起到安全防護的作用，但當有人強行闖入時可能失效。所以在選擇購買時，應根據站點的特點來選擇合適的防火牆 [9]  。
防火牆的優點
  1. 保護脆弱的服務。通過定義一箇中心“扼制點”及過濾不安全的網絡服務，防火牆可防止非法用户進入內部網絡，減少內網中主機的風險 [9]  。
  2. 控制對系統的訪問。可提供對系統的訪問控制，如允許從外部訪問某些主機，同時禁止訪問另外的主機，允許內部員工使用某些資源而不能使用其他資源等 [9]  。
  3. 集中的安全管理。對內網實行集中的安全管理。通過制定安全策略，其安全防護措施可運行於整個內網系統中而無須在每個主機中分別設立。同時還可將內網中需改動的程序都存於防火牆中而不是分散到每個主機中，便於集中保護 [9]  。
  4. 增強保密性。可阻止攻擊者獲取攻擊網絡系統的有用信息 [9]  。
  5. 有效地記錄Internet [9]  上的活動。因為所有進出信息都必須通過防火牆，所以非常便於收集關於系統和網絡使用和誤用的信息。
防火牆的不足之處
  1. 不能防範來自內部的攻擊。對內部用户偷竊數據，破壞硬件和軟件等行為無能為力 [9]  。
  2. 不能防範不通過它的連接。對有意繞過它進/出內網的用户或數據無法阻止，從而給系統帶來威脅，如用户可以將數據複製到磁盤中帶出內網 [9]  。
  3. 不能防範未知的威脅。能較好地防備已知的威脅，但不能自動防禦所有新的威脅 [9]  。
  4. 不能完全防範病毒的破壞 [9]  。
  5. 為了提高安全性，限制和關閉了一些有用但存在安全缺陷的網絡服務，給用户帶來了使用的不便 [9]  。
參考資料