淺析防火墻技術(shù)與網(wǎng)絡(luò)安全_百度文庫

1、 淺析防火墻技術(shù)與網(wǎng)絡(luò)安全大同煤礦集團(tuán)公司四老溝礦譚尚瑞摘要 文中就信息網(wǎng)絡(luò)安全內(nèi)涵發(fā)生的根本變化9闡述我國發(fā)展民族信息安全體系的重要性及建立有中國特色的網(wǎng)絡(luò)安全體系的必要性O(shè) 論述了網(wǎng)絡(luò)防火墻安全技術(shù)的分類及其主要技術(shù)特征9和防火墻部署原則9并從防火墻部署的位置詳細(xì)闡述了防火墻的選擇標(biāo)準(zhǔn)O關(guān)鍵詞 網(wǎng)絡(luò)安全防火墻技術(shù)特征1. 引言21世紀(jì)全世界的計(jì)算機(jī)都將通過If tef f et 聯(lián)到一起9信息安全的內(nèi)涵也就發(fā)生了根本的變化O 它不僅從一般性的防衛(wèi)變成了一種非常普通的防范9而且還從一種專門的領(lǐng)域變成了無處不在O 網(wǎng)絡(luò)防火墻技術(shù)的作為內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的第一道安全屏障9是最先受到人們重視的

2、網(wǎng)絡(luò)安全技術(shù)9那么我們究竟應(yīng)該在哪些地方部署防火墻呢? 防火墻有哪些類型? 如何選擇還有如何部署防火墻呢? 這些都是本文要討論的問題O2. 防火墻網(wǎng)絡(luò)防火墻技術(shù)是一種用來加強(qiáng)網(wǎng)絡(luò)之間訪問控制9防止外部網(wǎng)絡(luò)用戶以非法手段通過外部網(wǎng)絡(luò)進(jìn)入內(nèi)部網(wǎng)絡(luò)9訪問內(nèi)部網(wǎng)絡(luò)資源9保護(hù)內(nèi)部網(wǎng)絡(luò)操作環(huán)境的特殊網(wǎng)絡(luò)互聯(lián)設(shè)備O 它對兩個(gè)或多個(gè)網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)包如鏈接方式按照一定的安全策略來實(shí)施檢查9以決定網(wǎng)絡(luò)之間的通信是否被允許9并監(jiān)視網(wǎng)絡(luò)運(yùn)行狀態(tài)O 防火墻處于5層網(wǎng)絡(luò)安全體系中的最底層9屬于網(wǎng)絡(luò)層安全技術(shù)范疇O 在這一層上9企業(yè)對安全系統(tǒng)提出的問題是, 所有的IP 是否都能訪問到企業(yè)的內(nèi)部網(wǎng)絡(luò)系統(tǒng)? 如果答案是 是

3、9則說明企業(yè)內(nèi)部網(wǎng)還沒有在網(wǎng)絡(luò)層采取相應(yīng)的防范措施O根據(jù)防火墻所采用的技術(shù)不同9我們可以將它分為四種基本類型, 包過濾型, 網(wǎng)絡(luò)地址轉(zhuǎn)換-NAT , 代理型和監(jiān)測型O2. 1. 包過濾型包過濾型產(chǎn)品是防火墻的初級產(chǎn)品9其技術(shù)依據(jù)是網(wǎng)絡(luò)中的分包傳輸技術(shù)O 網(wǎng)絡(luò)上的數(shù)據(jù)都是以 包為單位進(jìn)行傳輸?shù)?數(shù)據(jù)被分割成為一定大小的數(shù)據(jù)包9每一個(gè)數(shù)據(jù)包中都會包含一些特定信息9如數(shù)據(jù)的源地址, 目標(biāo)地址, TCP /UDP 源端口和目標(biāo)端口等O 防火墻通過讀取數(shù)據(jù)包中的地址信息來判斷這些 包是否來自可信任的安全站點(diǎn)9一旦發(fā)現(xiàn)來自危險(xiǎn)站點(diǎn)的數(shù)據(jù)包9防火墻便會將這些數(shù)據(jù)拒之門外O 系統(tǒng)管理員也可以根據(jù)實(shí)際情況靈活制

4、訂判斷規(guī)則O包過濾技術(shù)的優(yōu)點(diǎn)是簡單實(shí)用9實(shí)現(xiàn)成本較低9在應(yīng)用環(huán)境比較簡單的情況下9能夠以較小的代價(jià)在一定程度上保證系統(tǒng)的安全O但包過濾技術(shù)的缺陷也是明顯的O 包過濾技術(shù)是一種完全基于網(wǎng)絡(luò)層的安全技術(shù)9只能根據(jù)數(shù)據(jù)包的來源, 目標(biāo)和端口等網(wǎng)絡(luò)信息進(jìn)行判斷9無法識別基于應(yīng)用層的惡意侵入9如惡意的Java 小程序以及電子郵件中附帶的病毒O 有經(jīng)驗(yàn)的黑客很容易偽造IP 地址9騙過包過濾型防火墻O2. 2. 網(wǎng)絡(luò)地址轉(zhuǎn)化-NAT網(wǎng)絡(luò)地址轉(zhuǎn)換是一種用于把IP 地址轉(zhuǎn)換成臨時(shí)的, 外部的, 注冊的IP 地址標(biāo)準(zhǔn)O 它允許具有私有IP 地址的內(nèi)部網(wǎng)絡(luò)訪問因特網(wǎng)O 它還意味著用戶不許要為其網(wǎng)絡(luò)中每一臺機(jī)器取得注

5、冊的IP 地址ONAT 的工作過程如圖1所示,在內(nèi)部網(wǎng)絡(luò)通過安全網(wǎng)訪問外部網(wǎng)絡(luò)時(shí)9將產(chǎn)生一個(gè)映射記錄O 系統(tǒng)將外出的源地址和源端口映射為一個(gè)偽裝的地址和端口9讓這個(gè)偽裝的地址和端口通過非安全網(wǎng)卡與外部網(wǎng)絡(luò)連接9這樣對外就隱藏了真實(shí)的內(nèi)部網(wǎng)絡(luò)地址O 在外部網(wǎng)絡(luò)通過非安全網(wǎng)卡訪問內(nèi)部網(wǎng)絡(luò)時(shí)9它并不知道內(nèi)部網(wǎng)絡(luò)的連接情況9而只是通過一個(gè)開放的IP 地址和端口來請求訪問O OLM 防火墻根據(jù)預(yù)先定義好的映射規(guī)則來判斷這個(gè)訪問是否安全O 當(dāng)符合規(guī)則時(shí)9防火墻認(rèn)為訪問是安全的9可以接受訪問請求9也可以將連接請求映射到不同的內(nèi)部計(jì)算機(jī)中O 當(dāng)不符合規(guī)則時(shí)9防火墻認(rèn)為該訪問是不安全的9不能被接受9防火墻將屏蔽

6、外部的連接請求O 網(wǎng)絡(luò)地址轉(zhuǎn)換的過程對于用戶來說是透明的9不需要用戶進(jìn)行設(shè)置9用戶只要進(jìn)行常規(guī)操作即可O2. 3. 代理型代理型防火墻也可以被稱為代理服務(wù)器9它的安全性要高于包過濾型產(chǎn)品9并已經(jīng)開始向應(yīng)用層發(fā)展O 代理服務(wù)器位于客戶機(jī)與服務(wù)器之間9完全阻擋了二者間的數(shù)據(jù)交流O 從客戶機(jī)來看9代理服務(wù)器相當(dāng)于一臺真正的服務(wù)器; 而從服務(wù)器來看9代理服務(wù)器又是一臺真正的客戶機(jī)O 當(dāng)客戶機(jī)需要使用服務(wù)器上的數(shù)據(jù)時(shí)9首先將數(shù)據(jù)請求發(fā)給代理服務(wù)器9代理服務(wù)器再根據(jù)這一請求向服務(wù)器索取數(shù)據(jù)9然后再由代理服務(wù)器將數(shù)據(jù)傳輸給客戶機(jī)O 由于外部系統(tǒng)與內(nèi)部服務(wù)器之間沒有直接的數(shù)據(jù)通道9外部的惡意侵害也就很難傷害到

7、企業(yè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)O代理型防火墻的優(yōu)點(diǎn)是安全性較高9可以針對應(yīng)用層進(jìn)行偵測和掃描9對付基于應(yīng)用層的侵入和病毒都十分有效O 其缺點(diǎn)是對系統(tǒng)的整體性能有較大的影響9而且代理服務(wù)器必須針對客戶機(jī)可能產(chǎn)生的所有應(yīng)用類型逐一進(jìn)行設(shè)置9大大增加了系統(tǒng)管理的復(fù)雜性O(shè)2. 4. 監(jiān)測型監(jiān)測型防火墻是新一代的產(chǎn)品9這一技術(shù)實(shí)際已經(jīng)超越了最初的防火墻定義O 監(jiān)測型防火墻能夠?qū)Ω鲗拥臄?shù)據(jù)進(jìn)行主動(dòng)的, 實(shí)時(shí)的監(jiān)測9在對這些數(shù)據(jù)加以分析的基礎(chǔ)上9監(jiān)測型防火墻能夠有效地判斷出各層中的非法侵入O 同時(shí)9這種檢測型防火墻產(chǎn)品一般還帶有分布式探測器9這些探測器安置在各種應(yīng)用服務(wù)器和其他網(wǎng)絡(luò)的節(jié)點(diǎn)之中9不僅能夠檢測來自網(wǎng)絡(luò)外部的攻

8、擊9同時(shí)對來自內(nèi)部的惡意破壞也有極強(qiáng)的防范作用O 據(jù)權(quán)威機(jī)構(gòu)統(tǒng)計(jì)9在針對網(wǎng)絡(luò)系統(tǒng)的攻擊中9有相當(dāng)比例的攻擊來自網(wǎng)絡(luò)內(nèi)部O 因此9監(jiān)測型防火墻不僅超越了傳統(tǒng)防火墻的定義9而且在安全性上也超越了前兩代產(chǎn)品O安裝防火墻的基本原則是, 只要有惡意侵入的可能9無論是內(nèi)部網(wǎng)絡(luò)還是與外部公網(wǎng)的連接處9都應(yīng)該安裝防火墻O3. 防火墻的選擇選擇防火墻的標(biāo)準(zhǔn)有很多9但最重要的是以下幾條,3. 1. 總擁有成本防火墻產(chǎn)品作為網(wǎng)絡(luò)系統(tǒng)的安全屏障9其總擁有成本(TCO 不應(yīng)該超過受保護(hù)網(wǎng)絡(luò)系統(tǒng)(下轉(zhuǎn)第234頁332 科技信息專題論述淺議新課標(biāo)下的新型師生觀商丘市第一中學(xué)李偉帆新課程標(biāo)準(zhǔn)的制訂Z 使學(xué)生的學(xué)習(xí)發(fā)生了根本性

9、的改變 原來以教師為中心的被動(dòng)接受式學(xué)習(xí)轉(zhuǎn)為以學(xué)生為中心的主動(dòng)合作Z 從多方面獲取信息的探究式學(xué)習(xí) 學(xué)習(xí)性質(zhì)的改變也就需要教師觀學(xué)生觀隨之變化 以往的教學(xué)大綱注重的是知識的傳授Z 而新課程標(biāo)準(zhǔn)注重的是基本素質(zhì)的培養(yǎng) 不僅包括最基本的知識的傳授Z 而且更注重的是有利于每一個(gè)學(xué)生將來的發(fā)展 由于這個(gè)本質(zhì)的變化Z 將使學(xué)生的學(xué)習(xí)觀念發(fā)生變化Z 由此教師的教學(xué)觀念也應(yīng)隨之而改變一樹立新標(biāo)準(zhǔn)下的教師新形象新課程標(biāo)準(zhǔn)的實(shí)施對于每一個(gè)教師而言Z 既是挑戰(zhàn)又是機(jī)遇 作為教師Z 不僅需要在觀念上全面更新Z 在教學(xué)上也需要不斷地加強(qiáng)自身各方面的修養(yǎng) 教師是課程實(shí)施過程的直接參與者Z 新的課程方案成功與否Z 教師的

10、素質(zhì)態(tài)度是一個(gè)關(guān)鍵因素 因此 實(shí)施課程改革需要對教師進(jìn)行培訓(xùn)Z 使他們形成新思想新觀念新技能新方法新策略改革課堂教學(xué)策略的出發(fā)點(diǎn)就是要把國家新一輪基礎(chǔ)教育課程改革的構(gòu)想有效地轉(zhuǎn)化為學(xué)生學(xué)習(xí)的實(shí)際過程Z 真正將個(gè)體生命發(fā)展的主動(dòng)權(quán)還給學(xué)生 為此Z 要倡導(dǎo)教學(xué)民主Z 建立平等的師生關(guān)系Z 幫助學(xué)生在體驗(yàn)探究發(fā)現(xiàn)等框架下自主學(xué)習(xí)Z 獨(dú)立思考_保護(hù)他們的探索精神創(chuàng)新精神Z 營造崇尚真知追求真理的氛圍Z 為學(xué)生個(gè)性的全面發(fā)展創(chuàng)造一個(gè)寬松愉快的環(huán)境學(xué)校的評價(jià)體系包括對教師的評價(jià)和對學(xué)生的評價(jià) 新課程標(biāo)準(zhǔn)下的評價(jià)體系首先應(yīng)遵循以下幾點(diǎn) 評價(jià)功能由甄別選拔轉(zhuǎn)為注重學(xué)生發(fā)展評價(jià)由注重學(xué)生結(jié)果轉(zhuǎn)交為注重學(xué)生學(xué)習(xí)過

11、程要重視學(xué)生的自評和互評不僅注重評價(jià)的準(zhǔn)確性和公正性 更注重對評價(jià)的反饋及被評價(jià)者對評價(jià)的認(rèn)識和對先前狀態(tài)的改進(jìn)在評價(jià)時(shí)注重學(xué)生各方面素質(zhì)的結(jié)合等過去評價(jià)方式上普遍存在的問題是 僅以考試分?jǐn)?shù)作為衡量學(xué)生成績好壞的惟一標(biāo)準(zhǔn) 教師動(dòng)不動(dòng)就給學(xué)生. 貼標(biāo)簽 以考試成績來評價(jià)學(xué)生是好是壞Z 造成了很多學(xué)生對學(xué)習(xí)的失望 因?yàn)橐蚩荚嚦煽兒枚玫焦膭?lì)的往往是少數(shù)Z 大多數(shù)學(xué)生不能得到鼓勵(lì)_形成失敗的心理 從而喪失了對學(xué)習(xí)的興趣和動(dòng)機(jī) 有的教師往往不善于發(fā)現(xiàn)學(xué)生身上的閃光點(diǎn) 只是揪住學(xué)生的弱點(diǎn)不放Z 這也影響了學(xué)生健康全面的成長 而新的課程標(biāo)準(zhǔn)則要求教師完全摒棄這種陳舊的評價(jià)觀念Z 建立新的評價(jià)認(rèn)識體系Z 遵

12、循課程標(biāo)準(zhǔn)提出的評價(jià)總原則二培養(yǎng)新課程標(biāo)準(zhǔn)下的新學(xué)生與生產(chǎn)勞動(dòng)的對象不同Z 教育的對象是人Z 是活的能動(dòng)體 學(xué)生作為教育實(shí)踐的對象Z 他不是消極被動(dòng)的接受改造和塑造Z 卻是能意識到自已是被人改造和塑造的 從而有可能自已參與到教育過程中去Z 與教師共同完成教育的過程 新課程標(biāo)準(zhǔn)更強(qiáng)調(diào)合作學(xué)習(xí) 探究學(xué)習(xí) 合作不僅是學(xué)生與學(xué)生的合作Z 也包括學(xué)生與教師的合作 在學(xué)生自己探究學(xué)習(xí)的過程中Z 盡管學(xué)生是主體Z 但教師的引導(dǎo)作用也是不容忽視的 因此Z 任何一個(gè)教育活動(dòng)都需要教師和學(xué)生這兩個(gè)能動(dòng)體的共同完成 這就需要教師重新認(rèn)識我們的學(xué)生Z 根據(jù)他們的身心特點(diǎn)共同進(jìn)行教學(xué)活動(dòng)新課程標(biāo)準(zhǔn)的基本理念就是要發(fā)展每

13、一位學(xué)生 之所以提出這樣的理念Z 是因?yàn)檎J(rèn)識到了每一個(gè)學(xué)生都是有潛力可挖掘的 很長一段時(shí)間內(nèi)Z 人們將孩子看作是. 小大人 Z 忽視了他們身心發(fā)展的特點(diǎn) 但他們身上的確蘊(yùn)藏著各方面發(fā)展的極大可能性Z 教育得當(dāng)就可以使他們的身心獲得最佳的發(fā)展 傳統(tǒng)的應(yīng)式教育Z 片面追求考試成績Z 因而抹殺了孩子具有的許多天性 正如有人將我們的教育比作機(jī)械化的Z 學(xué)生的成長是在同一個(gè)模子里_最后的成品也必然是一個(gè)模樣的 長期進(jìn)行這種教育 磨平了學(xué)生的. 棱角 Z 學(xué)生失去了個(gè)性和創(chuàng)造性 正如大多數(shù)報(bào)道所盲Z 中國孩子的記憶計(jì)算能力遠(yuǎn)遠(yuǎn)超過外國孩子Z 但在動(dòng)手操作及創(chuàng)造方面則遠(yuǎn)遠(yuǎn)不如他們 新課程標(biāo)準(zhǔn)推行正是為了克服

14、這一弊端Z 將學(xué)生個(gè)體的全面發(fā)展放到一個(gè)核心地位 因此教師應(yīng)以一種平等的態(tài)度對待每一位學(xué)生Z 發(fā)掘他們身上的潛力Z 引導(dǎo)其朝著適合自身發(fā)展的方向前進(jìn) 當(dāng)然Z 尋找到學(xué)生的. 興趣點(diǎn) 后 還要通過各種形式的教育Z 實(shí)現(xiàn)學(xué)生德智體美勞的全面發(fā)展盡管一直以來都在強(qiáng)調(diào)減輕學(xué)生的負(fù)擔(dān)Z 我們的教師也的確這樣作了_但其實(shí)學(xué)生的負(fù)擔(dān)并未真正減輕 這是因?yàn)閱螐慕處熯@一方來減少學(xué)生的作業(yè)并非是真正的減負(fù) 由于考試制度尚未改變Z 因此家長所給的學(xué)習(xí)任務(wù)使學(xué)生更喘不過氣來 其實(shí)我們的家長并非想讓孩子整天沉浸于作業(yè)之中Z 只是由于社會的壓力Z 升學(xué)壓力Z 而使他們做了自己并不想做又不得不做的事 不僅是學(xué)業(yè)的負(fù)擔(dān)Z 更

15、多的學(xué)生還要承受為了提高自身素質(zhì)的壓力Z 諸如學(xué)鋼琴練書法等等 雖然促進(jìn)學(xué)生全面發(fā)展Z 提高藝術(shù)修養(yǎng)無可厚非Z 但許多家長并不從孩子是否意愿出發(fā)Z 自作主張的讓孩子學(xué)這學(xué)那Z 許多學(xué)生的課余時(shí)間因此而喪失Z 根本談不上自由發(fā)展的時(shí)問總之Z 新課程標(biāo)準(zhǔn)的推行是關(guān)系到國家民族和我們每一個(gè)人切身利益的大事 如何有效地實(shí)施這一標(biāo)準(zhǔn)Z 需要我們?nèi)鐣紭淞⑵鹨粋€(gè)教育的新理念Z 尤其是新的正確的教師觀與學(xué)生觀的樹立(上接第233頁 可能遭受最大損失的成本 以一個(gè)非關(guān)鍵部門的網(wǎng)絡(luò)系統(tǒng)為例Z 假如其系統(tǒng)中的所有信息及所支持應(yīng)用的總價(jià)值為16萬元Z 則該部門所配備防火墻的總成本也不應(yīng)該超過16萬元 當(dāng)然Z 對于

16、關(guān)鍵部門來說Z 其所造成的負(fù)面影響和連帶損失也應(yīng)考慮在內(nèi) 如果僅做粗略估算Z 非關(guān)鍵部門的防火墻購置成本不應(yīng)該超過網(wǎng)絡(luò)系統(tǒng)的建設(shè)總成本Z 關(guān)鍵部門則應(yīng)另當(dāng)別論3. 2. 防火墻本身是安全的作為信息系統(tǒng)安全產(chǎn)品Z 防火墻本身也應(yīng)該保證安全Z 不給外部侵入者以可乘之機(jī) 如果像馬其頓防線一樣Z 正面雖然牢不可破Z 但進(jìn)攻者能夠輕易地繞過防線進(jìn)入系統(tǒng)內(nèi)部Z 網(wǎng)絡(luò)系統(tǒng)也就沒有任何安全性可言了3. 3. 管理與培訓(xùn)管理和培訓(xùn)是評價(jià)一個(gè)防火墻好壞的重要方面 我們已經(jīng)談到Z 在計(jì)算防火墻的成本時(shí)Z 不能只簡單地計(jì)算購置成本Z 還必須考慮其總擁有成本 人員的培訓(xùn)和日常維護(hù)費(fèi)用通常會在TCO 中占據(jù)較大的比例 一家優(yōu)秀的安全產(chǎn)品供應(yīng)商必須為其用戶提供良好的培訓(xùn)和售后服務(wù)3. 4. 可擴(kuò)充性在網(wǎng)絡(luò)系統(tǒng)建設(shè)的初期Z 由于內(nèi)部信息系統(tǒng)的規(guī)模較小Z 遭受攻擊造成的損失也較小Z 因此沒有必要購置過于復(fù)雜和昂貴的防火墻產(chǎn)品 但隨著網(wǎng)絡(luò)的擴(kuò)容和網(wǎng)絡(luò)應(yīng)用的增加Z 網(wǎng)絡(luò)的風(fēng)險(xiǎn)成本也會急劇上升Z 此時(shí)便需要增加具有更高安全性的防火墻產(chǎn)品 好的產(chǎn)品應(yīng)該留給用戶足夠的彈性空間4_結(jié)束語