防火墙与反病毒技术

防火墙与反病毒技术防火墙与反病毒技术第1页三只小猪小说防火墙与反病毒技术第2页当代信息安全技术防火墙关键防护病毒检测入侵检测防火墙与反病毒技术第3页第七章防火墙与反病毒技术防火墙与反病毒技术第4页防火墙概述什么是防火墙防火墙发展历史防火墙几个类型防火墙与反病毒技术第5页Internet不可信网络和服务器什么是防火墙可信网络Intranet可信用户不可信用户DMZ？防火墙与反病毒技术第6页什么是防火墙定义防火墙是位于两个(或多个)网络间，实施网间访问控制一组组件集合。它满足以下条件:内部和外部之间全部网络数据流必须经过防火墙只有符合安全政策数据流才能经过防火墙防火墙本身应对渗透(peneration)免疫（不受各种攻击影响）关键思想在不安全网际网环境中结构一个相对安全子网环境防火墙与反病毒技术第7页什么是防火墙功效网络安全屏障过滤不安全服务:（两层含义）内部提供不安全服务内部访问外部不安全服务集中式安全保护阻断特定网络攻击；（联动技术产生）是监视局域网安全和预警方便端点提供包含安全和统计数据在内审计数据，好防火墙还能灵活设置各种报警方式。防火墙与反病毒技术第8页防火墙发展历史1986年,美国digital企业在Internet上安装了全球第一个商用防火墙系统,提出了防火墙概念。防火墙发展大致可划分为4个阶段防火墙与反病毒技术第9页防火墙发展历史第一代防火墙基于路由器防火墙网络访问控制功效经过路由控制来实现特点以访问控制表方式实现对分组过滤过滤判决依据能够是地址、端口号、IP标志等只有分组过滤功效缺点路由协议本身就含有安全漏洞,外部网络要探测内部网络十分轻易路由器上分组过滤规则设置和配置存在安全隐患只是一个应急办法防火墙与反病毒技术第10页防火墙发展历史第二代防火墙用户化防火墙工具套特点将过滤功效从路由器中独立出来,并加上审计和告警功效针对用户需求,提供模块化软件包软件可经过网络发送,用户可自己动手结构防火墙存在问题配置和维护过程复杂、费时对用户技术要求高全软件实现,安全性和处理速度都有局限实践表明,使用中出现差错情况很多防火墙与反病毒技术第11页防火墙发展历史第三代防火墙建立在通用操作系统上商用防火墙产品特点批量上市专用防火墙包含分组过滤或者借用路由器分组过滤功效装有专用代理系统,监控全部协议数据和指令保护用户编程空间和用户配置内核参数设置安全性和速度大为提升防火墙与反病毒技术第12页防火墙发展历史第三代防火墙存在问题作为基础操作系统及其内核往往不为防火墙管理者所知。因为源码保密,其安全性无从确保因为大多数防火墙厂商并非是通用操作系统厂商,通用操作系统厂商不会对防火墙中使用操作系统安全性负责用户必须依赖两方面安全支持；一是防火墙厂商；二是操作系统厂商防火墙与反病毒技术第13页防火墙发展历史第四代防火墙含有安全操作系统防火墙特点防火墙厂商含有操作系统源代码,并可实现安全内核对安全内核实现加固定处理。即去掉无须要系统特征,加上内核特征,强化安全保护对每个服务器、子系统都作安全处理,一旦黑客攻破了一个服务器,它将会被隔离在此服务器内,不会对网络其它个别组成威胁在功效上包含分组过滤、应用网关、电路级网关,且含有加密与认证功效透明性好,易使用防火墙与反病毒技术第14页防火墙几个类型分组过滤防火墙又称包过滤防火墙或屏蔽路由器经过检验经过路由器数据包源地址、目标地址、TCP端口、UDP端口等参数,并由策略决定是否允许该数据包经过,并对其进行路由选择转发。屏蔽路由器内部网络防火墙与反病毒技术第15页防火墙几个类型分组过滤防火墙特点屏蔽路由器作为内外连接唯一通道,要求全部报文都必须在此经过检验。实现IP层安全缺点在主机上实现,是网络中“单失效点”不支持有效用户认证,不提供有用日志,安全性低存在难以调和矛盾防火墙与反病毒技术第16页防火墙几个类型双宿主机防火墙这种配置是用一台装有两块网卡堡垒主机做防火墙。两块网卡分别与内部网和外部网相连。堡垒主机运行着防火墙软件,能够转发应用程序,提供服务等采取代理服务方法堡垒主机上运行着防火墙软件,能够转发应用程序和提供服务等防火墙与反病毒技术第17页双宿主机防火墙堡垒主机作用阻止IP层通信实现应用层安全中间转接作用防火墙几个类型内部网络堡垒主机防火墙与反病毒技术第18页防火墙几个类型双宿主机防火墙优缺点堡垒主机系统软件可用于身份认证和维护系统日志，有利于进行安全审计依然是“单失效点”隔离了一切内部网域Inernet直接连接代表产品:ISA防火墙Microsoft®InternetSecurityandAccelerationServer(简称为ISA)，当前最新版为不适合于一些高灵活性要求防火墙与反病毒技术第19页防火墙与反病毒技术第20页防火墙几个类型屏蔽主机防火墙分组过滤路由器连接外部网络运行网关软件堡垒主机安装在内部网路提供了较高安全等级过滤路由器是否正确配置,是防火墙安全是否关键路由表应受到严格保护IP层安全应用层安全防火墙与反病毒技术第21页防火墙几个类型屏蔽子网最安全防火墙系统DMZ区防火墙与反病毒技术第22页防火墙几个类型屏蔽子网在内部网络和外部网络之间建立一个被隔离子网（非军事区,DemilitarizedZone,DMZ）在很多实现中,两个分组过滤路由器放在子网两端,内部网络和外部网络均可访问被屏蔽子网,但禁止它们穿过被屏蔽子网通信通常将堡垒主机、各种信息服务器等公用服务器放于DMZ中堡垒主机