【摘要】網(wǎng)絡(luò)系統(tǒng)的安全對于單位和個人都是很重要的，如何保證網(wǎng)絡(luò)安全，入侵檢測與防火墻技術(shù)起到很重要的作用。本文針對網(wǎng)絡(luò)安全存在的問題，介紹了防火墻的基本概念，及如何使用規(guī)則集實現(xiàn)防火墻，入侵檢測系統(tǒng)的基本概念、入侵檢測的步驟，以及入侵檢測與防火墻技術(shù)的區(qū)別。
中國論文網(wǎng) http://www.xzbu.com/8/view-6478055.htm
【關(guān)鍵詞】網(wǎng)絡(luò)安全;防火墻技術(shù);入侵檢測;網(wǎng)絡(luò)威脅
網(wǎng)絡(luò)給我們帶來方便的同時，也帶來了安全問題，如何保護單位和個人網(wǎng)絡(luò)和應(yīng)用的安全，如何保護信息安全，是我們所探討的重點。
我們可以通過很多網(wǎng)絡(luò)工具，硬件設(shè)備和策略來保護自己的網(wǎng)絡(luò)。其中入侵檢測和防火墻是應(yīng)用非常廣泛和最好的選擇。它可以防御網(wǎng)絡(luò)中的各種威脅，并做出及時的響應(yīng)，將那些危險的連接和攻擊行為隔絕在外，從而降低網(wǎng)絡(luò)的整體風(fēng)險。
1.防火墻
1.1 防火墻的定義
在網(wǎng)絡(luò)中，所謂“防火墻”，是指一種將內(nèi)部網(wǎng)和公眾訪問網(wǎng)（如Internet）分開的方法，它實際上是一種隔離技術(shù)。防火墻是在兩個網(wǎng)絡(luò)通訊時執(zhí)行的一種訪問控制尺度，它能允許你“同意”的人和數(shù)據(jù)進入你的網(wǎng)絡(luò)，同時將你“不同意”的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡(luò)中的黑客來訪問你的網(wǎng)絡(luò)。換句話說，如果不通過防火墻，公司內(nèi)部的人就無法訪問Internet，Internet上的人也無法和公司內(nèi)部的人進行通信。
XP系統(tǒng)相比于以往的Windows系統(tǒng)新增了許多的網(wǎng)絡(luò)功能（Windows 7的防火墻一樣很強大，可以很方便地定義過濾掉數(shù)據(jù)包），例如Internet連接防火墻（ICF），它就是用一段“代碼墻”把電腦和Internet分隔開，時刻檢查出入防火墻的所有數(shù)據(jù)包，決定攔截或是放行哪些數(shù)據(jù)包。防火墻可以是一種硬件、固件或者軟件，例如專用防火墻設(shè)備、就是硬件形式的防火墻，包過濾路由器是嵌有防火墻固件的路由器，而代理服務(wù)器等軟件就是軟件形式的防火墻。
1.2 防火墻的分類
常見的放火墻有三種類型：分組過濾防火墻、應(yīng)用代理防火墻、狀態(tài)檢測防火墻。分組過濾防火墻使用的比較多，因此我們在這里討論分組過濾防火墻。
?。?）分組過濾防火墻
作用在協(xié)議組的網(wǎng)絡(luò)層和傳輸層，可視為一種 IP 封包過濾器，運作在底層的TCP/IP協(xié)議堆棧上。我們可以以枚舉的方式，只允許符合特定規(guī)則的封包通過，其余的一概禁止穿越防火墻。這些規(guī)則通?？梢越?jīng)由管理員定義或修改，根據(jù)分組包頭源地址、目的地址和端口號、協(xié)議類型等標(biāo)志確定是否允許數(shù)據(jù)包通過，只有滿足過濾邏輯的數(shù)據(jù)包才被轉(zhuǎn)發(fā)到相應(yīng)的目的地的出口端，其余的數(shù)據(jù)包則從數(shù)據(jù)流中丟棄。
建立防火墻規(guī)則集的基本方法有兩種：“明示允許（inclusive）”型或“明示禁止（exclusive）”型。明示禁止的防火墻規(guī)則，默認(rèn)允許所有數(shù)據(jù)通過防火墻，而這種規(guī)則集中定義的，則是不允許通過防火墻的流量，換言之，與這些規(guī)則不匹配的數(shù)據(jù)，全部是允許通過防火墻的。明示允許的防火墻正好相反，它只允許符合規(guī)則集中定義規(guī)則的流量通過，而其他所有的流量都被阻止。
明示允許型防火墻能夠提供對于傳出流量更好的控制，這使其更適合那些直接對Internet公網(wǎng)提供服務(wù)的系統(tǒng)的需要。它也能夠控制來自Internet公網(wǎng)到您的私有網(wǎng)絡(luò)的訪問類型。所有和規(guī)則不匹配的流量都會被阻止并記錄在案。一般來說明示允許防火墻要比明示禁止防火墻更安全，因為它們顯著地減少了允許不希望的流量通過可能造成的風(fēng)險。例如：定義的防火墻的規(guī)則集如表1-1所示：
表1-1 防火墻規(guī)則的定義
序號 動作 源IP 目的IP 源端口 目的端口 協(xié)議類型
1 允許 20.1.1.1 * * * TCP
2 允許 * 20.1.1.1 20 * TCP
3 禁止 * 20.1.1.1 20 <1024 TCP
第一條規(guī)則：主機20.1.1.1任何端口訪問任何主機的任何端口，基于TCP協(xié)議的數(shù)據(jù)包都允許通過。
第二條規(guī)則：任何主機的20端口訪問主機20.1.1.1的任何端口，基于TCP協(xié)議的數(shù)據(jù)包允許通過。
第三條規(guī)則：任何主機的20端口訪問主機20.1.1.1小于1024的端口，如果基于TCP協(xié)議的數(shù)據(jù)包都禁止通過。
我們可以使用WinRoute工具軟件創(chuàng)建包過濾規(guī)則，WinRoute這個軟件則除了具有代理服務(wù)器的功能外，還具有防火墻、NAT、郵件服務(wù)器、DHCP服務(wù)器、DNS服務(wù)器等功能，目前應(yīng)用比較廣泛，目前比較常用的是WinRouteFirewall 5。
1.3 建立防火墻的步驟
建立一個可靠的規(guī)則集對于實現(xiàn)一個成功的、安全的防火墻來說是非常關(guān)鍵的一步。因為如果你的防火墻規(guī)則集配置錯誤，再好的防火墻也只是擺設(shè)。在安全審計中，經(jīng)常能看到一個巨資購入的防火墻由于某個規(guī)則配置的錯誤而將機構(gòu)暴露于巨大的危險之中。
成功的創(chuàng)建一個防火墻系統(tǒng)一般需要六步：第一步：制定安全策略，第二步：搭建安全體系結(jié)構(gòu)，第三步：制定規(guī)則次序，第四步：落實規(guī)則集，第五步：注意更換控制，第六步：做好審計工作。
需要注意的是規(guī)則越簡單越好，一個簡單的規(guī)則集是建立一個安全的防火墻的關(guān)鍵所在。網(wǎng)絡(luò)的頭號敵人是錯誤配置。為什么當(dāng)你意外地將消息訪問協(xié)議（IMAP）公開時，那些壞家伙會試圖悄悄攜帶欺騙性的、片斷的信息包通過你的防火墻？請盡量保持你的規(guī)則集簡潔和簡短，因為規(guī)則越多，就越可能犯錯誤，規(guī)則越少，理解和維護就越容易。一個好的準(zhǔn)則是最好不要超過30條。一旦規(guī)則超過50條，你就會以失敗而告終。當(dāng)你要從很多規(guī)則入手時，就要認(rèn)真檢查一下你的整個安全體系結(jié)構(gòu)，而不僅僅是防火墻。規(guī)則越少，規(guī)則集就越簡潔，錯誤配置的可能性就越小，系統(tǒng)就越安全。因為規(guī)則少意味著只分析少數(shù)的規(guī)則，防火墻的CPU周期就短，防火墻效率就可以提高。 2.入侵檢測
2.1 入侵檢測系統(tǒng)的概念
入侵檢測系統(tǒng)IDS（Intrusion Detection System）指的是一種硬件或者軟件系統(tǒng)，通過實時監(jiān)視系統(tǒng)對系統(tǒng)資源的非授權(quán)使用能夠做出及時的判斷和記錄，一旦發(fā)現(xiàn)異常情況就發(fā)出報警。
入侵檢測是防火墻的合理補充，幫助系統(tǒng)對付網(wǎng)絡(luò)攻擊，擴展了系統(tǒng)管理員的安全管理能力（包括安全審計、監(jiān)視、進攻識別和響應(yīng)），提高了信息安全基礎(chǔ)結(jié)構(gòu)的完整性。它從計算機網(wǎng)絡(luò)系統(tǒng)中的若干關(guān)鍵點收集信息，并分析這些信息，看看網(wǎng)絡(luò)中是否有違反安全策略的行為和遭到襲擊的跡象。入侵檢測被認(rèn)為是防火墻之后的第二道安全閘門，在不影響網(wǎng)絡(luò)性能的情況下能對網(wǎng)絡(luò)進行監(jiān)測，從而提供對內(nèi)部攻擊、外部攻擊和誤操作的實時保護。
入侵檢測系統(tǒng)功能主要有：
2.2 入侵檢測系統(tǒng)的步驟
入侵檢測一般分為3個步驟，依次為信息收集、數(shù)據(jù)分析、響應(yīng)（被動響應(yīng)和主動響應(yīng)）。
?。?）信息收集
包括系統(tǒng)、網(wǎng)絡(luò)、數(shù)據(jù)及用戶活動的狀態(tài)和行為。入侵檢測利用的信息一般來自系統(tǒng)日志、目錄以及文件中的異常改變、程序執(zhí)行中的異常行為及物理形式的入侵信息4個方面。
數(shù)據(jù)分析是入侵檢測的核心
它首先構(gòu)建分析器，把收集到的信息經(jīng)過預(yù)處理，建立一個行為分析引擎或模型，然后向模型中植入時間數(shù)據(jù)，在知識庫中保存植入數(shù)據(jù)的模型。數(shù)據(jù)分析一般通過模式匹配、統(tǒng)計分析和完整性分析3種手段進行。前兩種方法用于實時入侵檢測，而完整性分析則用于事后分析。
（3）入侵檢測系統(tǒng)在發(fā)現(xiàn)入侵后會及時作出響應(yīng)，包括切斷網(wǎng)絡(luò)連接、記錄事件和報警等。響應(yīng)一般分為主動響應(yīng)（阻止攻擊或影響進而改變攻擊的進程）和被動響應(yīng)（報告和記錄所檢測出的問題）兩種類型。主動響應(yīng)由用戶驅(qū)動或系統(tǒng)本身自動執(zhí)行，可對入侵者采取行動（如斷開連接）、修正系統(tǒng)環(huán)境或收集有用信息;被動響應(yīng)則包括告警和通知、簡單網(wǎng)絡(luò)管理協(xié)議（SNMP）陷阱和插件等。另外，還可以按策略配置響應(yīng)，可分別采取立即、緊急、適時、本地的長期和全局的長期等行動。
2.3 防火墻和入侵檢測系統(tǒng)的區(qū)別
（1）首先是概念上
防火墻是設(shè)置在被保護網(wǎng)絡(luò)（本地網(wǎng)絡(luò)）和外部網(wǎng)絡(luò)（主要是Internet）之間的一道防御系統(tǒng)，以防止發(fā)生不可預(yù)測的、潛在的破壞性的侵入。它可以通過檢測、限制、更改跨越防火墻的數(shù)據(jù)流，盡可能的對外部屏蔽內(nèi)部的信息、結(jié)構(gòu)和運行狀態(tài)，以此來保護內(nèi)部網(wǎng)絡(luò)中的信息、資源等不受外部網(wǎng)絡(luò)中非法用戶的侵犯。
入侵檢測系統(tǒng)是對入侵行為的發(fā)覺，通過從計算機網(wǎng)絡(luò)或計算機的關(guān)鍵點收集信息并進行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和被攻擊的跡象。
總結(jié)：從概念上我們可以看出防火墻是針對黑客攻擊的一種被動的防御，IDS則是主動出擊尋找潛在的攻擊者;防火墻相當(dāng)于一個機構(gòu)的門衛(wèi)，收到各種限制和區(qū)域的影響，即凡是防火墻允許的行為都是合法的，而IDS則相當(dāng)于巡邏兵，不受范圍和限制的約束，這也造成了ISO存在誤報和漏報的情況出現(xiàn)。
?。?）其次是功能上
防火墻的主要功能是過濾不安全的服務(wù)和非法用戶：所有進出內(nèi)部網(wǎng)絡(luò)的信息都是必須通過防火墻，防火墻成為一個檢查點，禁止未授權(quán)的用戶訪問受保護的網(wǎng)絡(luò)。
入侵檢測系統(tǒng)的主要任務(wù)：監(jiān)視、分析用戶及系統(tǒng)活動，對異常行為模式進行統(tǒng)計分析，發(fā)行入侵行為規(guī)律，檢查系統(tǒng)配置的正確性和安全漏洞，并提示管理員修補漏洞，能夠?qū)崟r對檢測到的入侵行為進行響應(yīng)，評估系統(tǒng)關(guān)鍵資源和數(shù)據(jù)文件的完整性，操作系統(tǒng)的審計跟蹤管理，并識別用戶違反安全策略的行為。
3.總結(jié)
防火墻只是防御為主，通過防火墻的數(shù)據(jù)便不再進行任何操作，IDS則進行實時的檢測，發(fā)現(xiàn)入侵行為即可做出反應(yīng)，是對防火墻弱點的修補;防火墻可以允許內(nèi)部的一些主機被外部訪問，IDS則沒有這些功能，只是監(jiān)視和分析用戶和系統(tǒng)活動。
第一，IDS是繼防火墻之后的又一道防線，防火墻是防御，IDS是主動檢測，兩者相結(jié)合有力的保證了內(nèi)部系統(tǒng)的安全。
第二，IDS實時檢測可以及時發(fā)現(xiàn)一些防火墻沒有發(fā)現(xiàn)的入侵行為，發(fā)行入侵行為的規(guī)律，這樣防火墻就可以將這些規(guī)律加入規(guī)則之中，提高防火墻的防護力度。
本站僅提供存儲服務(wù)，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請
點擊舉報。
