安全技術(shù)-防火墻與入侵檢測(1)

1、安全技術(shù)防火墻與入侵檢測第一節(jié) 防火墻主流安全防護技術(shù)本節(jié)主要內(nèi)容一、防火墻概述二、防火墻技術(shù)分析三、防火墻布置什么是防火墻n在網(wǎng)絡安全領(lǐng)域中，防火墻用來指應用于內(nèi)部網(wǎng)絡（局域網(wǎng)）和外部網(wǎng)絡（Internet）之間的，用來保護內(nèi)部網(wǎng)絡免受非法訪問和破壞的網(wǎng)絡安全系統(tǒng)。 防火墻主要功能n防止不安全的協(xié)議和服務；n防止外部對內(nèi)部網(wǎng)絡信息的獲??；n提供與外部連接的集中管理； 防火墻不能防范的攻擊n來自內(nèi)部的安全威脅n各種操作系統(tǒng)和應用服務程序的漏洞n特洛伊木馬n社會工程n不當配置本節(jié)主要內(nèi)容一、防火墻概述二、防火墻技術(shù)分析三、防火墻布置常用防火墻技術(shù)n包過濾n應用代理包過濾n普通路由器n當數(shù)據(jù)包到達

2、時，查看路由表，來決定能否以及如何傳送數(shù)據(jù)包 n屏蔽路由器n即在決定能否及如何傳送數(shù)據(jù)包之外，查看其規(guī)則集，看是否應該傳送該數(shù)據(jù)包 規(guī)則制定的策略n允許任何訪問，除非規(guī)則特別地禁止 n拒絕任何訪問，除非被規(guī)則特別允許 包過濾所檢查的內(nèi)容n接口和方向 n源和目的的IP地址 nIP選項 nIP的上層協(xié)議類型（TCP/UDP/ICMP） nTCP和UDP的源及目的端口 nICMP的報文類型和代碼 規(guī)則舉例n上述規(guī)則定義了局域網(wǎng)用戶可以使用外部網(wǎng)絡的發(fā)信（SMTP）服務器方向 源IP 目標IP IP選項上層協(xié)議源端口目標端口 內(nèi)部外部無TCP1024251024包過濾的優(yōu)缺點n優(yōu)點：n速度快n價格低n

3、用戶透明 n缺點：n難于配置n能力有限 n規(guī)則失效時成為無安全保護狀態(tài)應用代理nWEB代理工作原理示意頁面緩沖文件HTTP請求WEB頁面HTTP請求WEB頁面應用代理防火墻n可以防止攻擊者對內(nèi)部網(wǎng)絡信息的探測n實現(xiàn)基于內(nèi)容的過濾應用代理的優(yōu)缺點n優(yōu)點：n可以隱藏內(nèi)部網(wǎng)絡的信息；n可以具有強大的日志審核；n可以實現(xiàn)內(nèi)容的過濾；n缺點：n價格高n速度慢 n失效時造成網(wǎng)絡的癱瘓本節(jié)主要內(nèi)容一、防火墻概述二、防火墻技術(shù)分析三、防火墻布置包過濾路由內(nèi)部網(wǎng)絡外部網(wǎng)絡包過濾路由器應用代理網(wǎng)關(guān)內(nèi)部網(wǎng)絡外部網(wǎng)絡應用代理網(wǎng)關(guān)（雙宿主主機）屏蔽主機內(nèi)部網(wǎng)絡外部網(wǎng)絡保護應用代理屏蔽子網(wǎng)內(nèi)部網(wǎng)絡外部網(wǎng)絡保護內(nèi)部網(wǎng)絡常見

4、防火墻產(chǎn)品n比較知名的防火墻產(chǎn)品包括：nCheckPoint公司的“FireWall-1”nNetScreen公司的“Netscreen系列”n天融信的“網(wǎng)絡衛(wèi)士”第二節(jié) 入侵檢測主流安全檢測技術(shù)本節(jié)主要內(nèi)容一、入侵檢測概述二、入侵檢測基本模型三、入侵檢測結(jié)構(gòu)什么是入侵檢測n入侵檢測（IDS）指可以發(fā)現(xiàn)網(wǎng)絡入侵行為并響應的安全系統(tǒng)。入侵檢測的作用n檢測防護部分阻止不了的入侵 n檢測入侵的前兆 n入侵事件的歸檔 n網(wǎng)絡受威脅程度的評估 n幫助從入侵事件中恢復 本節(jié)主要內(nèi)容一、入侵檢測概述二、入侵檢測基本模型三、入侵檢測結(jié)構(gòu)入侵檢測原理n入侵檢測和其它的檢測技術(shù)一樣，其核心任務都是從一組數(shù)據(jù)中檢測

5、出符合某一特點的數(shù)據(jù)。 入侵檢測通用模型n事件收集器n事件分析器n響應單元n事件數(shù)據(jù)庫事件收集n基于主機n操作系統(tǒng)的審核日志以及應用程序日志n基于網(wǎng)絡n網(wǎng)絡傳輸?shù)臄?shù)據(jù)事件分析n模式匹配（誤用檢測）n將收集的事件和數(shù)據(jù)與已知網(wǎng)絡入侵和系統(tǒng)誤用模式數(shù)據(jù)庫進行比較，檢測入侵n準確率高，容易漏報n統(tǒng)計分析（異常檢測）n統(tǒng)計正常狀態(tài)網(wǎng)絡和主機的各類數(shù)據(jù)，響應單元n主動響應n進一步收集入侵相關(guān)信息n阻止入侵n反擊n被動響應n報警事件數(shù)據(jù)庫n數(shù)據(jù)庫保存事件信息，包括正常和入侵事件。本節(jié)主要內(nèi)容一、入侵檢測概述二、入侵檢測基本模型三、入侵檢測結(jié)構(gòu)體系結(jié)構(gòu)n單型IDSn主從型IDSn對等型IDS單型IDS事件收集事件分析n單型IDS設計簡單，適合小型環(huán)境，但存在局部性檢測的問題主從型IDS事件收集信息中心事件分析n主從型IDS克服了局部檢測問題，但網(wǎng)絡性能影響比較大對等型IDS代理：事件收集事件分析n對等型IDS設計可以全局檢測，也