58-C++语言程序设计

9.

1

防火墙的概念•9.2

防火墙的分类第九

9.

见墙防

系侵统检模•9.4创建防火墙的步骤•9.5入侵检测系统的概念•9.6入侵检测的方法•

入此侵处检编测

副标题样式*

1本章介绍两部分的内容:–防火墙和入侵检测技术。介绍防火墙的基本概念

，

常见防火墙

类型以及如何使用规则集实现防火墙。

介绍入侵检测系统的基本概念以及入

侵检测的常用方法如何编写入侵检测工具以及如何使用

工具实现入侵检测。

网络安全与技术内容提要导航结束防火墙的本义原是指古代人们房屋之间修建的墙,这道墙可以防止火灾发生的时候蔓延到别的房屋,如图9-1所示。

网络安全与技术防火墙的定义导航结束结束这里所说的防火墙不是指为了防火而造的墙

，

而是指隔离在本地网

络与外界网络之间的一道防御系统

。在互联网上

，

防火墙是一种非常有效的网络安全系统

，

通过它可以

隔离风险区域（Internet或有一定风险的网络)与安全区域（局域

网)的连接

，

同时不会妨碍安全区域对风险区域的访问

，

网络防火

墙结构如图9-2所示

。

导航网络安全与技术防火墙的定义根据不同的需要,防火墙的功能有比较大差异,但是一般都包含以下三种基本功能。–可以限制未授权的用户进入内部网络,过滤掉不安全的

服务和非法用户–防止入侵者接近网络防御设施–限制内部用户访问特殊站点由于防火墙假设了网络边界和服务,因此适合于相对独立的网络,例如Intranet等种类相对集中的

网络

。Internet上的Web网站中,超过三分之一

的

站点都是有某种防火墙保护的,任何关键性的服务器,都应该放在防火墙之后。

网络安全与技术防火墙的功能导航结束随着世界各国信息基础设施的逐渐形成

，

国与国之间变得"近在咫尺”。Internet已经成为信息化

社会发展的重要保证

。

已深入到国家的政治

、军事

、经济

、文教等诸多领域

。许多重要的政府宏

观调控决策

、

商业经济信息

、银行资金转帐

、股

票证券

、

能源资源数据

、科研数据等重要信息都

通过网络存贮

、传输和处理

。

因此

，

难免会遭遇

各种主动或被动的攻击

。例如信息泄漏

、信息窃

取

、数据篡改

、数据删除和计算机病毒等

。

因此

，

网络安全已经成为迫在眉睫的重要问题

，

没有网

络安全就没有社会信息化网络安全与技术防火墙的必要性导航结束网络安全与技术防火墙的局限性没有万能的网络安全技术

，

防火墙也不例外

。

防火墙有以下三方面的局限:防火墙不能防范网络内部的攻击

。

比如:防火墙无法禁止变节者或内部间谍将敏感

数据拷贝到软盘上。防火墙也不能防范那些伪装成超级用户或

诈称新雇员的黑客们劝说没有防范心理的

用户公开其口令

，

并授予其临时的网络访

问权限。防火墙不能防止传送己感染病毒的软件或

文件

，

不能期望防火墙去对每一个文件进

行扫描

，

查出潜在的病毒。

导航结束常见的放火墙有三种类型：1、

分组过滤防火墙；2、

应用代

理防火墙；3、

状态检测防火墙

。分组过滤（PacketFiltering)：

作用在协议组的网络层和传

输层

，

根据分组包头源地址

、

目的地址和端口号

、

协议类型等标志确定是否允许数据包通过

，

只有满足过滤逻辑的数据

包才被转发到相应的目的地的出口端

，

其余的数据包则从数

据流中丢弃

。应用代理（ApplicationProxy)：

也叫应用网关（ApplicationGateway)，

它作用在应用层

，

其特点是完全“阻隔”网络通信流

，

通过对每种应用服务编制专门的代理程序

，

实现监视和控制应用层通信流的作用

。

实际中的应用

网关通常由专用工作站实现

。状态检测（StatusDetection)：

直接对分组里的数据进行处

理

，

并且结合前后分组的数据进行综合判断

，

然后决定是否允许该数据包通过

。

网络安全与技术防火墙的分类导航结束数据包过滤可以在网络层截获数据

。使用一些规则来确

定是否转发或丢弃所各个数据包

。通常情况下,如果规则中没有明确允许指定数据包的出

入,那么数据包将被丢弃导航网络安全与技术分组过滤防火墙结束一个可靠的分组过滤防火墙依赖于规则集

，

表9-1列出

了几条典型的规则集

。第一条规则:主机10.1.1.1任何端口访问任何主机的任何端

口

，

基于TCP协议的数据包都允许通过

。第二条规则:任何都都议议端端小小基基11数00数组序号

主机动的作20端口.

的..

P.

1的任

端口口，基的T

P口协议

协议类型1的

机端口访问主

TCP2

禁.

.

.止允通许过

。*,20*TCP网络安全与技术结束导航通过

。第三访源

主机10

*TCP<1024203禁止据包允许允许0

1

1

1条规则:任何主机的2于1024的的数据包口

如果于TCP协基***WinRoute目前应用比较广泛,既可以作为一个服

务器的防火墙系统,也可以作为一个代理服务器软件

。

目前比较常用的是WinRoute4.1,安装文件

如图9-4所示。

网络安全与技术用WinRoute创建包过滤规则导航结束以管理员身份安装该软件

，

安装完毕后

，

启动"WinRouteAdministration”，WinRoute的管理

界面如图9-5所示。

网络安全与技术导航结束默认情况下

，

该密码为空

。点击按钮"OK”，

进入系统管理

。

当系统安装完毕以后

，

该主机就将不能上网

，

需要修改默认设置

，

点

击工具栏图标

，

出现本地网络设置对话框

，

然后查看"Ethernet”的属性

，

将两个复选框全部选中

，

如图9-6所示。

导航网络安全与技术结束利用WinRoute创建包过滤规则

，

创建的规则内容

是：

防止主机被别的计算机使用"Ping”指令探测

。选择菜单项"PacketFilter”，

如图9-7所示。

网络安全与技术导航结束在包过滤对话框中可以看出目前主机

还没有任何的包规则,如图9-8所示。

网络安全与技术导航结束选中图9-8中网卡图标

，

单击按钮"添加”。

出现

过滤规则添加对话框

，

所有的过滤规则都在此处

添加

，

如图9-9所示。

网络安全与技术导航结束因为"Ping”指令用的协议是ICMP，

所以这里要对ICMP协

议设置过滤规则

。

在协议下拉列表中选择"ICMP”，

如图9-10所示

。

网络安全与技术导航结束在"ICMPType”栏目中

，

将复选框全部选中

。

在"Action”栏目中

，

选择单选框"Drop”。

在"LogPacket”栏目中选

中"LogintoWindow”，

创建完毕后点击按钮"OK”，

一条规则就创建完毕

，

如图9-11所示

。

导航网络安全与技术结束为了使设置的规则生效

，

点击按钮"应用”，

如

图9-12所示。

网络安全与技术导航结束设置完毕

，

该主机就不再响应外界的"Ping”指

令了

，

使用指令"Ping”来探测主机

，

将收不到

回应

，

如图9-13所示。

网络安全与技术导航结束虽然主机没有响应

，

但是已经将事件记录到安全

日志了

。选择菜单栏"View”下的菜单项"Logs>SecurityLogs”，

察看

日志纪录如图9-14所示。

网络安全与技术导航结束,,的IP地址是"172.18.25.109”，

首先创建规则如表9-2所示

。

用1禁止FTP服务用*TCP协议09FTP占用T*CP的21端口21主机TCP网络安全与技术案例9-2用WinRoute禁用FTP访问目的IP目的端口协议类型源端口组序号动作源IP导航结束C利用WinRoute建立访问规则,如图9-15所示。

网络安全与技术导航结束设置访问规则以后

，

再访问主机"172.18.25.109”的FTP服务

，

将遭到拒绝

，

如图9-16所示。

网络安全与技术导航结束访问违反了访问规则,会在主机的安

全日志中记录下来,如图9-17所示。

网络安全与技术导航结束网络安全与技术案例9-3

用WinRoute禁用HTTP访问172.18.25.109,首先创建规则如表9-3所示

。

禁止服务用TCP*协议

，占”09用TCP协议*的80端口，80主机的IPTCP地址是1HTTP"目的IP协议类型目的端口源端口组序号源IP动作导航结束利用WinRoute建立访问规则,如图9-18所示。

网络安全与技术导航结束打开本地的IE连接远程主机的HTTP服务,将遭到拒绝,如图9-19所示。

网络安全与技术导航结束访问违反了访问规则,所以在主机的

安全日志中记录下来,如图9-20所示。

网络安全与技术导航结束应用代理（ApplicationProxy)是运行在防火墙上的一种服

务器程序

，

防火墙主机可以是一个具有两个网络接口的双重宿主主机

，

也可以是一个堡垒主机

。

代理服务器被放置在内

部服务器和外部服务器之间

，

用于转接内外主机之间的通信

，

它可以根据安全策略来决定是否为用户进行代理服务

。

代理

服务器运行在应用层

，

因此又被称为“应用网关”。

导航结束网络安全与技术应用代理防火墙常见防火墙系统一般按照四种模型构

建：–筛选路由器模型

、单宿主堡垒主机（屏蔽主机防火墙)模型

、双宿主堡垒主机

模型（屏蔽防火墙系统模型)和屏蔽子

网模型。

网络安全与技术常见防火墙系统模型导航结束筛选路由器模型是网络的第一道防线,功能是实施包过滤

。创建相应的过滤策略时对工作人员的TCP/IP的知识有相当的

要求,如果筛选路由器被黑客攻破那么内部网络将变的十分

的危险

。

该防火墙不能够隐藏你的内部网络的信息

、

不具备

监视和日志记录功能

。

典型的筛选路由器模型如图9-23所示

。

导航结束网络安全与技术筛选路由器模型单宿主堡垒主机（屏蔽主机防火墙)模型由包过滤路由器和

堡垒主机组成

。

该防火墙系统提供的安全等级比包过滤防火

墙系统要高

，

因为它实现了网络层安全（包过滤)和应用层

安全（代理服务)。

所以入侵者在破坏内部网络的安全性之

前

，

必须首先渗透两种不同的安全系统

。

单宿主堡垒主机的

模型如图9-24所示

。

网络安全与技术单宿主堡垒主机模型导航结束双宿主堡垒主机模型（屏蔽防火墙系统)可以构造更加安全

的防火墙系统

。

双宿主堡垒主机有两种网络接口但是主机在

两个端口之间直接转发信息的功能被关掉了

。

在物理结构上

强行将所有去往内部网络的信息经过堡垒主机

。

双宿主堡垒

主机模型如图9-25所示

。

网络安全与技术双宿主堡垒主机模型导航结束屏蔽子网模型用了两个包过滤路由器和一个堡垒主机

。

它是

最安全的防火墙系统之一

，

因为在定义了"中立区”(DMZ，DemilitarizedZone)网络后

，

它支持网络层和应用层安全功

能

。

网络管理员将堡垒主机

、

信息服务器

、Modem组

，

以及其它公用服务器放在DMZ网络中

。

如果黑客想突破该防火墙那么必须攻破以上三个单独的设备

，

模型如图9-26所示

。

网络安全与技术屏蔽子网模型导航结束成功的创建一个防火墙系统一般需要

六步:第一步:制定安全策略

，

第二步:搭

建安全体系结构

，

第三步:制定规则

次序

，

第四步:落实规则集

，

第五步:注意更换控制

，

第六步:做好审计工

作。

网络安全与技术创建防火墙的步骤导航结束入侵检测系统1DS（IntrusionDetectionSystem)指的是一种硬件或

者软件系统

，

该系统对系统资源的非授权使用能够做出及时的判断

、记录

和报警。

网络安全与技术入侵检测系统的概念导航结束一个有效的入侵检测系统应限制误报出现的次数，

但同时又能有效截击

。

误报是指被入侵检测系统

测报警的是正常及合法使用受保护网络和计算机

的访问

。

误报是入侵检测系统最头疼的问题

，

攻

击者可以而且往往是利用包的结构伪造无威胁的"正常”假警报

，

而诱导没有警觉性的管理员人

把入侵检测系统关掉。

网络安全与技术入侵检测系统面临的挑战导航结束1

、缺乏共享数据的机制2

、缺乏集中协调的机制3

、缺乏揣摩数据在一段时间内变化的能力

4

、缺乏有效的跟踪分析没有一个入侵检测能无敌于误报,因为没有一个应用系统网络安全与技术误报不会发生错误,原因主要有四个方面。

导航结束根据入侵检测的信息来源不同

，

可以将入侵检测

系统分为两类:基于主机的入侵检测系统和基于

网络的入侵检测系统。–1、

基于主机的入侵检测系统:主要用于保护运行关键应

用的服务器

。

它通过监视与分析土机的审计记录和日志文件:来检测入侵

。

日志中包含发生在系统上的不寻常

和不期望活动的证据

，

这些证据可以指出有人正在入侵

或已成功入侵了系统

。

通过查看日志文件

，

能够发现成

功的入侵或入侵企图

，

并很快地启动相应的应急响应程

序

。–2、

基于网络的入侵检测系统:主要用于实时监控网络关

键路径的信息

，

它监听网络上的所有分组来采集数据，分析可疑现象

。

网络安全与技术入侵检测系统的类型和性能比较导航结束目前入侵检测方法有三种分类依据:–1、根据物理位置进行分类。–2、根据建模方法进行分类。–3、根据时间分析进行分类。常用的方法有三种:静态配置分析、

异常性检测方法和基于行为的检测方

法。

网络安全与技术入侵检测的方法导航结束静态配置分析通过检查系统的配置

，

诸如

系统文件的内容

，

来检查系统是否已经或

者可能会遭到破坏

。静态是指检查系统的

静态特征（比如

，

系统配置信息)。采用静态分析方法主要有以下几方面的原

因：

入侵者对系统攻击时可能会留下痕迹，

可通过检查系统的状态检测出来。

网络安全与技术静态配置分析导航结束异常性检测技术是一种在不需要操作系统及其安

全性缺陷的专门知识的情况下,就可以检测入侵

者的方法,同时它也是检测冒充合法用户的入侵

者的有效方法

。但是

。在许多环境中,为用户建

立正常行为模式的特征轮廓以及对用户活动的异

常性进行报警的门限值的确定都是比较困难的事。

因为并不是所有入侵者的行为都能够产生明显的

异常性,所以在入侵检测系统中,仅使用异常性

检测技术不可能检测出所有的入侵行为

。而且,有经验的入侵者还可以通过缓慢地改变他的行为,来改变入侵检测系统中的用户正常行为模式,使

其入侵行为逐步变为合法,这样就可以避开使用

异常性检测技术的入侵检测系统的检测。

网络安全与技术异常性检测方法导航结束基于行为的检测方法通过检测用户行为中的那些

与某些已知的入侵行为模式类似的行为或那些利

用系统中缺陷或者是间接地违背系统安全规则的

行为

，

来检测系统中的入侵活动。基于入侵行为的入侵检测技术的优势:如果检测

器的入侵特征模式库中包含一个已知入侵行为的

特征模式

，

就可以保证系统在受到这种入侵行为

攻击时能够把它检测出来

。但是

，

目前主要是从

已知的入侵行为以及已知的系统缺陷来提取入侵

行为的特征模式

，

加入到检测器入侵行为特征模

式库中

，

来避免系统以后再遭受同样的入侵攻击。

网络安全与技术基于行为的检测方法导航结束网络入侵者都会连接到主机的某个非法端口,通过检查出与

端口关联应用程序,可以进行入侵检测,这种方法属于静态

配置分析

。利用工具软件fport.exe可以检查与每一端口关联的应用程序,执行程序如图9-27所示

。

导航网络安全与技术案例9-4检测与端口关联的应用程序结束网络安全与技术案例9-5程序分析：

检测与端口关联的应用程序

利用VC++6.0建立基于控制台的Win32应用程序

，

该程序需要一个外

置的DLL文件"DBP2P.dll”，

需要

将该文件拷贝到工程目录下的Debug目录下。该案例包含两个程序：proj9_5.cpp和dbp2p.h。

其中proj9_5.cpp文件是主

程序

，dbp2p.h是动态连接库文件"DBP2P.dll”文件的头文件。

导航结束入侵检测系统的作用是实时地监控计算机系统的

活动

，

发现可疑的攻击行为

，

以避免攻击的发生，

或减少攻击造成的危害

。

由此也划分了入侵检测

的三个基本步骤:–信息收集

、

数据分析和响应

。

网络安全与技术入侵检测的步骤导航结束入侵检测的第一步就是信息收集,收集的内容包括整个计算机网络

中系统

、

网络

、数据及用户活动的状态和行为

。入侵检测在很大程度上依赖于收集信息的可靠性

、

正确性和完备性

。

因此,要确保采集

、报告这些信息的软件工具的可靠性,这些软件

本身应具有相当强的坚固性,能够防止被篡改而收集到错误的信息

。

否则,黑客对系统的修改可能使入侵检测系统功能失常但看起来却

跟正常的系统一样

。

网络安全与技术信息收集导航结束数据分析（AnalysisSchemes)是入

侵检测系统的核心

，

它的效率高低直

接决定了整个入侵检测系统的性能。根据数据分析的不同方式可将入侵检

测系统分为异常入侵检测与误用入侵

检测两类：网络安全与技术数据分析导航结束数据分析发现入侵迹象后

，

入侵检测系统的下一

步工作就是响应

。而响应并不局限于对可疑的攻

击者

。

目前的入侵检测系统一般采取下列响应。1、将分析结果记录在日志文件中

，

并产生相应的

报告。2、触发警报:如在系统管理员的桌面上产生一个

告警标志位

，

向系统管理员发送传呼或电子邮件

等等。3、修改入侵检测系统或目标系统

，

如终止进程

、

切断攻击者的网络连接

，

或更改防火墙配置等。

网络安全与技术响应导航结束BlackICE是一个小型的入侵检测工具,在计算机

上安全完毕后,会在操作系统的状态栏显示一个

图标,当有异常网络情况的时候,图标就会跳动。

主界面如图9-31所示。

网络安全与技术案例9-6入侵检测工具:BlackICE导航结束可以查看主机入侵的信息

，

选择属性

页"Intruders”，

如图9-32所示。

网络安全与技术导航结束"冰之眼”网络入侵检测系统是NSFOCUS系列安全软件中一款专门针对网络遭受黑客攻击行为而研制的网络安全产品，

该产品可最大限度地

、

全天候地监控企业级的安全

。

由于用

户自身网络系统的缺陷

、

网络软件的漏洞以及网络管理员的

疏忽等等

，

都可能使网络入侵者有机可乘

，

而系统遭受了攻

击

，

就可能造成重要的数据

、

资料丢失

，

关键的服务器丢失

控制权等

。

网络安全与技术入侵检测工具:冰之眼导航结束使用"冰之眼”，

系统管理人员可以自动地监控网络的数据流

、主机的日志等

，

对可疑的事件给予检测和响应,在内联网和外联网的主机和网络遭

受破坏之前阻止非法的入侵行为

，

主界面如图9-33所示。

导航网络安全与技术结束管理员可以添加主机探测器来检测系

统是否被入侵

，

选择菜单栏"网络”下的菜单项"添加探测器”，

可以添

加相关的探测器

，

如图9-34所示。

网络安全与技术导航结束本章介绍了防御技术中的防火墙技术与入

侵检测技术。重点理解防火墙的概念

、分类

、

常见防火

墙的系统模型以及创建防火墙的基本步骤

。

掌握使用Winroute创建简单的防火墙规则。

重点理解入侵检测系统的基本概念

、检测

的方法以及入侵检测的步骤。掌握编写简单入侵检测的程序,掌握一种

入侵检测工具。

网络安全与技术本章总结导航结束【4】

、编写防火墙规则：

禁止除管理员计算机（IP为172.18.25.110)外何一

台电脑访问某主机（IP为172.18.25.109)的终端服务（TCP端口3389【5】

、使用Winroute实现第四题的规则

。（上机完成)【6】

、

简述创建防火墙的基本步骤以及每一步的注意点

。【7】

、什么是入侵检测系统？

简述入侵检测系统目前面临的挑战

。【8】

、

简述入侵检测常用的四种方法

。【9】

、编写程序实现每十秒检查一

次与端口关联的应用程序

。（上机完成

【10】

、

简述入侵检测的步骤以及每一步的工作要点

。【11】

、对某一

台装有入侵检测工具的计算机进行扫描

、攻击等实验

，

查看入侵检测系统的反应

，

并编写实验报告

。（上机完成导导))航

结束【2】

、

简述防火墙的分类

，

并说明分组过滤防火墙的基本原理

。

【3】

、

常见防火墙模型有哪些?比较他们的优缺点

。

网络安全与技术本章习题什么是防火墙?古时候的防火墙和目前通常说的防火墙有什么联系【1】、

和区别?单击此处编辑母版副标题样式

-