防火牆作用日減, 資料存取控制漸成主流 - 其他問題 - 百怡富科技

版主

UID 3
精華 0
積分 0
帖子 28
閱讀權限 100
註冊 2008-2-10
狀態離線

發表於 2008-4-6 18:25 資料文集短消息

防火牆作用日減, 資料存取控制漸成主流

安全專家聲稱，由於威脅逐漸遠離IT基礎架構，在不久的將來，資料安全、身份識別管理和存取控制將成為IT安全的重點。

未來是身份控制管理的時代，現在的防毒軟體和防火牆將退居到第二線。網路安全將取決於資料本身，而非底層設備。

這種轉變背後有著多種內在的原因，不斷成長的行動應用促成了這種轉變。IDC的統計顯示，行動資料服務在2008年將增長50%，透過手持設備發送電子郵件將繼續成為行動應用的焦點。

另外，強調公司應該限制職員存取機密資料，“防火牆把外來的存取者擋在墻外，但是事實證明半數的偷竊、泄密者都來自公司內部，而他們本身是被防火牆允許存取的。”

就在前2個月，法國興業銀行(Société Générale)的一名員工Jerome Kerviel承認自己盜用了同事的存取密碼建立偽造帳戶用於交易，最終這家銀行因此損失了70億美元。

根據IDC高級分析師Patrik Bihammar的觀點，安全重點的轉移應該歸咎於駭客攻擊方向的轉變。在一份綜述中Bihammar認為，現在的駭客攻擊多為金錢利益所驅使，而非簡單的報復性破壞行為。

此外，很多公司也看到了這種轉變所帶來的經濟驅動力，這也是各大廠商爭相投入資料安全和身份認證領域的另一原因。

marketing

版主

UID 3
精華 0
積分 0
帖子 28
閱讀權限 100
註冊 2008-2-10
狀態離線

發表於 2008-4-6 18:37 資料文集短消息

防火牆原理

防火牆能增強機構內部網路的安全性。防火牆系統決定了哪些內部服務可以被外界訪問；外界的哪些人可以訪問內部的服務以及哪些外部服務可以被內部人員訪問。防火牆必須只允許授權的資料通過，而且防火牆本身也必須能夠免於滲透。

一般來說，防火牆具有以下幾種功能：

1．允許網路管理員定義一個中心點來防止非法用戶進入內部網路。
2．可以很方便地監視網路的安全性，並報警。
3．可以作為部署NAT（Network Address Translation，網路位址變換）的地點，利用NAT技術，將有限的IP位址動態或靜態地與內部的IP位址對應起來，用來緩解位址空間短缺的問題。
4．是審計和記錄Internet使用費用的一個最佳地點。網路管理員可以在此向管理部門提供Internet連接的費用情況，查出潛在的帶寬瓶頸位置，並能夠依據本機構的核算模式提供部門級的計費。
5．可以連接到一個單獨的網段上，從物理上和內部網段隔開，並在此部署WWW伺服器和FTP伺服器，將其作為向外部發佈內部資訊的地點。從技術角度來講，就是所謂的停火區（DMZ）。

兩種防火牆技術的對比

1. 包過濾防火牆
　優點
　　價格較低
　　性能開銷小，處理速度較快
缺點
　　定義複雜，容易出現因配置不當帶來問題
　　允許資料包直接通過，容易造成資料驅動式攻擊的潛在危險

2. 代理防火牆
　　內置了專門為了提高安全性而編制的Proxy應用程式，能夠透徹地理解相關服務的命令，對來往的資料包進行安全化處理
　　速度較慢，不太適用於高速網（ATM或十億位元乙太網等）之間的應用

防火牆的兩大分類

儘管防火牆的發展經過了上述的幾代，但是按照防火牆對內外來往資料的處理方法，大致可以將防火牆分為兩大體系：包過濾防火牆和代理防火牆（應用層網關防火牆）。前者以以色列的Checkpoint防火牆和Cisco公司的PIX防火牆為代表，後者以美國NAI公司的Gauntlet防火牆為代表。

1．包過濾防火牆

第一代：靜態包過濾

這種類型的防火牆根據定義好的過濾規則審查每個資料包，以便確定其是否與某一條包過濾規則匹配。過濾規則基於資料包的報頭資訊進行制訂。報頭資訊中包括IP源位址、IP目標位址、傳輸協定(TCP、UDP、ICMP等等)、TCP/UDP目標埠、ICMP消息類型等。包過濾類型的防火牆要遵循的一條基本原則是“最小特權原則”，即明確允許那些管理員希望通過的資料包，禁止其他的資料包。

第二代：動態包過濾

　　這種類型的防火牆採用動態設定包過濾規則的方法，避免了靜態包過濾所具有的問題。這種技術後來發展成為所謂包狀態監測（Stateful Inspection）技術。採用這種技術的防火牆對通過其建立的每一個連接都進行跟蹤，並且根據需要可動態地在過濾規則中增加或更綠蹌俊?

2．代理防火牆

　　第一代：代理防火牆

　　代理防火牆也叫應用層閘道（Application Gateway）防火牆。這種防火牆通過一種代理（Proxy）技術參與到一個TCP連接的全過程。從內部發出的資料包經過這樣的防火牆處理後，就好像是源於防火牆外部網卡一樣，從而可以達到隱藏內部網結構的作用。這種類型的防火牆被網路安全專家和媒體公認為是最安全的防火牆。它的核心技術就是代理伺服器技術。

　　所謂代理伺服器，是指代表客戶處理在伺服器連接請求的程式。當代理伺服器得到一個客戶的連接意圖時，它們將核實客戶請求，並經過特定的安全化的Proxy應用程式處理連接請求，將處理後的請求傳遞到真實的伺服器上，然後接受伺服器應答，並做進一步處理後，將答復交給發出請求的最終客戶。代理伺服器在外部網路向內部網路申請服務時發揮了中間轉接的作用。

代理類型防火牆的最突出的優點就是安全。由於每一個內外網路之間的連接都要通過Proxy的介入和轉換，通過專門為特定的服務如Http編寫的安全化的應用程式進行處理，然後由防火牆本身提交請求和應答，沒有給內外網路的電腦以任何直接會話的機會，從而避免了入侵者使用資料驅動類型的攻擊方式入侵內部網。包過濾類型的防火牆是很難徹底避免這一漏洞的。就像你要向一個陌生的重要人物遞交一份聲明一樣，如果你先將這份聲明交給你的律師，然後律師就會審查你的聲明，確認沒有什麼負面的影響後才由他交給那個陌生人。在此期間，陌生人對你的存在一無所知，如果要對你進行侵犯，他面對的將是你的律師，而你的律師當然比你更加清楚該如何對付這種人。

代理防火牆的最大缺點就是速度相對比較慢，當用戶對內外網路閘道的吞吐量要求比較高時，（比如要求達到75-100Mbps時）代理防火牆就會成為內外網路之間的瓶頸。所幸的是，目前用戶接入Internet的速度一般都遠低於這個數字。在現實環境中，要考慮使用包過濾類型防火牆來滿足速度要求的情況，大部分是高速網（ATM或十億位元乙太網等）之間的防火牆。

　　第二代：自適應代理防火牆

　　自適應代理技術（Adaptive proxy）是最近在商業應用防火牆中實現的一種革命性的技術。它可以結合代理類型防火牆的安全性和包過濾防火牆的高速度等優點，在毫不損失安全性的基礎之上將代理型防火牆的性能提高10倍以上。組成這種類型防火牆的基本要素有兩個：自適應代理伺服器（Adaptive Proxy Server）與動態包篩檢程式（Dynamic Packet filter）。

在自適應代理與動態包篩檢程式之間存在一個控制通道。在對防火牆進行配置時，用戶僅僅將所需要的服務類型、安全級別等資訊通過相應Proxy的管理介面進行設定就可以了。然後，自適應代理就可以根據用戶的配置資訊，決定是使用代理服務從應用層代理請求還是從網路層轉發包。如果是後者，它將動態地通知包篩檢程式增減過濾規則，滿足用戶對速度和安全性的雙重要求。

小資料 -- 防火牆的發展史

第一代防火牆

　　第一代防火牆技術幾乎與路由器同時出現，採用了包過濾（Packet filter）技術。下圖表示了防火牆技術的簡單發展歷史。

第二、三代防火牆

　　1989年，貝爾實驗室的Dave Presotto和Howard Trickey推出了第二代防火牆，即電路層防火牆，同時提出了第三代防火牆——應用層防火牆（代理防火牆）的初步結構。

第四代防火牆

　　1992年，USC資訊科學院的BobBraden開發出了基於動態包過濾（Dynamic packet filter）技術的第四代防火牆，後來演變為目前所說的狀態監視（Stateful inspection）技術。1994年，以色列的CheckPoint公司開發出了第一個採用這種技術的商業化的產品。

第五代防火牆

　　1998年，NAI公司推出了一種自適應代理（Adaptive proxy）技術，並在其產品Gauntlet Firewall for NT中得以實現，給代理類型的防火牆賦予了全新的意義，可以稱之為第五代防火牆。

[ 本帖最後由 marketing 於 2008-4-6 18:51 編輯 ]