网络安全 频道

防火墙十招

Internet的迅猛发展,使得防火墙产品在短短的几年内异军突起,很快形成了一个产业:1995年,刚刚面市的防火墙产品市场量还不到1万套,到1996年底,就猛增到10万套;据国际权威商业调查机构的预测,防火墙市场将以173%的复合增长率增长,到2000年将达150万套,市场营业额将从1995年的1.6亿美元上升到2000年的9.8亿美元。 
  防火墙技术的发展经历了基于路由器的防火墙、用户化的防火墙工具套、建立在通用操作系统上的防火墙、具有安全操作系统的防火墙四个阶段,现在处于第四阶段,即第四代防火墙的阶段。 

  第四代防火墙本身就是一个操作系统,因而在安全性上较之第三代防火墙有质的提高。获得安全操作系统的办法有两种:一种是通过许可证方式获得操作系统的源码;另一种是通过固化操作系统内核来提高可靠性。由此建立的防火墙系统具有以下特点:(1)防火墙厂商具有操作系统的源代码,并可实现安全内核;(2)对安全内核实现加固处理,即去掉不必要的系统特性,加上内核特性,强化安全保护;(3)对每个服务器、子系统都作了安全处理,一旦黑客攻破了一个服务器,它将会被隔离在此服务器内,不会对网络的其它部分构成威胁;(4)在功能上包括了分组过滤、应用网关、电路级网关,且具有加密与鉴别功能;(5)透明性好,易于使用。第四代防火墙产品将网关与安全系统合二为一,具有以下技术与功能。 

  1.双端口或三端口的结构。新一代防火墙产品具有两个或三个独立的网卡,内外两个网卡可不作IP转化而串接于内部网与外部网之间,另一个网卡可专用于对服务器的安全保护。 

  2.透明的访问方式。以前的防火墙在访问方式上要么要求用户作系统登录,要么需要通过SOCKS等库路径修改客户机的应用。第四代防火墙利用了透明的代理系统技术,从而降低了系统登录固有的安全风险和出错概率。 

  3.灵活的代理系统。代理系统是一种将信息从防火墙的一侧传送到另一侧的软件模块。第四代防火墙采用了两种代理机制:一种用于代理从内部网络到外部网络的连接;另一种用于代理从外部网络到内部网络的连接。前者采用网络地址转换(NAT)技术来解决,后者采用非保密的用户定制代理或保密的代理系统技术来解决。 

  4.多级的过滤技术。为保证系统的安全性和防护水平,第四代防火墙采用了三级过滤措施,并辅以鉴别手段。在分组过滤一级,能过滤掉所有的源路由分组和假冒的IP源地址;在应用网关一级,能利用FTP、SMTP等各种网关,控制和监测Internet提供的所有通用服务;在电路网关一级,实现内部主机与外部站点的透明连接,并对服务的通行实行严格控制。 

  5.网络地址转换技术。第四代防火墙利用NAT技术能透明地对所有内部地址作转换,使外部网络无法了解网络的内部结构,同时允许内部网络使用自编的IP地址和专用网络,防火墙能详尽记录每一个主机的通信,确保每个分组送往正确的地址。 

  6.Internet网关技术。由于是直接串连在网络之中,第四代防火墙必须支持用户在Internet互连的所有服务,同时还要防止与Internet服务有关的安全漏洞。故它要能以多种安全的应用服务器(包括FTP、Finger、mail、Ident、News、WWW等)来实现网关功能。为确保服务器的安全性,对所有的文件和命令均要利用“改变根系统调用”作物理上的隔离。在域名服务方面,第四代防火墙采用两种独立的域名服务器:一种是内部DNS服务器,主要处理内部网络的DNS信息;另一种是外部DNS服务器,专门用于处理机构内部向Internet提供的部分DNS信息。

   在匿名FTP方面,服务器只提供对有限的受保护部分目录的只读访问;在WWW服务器中,只支持静态的网页,而不允许图形或CGI代码等在防火墙内运行;在Finger服务器中,对外部访问,防火墙只提供可由内部用户配置的基本文本信息,而不提供任何与攻击有关的系统信息。SMTP与POP邮件服务器要对所有进、出防火墙的邮件作处理,并利用邮件映射与标头剥除的方法隐除内部的邮件环境,Ident服务器对用户连接的识别作专门处理,网络新闻服务则为接收来自ISP的新闻开设了专门的磁盘空间。 

  7.安全服务网络(SSN)。为适应越来越多的用户向Internet上提供服务时对服务器保护的需要,第四代防火墙采用分别保护的策略保护对外服务器。它利用一张网卡将对外服务器作为一个独立网络处理,对外服务器既是内部网的一部分,又与内部网关完全隔离。这就是安全服务网络(SSN)技术,对SSN上的主机既可单独管理,也可设置成通过FTP、Telnet等方式从内部网上管理。 

  SSN的方法提供的安全性要比传统的“隔离区(DMZ)”方法好得多,因为SSN与外部网之间有防火墙保护,SSN与内部网之间也有防火墙保护,一旦SSN受破坏,内部网络仍会处于防火墙的保护之下。 

  8.用户鉴别与加密。为了降低在Telnet、FTP等服务和远程管理上的风险,第四代防火墙采用一次性使用的口令字系统作为用户的鉴别手段,并实现了对邮件的加密。

  9.用户定制服务。第四代防火墙在提供众多服务的同时,还为用户定制提供支持,这类选项有:通用TCP,出站UDP、FTP、SMTP等类。如果某一用户需要建立一个数据库的代理,便可利用这些支持,方便设置。 

  10.审计和告警。第四代防火墙产品的审计和告警功能十分健全,日志文件包括:一般信息、内核信息、核心信息、接收邮件、邮件路径、发送邮件、已收消息、已发消息、连接需求、已鉴别的访问、告警条件、管理日志、进站代理、FTP代理、出站代理、邮件服务器、名服务器等。告警功能会守住每一个TCP或UDP探寻,并能以发出邮件、声响等多种方式报警。此外,第四代防火墙还在网络诊断、数据备份与保全等方面具有特色。
0
相关文章