浅议防火墙安全策略(一)

浅议防火墙安全策略

 随着互联网的不断扩展，病毒，黑客以及一些非法网站不断攻击着人们的电脑所以人们也渐渐提高了防范意识比如杀毒软件的安装和使用，防火墙的安装和升级常常帮助我们防范了很多非法网络，保证了内部网络安全。但是防火墙也不是万能的，它也存在着很多不完善的东西，因此就需要我们不断的去发现问题然后对它进行不断改进才能让防火墙变得更加完善更加可靠，本文针对目前防火墙所存在的问题进行剖析，并对所述问题提出了对应方案：自我防范的意识，对SSL流中的数据加密，利用Web应用程序进行渗透测试，根据系统环境来制作防范程序，防火墙深度检测功能的运用。
 一、防火墙概述
 防火墙是设置在用户网络和外界之间的一道屏障，是为了防止不可预料的、潜在的破坏侵入用户网络。也可以把它理解为是安装了防火墙软件的主机或者是路由器系统；它是保护可信网络、防止黑客通过非可信网络入侵的一种设备也因此所有的从内部到外部或者从外部到内部的通信都必须经过它，只有内部访问策略授权的通信才能够被允许通过，外部对内部网络的访问都要受到它的限制。而它的系统本身也具有相当高的可靠性。
 二、防火墙在设置上出现的问题
 1、防火墙不能防范不经由防火墙的攻击
 当我们在上网过程中如果遇到了有某个网络请求被允许通过而我们没有用防火墙进行拦截而是直接授权允许它通过；或者允许了从受保护网内部不受限制地向外拨号，一些用户可以形成与因特网之际的点对点协议（Point to Point Protocol）的连接，这就是绕过了防火墙从而造成了一个潜在后门的网络攻击。
 2、防火墙不能防止已经感染了病毒的软件或者是文件的传输
 现在有很多病毒、加密和压缩的二进制文件种类，防火墙根本不可能对每个文件逐个进行扫描和查找潜在的病毒，所以要想不被病毒感染只有在防火墙的设置做一定的改进或者利用其他网络工具来达到自己想要的目的。
 3、防火墙无法检测加密后的Web流量
 当你正在规划一个关键的门户网站，而且也希望所有的网络层和应用层的漏洞都被屏蔽在这个应用程序之外。这个需求，对于防火墙而言，确实是个大问题。由于网络防火墙对于加密后的SSL流中的数据是看不见的，防火墙也无法迅速截获SSL数据流并对它进行解密，因此无法去阻止应用程序被攻击，甚至有些防火墙，根本就提供不了数据解密的这种功能。
 4、普通应用程序加密后，也能够轻易的躲过防火墙的检测
 防火墙无法看到的不仅仅是SSL加密后的数据。对于应用程序加密后的数据，同样也看不见。现在大多数的防火墙中靠的是静态的特征库，和入侵监测系统(IDS，Intrusion Detect System)的原理相似。只有当应用层受攻击的行为特征与防火墙中的数据库中已有的特征完全相同时，防火墙才能识别和截取攻击数据。
 但是现在利用最常见的编码技术，就能够将恶意代码和其他攻击命令隐藏起来或者把它转换成其他的形式，既能欺骗前端的网络安全系统又能够在后台服务器中执行。这种加密后的攻击代码，只要与防火墙规则库中的规则不一样，就能够躲过网络防火墙的阻止，成功避开他们之间的特征匹配。
 5、对于Web应用程序，防火墙的防范能力是不足的
 防火墙比Web服务器提早出世。而基于状态检测的防火墙，它的设计原理，是基于网络层TCP和IP地址来设置与加强状态访问控制列表(ACLS，Access Control Lists)的。在这一方面，防火墙表现确实是十分出色。
 近几年来在实际应用过程中，HTTP是主要的传输协议。主流的平台供应商和大的应用程序供应商，都已经转移到基于Web的体系结构上，安全防护的目标就不再只是重要的业务数据，并且防火墙的防护范围也随之发生了很大的改变。
 对于常规的企业局域网的防范，通用的网络防火墙仍占有很高的市场份额，也继续发挥着重要的作用，但是对于现在最新出现的上层协议，防火墙就显得有些力不从心。
 由于体系结构不同的原因，即使是现在用最先进的防火墙，也很难去预防新的未知的攻击。
 6、防火墙的应用防护特性，只适用于最简单的网络环境的情况
 虽然现在有些先进的防火墙供应商，提出了应用防护的特性，但也只适用于简单的网络环境中。仔细查看就会慢慢发现，防护特性对于实际的企业应用来说，它们却存在着很大的局限性。
 因为防火墙的体系结构，决定了防火墙是针对网络端口和网络层进行的操作，所以很难对应用层进行防护，除非是一些极其简单的应用程序。
 7、防火墙无法扩展带深度检测的功能
 基于状态检测的防火墙，如果只是希望具有扩展深度检测(deep inspection)的功能，而没有增加相应的网络性能，这是行不通的。真正针对所有网络和应用程序流量的深度检测功能，需要空前的处理能力，从而来完成大量的计算任务。然而这些任务，在基于标准的PC硬件上，是没有办法高效的进行运行的，虽然有些防火墙供应商采用的是基于ASIC的平台，但是我们进一步就能够发现：以前的基于网络的ASIC平台对于新的深度检测功能是没有办法去支持的。
 三、解决防火墙存在的问题的方案

首页 上一页 1 2 下一页 尾页 1/2/2