|
|
|
一． 防火墙是什么?
) [" Q- v" u# `6 W. P. w, U) y
, O# l" F# k R 所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方
1 z, J% ]% j& j! Z" ]: ]3 S l法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制; Z+ n( K s! \+ c- r$ y
尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人
5 ]3 W! z J2 L. f/ y4 r& H和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更
2 W6 T# F, [% R) n改、拷贝、毁坏你的重要信息。 / |) H' F" i8 C
B m9 C" y; P, Y4 ] 二．防火墙的安全技术分析 & `6 X( d$ I2 y; }: K6 @
2 x# U$ a: q: h1 a, Q9 d1 v0 C: h
防火墙对网络的安全起到了一定的保护作用，但并非万无一失。通过对防火' K% m+ b0 j/ X, v2 G e
墙的基本原理和实现方式进行分析和研究，我对防火墙的安全性有如下几点认 J( }6 N. ]$ ]. n8 B0 W
识。
) |( Q* l+ P. V& p% Q) c# V
; G U- e' h9 s) a0 Q5 Z+ T, \6 I 1．正确选用、合理配置防火墙非常不容易
8 r$ B% X: O" J, M2 O- f0 P$ S9 C, j4 V1 n
防火墙作为网络安全的一种防护手段，有多种实现方式。建立合理的防护系
# S0 a, {7 A6 q0 k3 @' K/ c统，配置有效的防火墙应遵循这样四个基本步骤：
4 {7 b, V) g$ j7 q) ^( J5 f
9 j) p* f: \6 q8 D) C a. 风险分析；
: ^6 w6 a2 ?6 A: @: Z, H6 r- @; o5 g$ C4 H, R
b. 需求分析； ) C& U: U) `) h( G2 Q% J" |% z
7 @& E4 @) [- p c. 确立安全政策；
- H" O# J6 A x) N$ }/ j! z& E# D& ^) r W7 q
d. 选择准确的防护手段，并使之与安全政策保持一致。
x# }5 a' p3 r p, D% M) B
5 G( ?/ z$ W7 G6 ~$ u' n9 o0 r' C 然而，多数防火墙的设立没有或很少进行充分的风险分析和需求分析，而只
3 n: A& \+ _/ I5 J; f: m是根据不很完备的安全政策选择了一种似乎能“满足”需要的防火墙，这样的防- ]' R& ]# I- d& l, M; b
火墙能否“防火”还是个问题。
0 ?9 c/ [0 e& U" T% z& M& [' E
, N4 H! P* e- _% ]& D5 Z+ ]9 V 2．需要正确评估防火墙的失效状态 # T$ s- b6 i/ p! s
$ C% J1 G) a2 T. F! U" A" X 评价防火墙性能如何及能否起到安全防护作用，不仅要看它工作是否正常，' Z7 n8 x8 f9 t! f9 B8 Q4 x n& Z
能否阻挡或捕捉到恶意攻击和非法访问的蛛丝马纪，而且要看到一旦防火墙被攻
$ _; z* |# _/ z: ?9 o破，它的状态如何? 按级别来分，它应有这样四种状态：a.未受伤害能够继续正
1 [0 N- b% p, c* A& u常工作；b.关闭并重新启动，同时恢复到正常工作状态；c.关闭并禁止所有的数5 d% r+ I0 U) f- P
据通行；d.关闭并允许所有的数据通行。
5 w' Y! C1 k: k! L" s9 p: R4 |* A8 A7 }
前两种状态比较理想，而第四种最不安全。但是许多防火墙由于没有条件进
% X5 [. i; L' @5 }: c行失效状态测试和验证，无法确定其失效状态等级，因此网络必然存在安全隐6 p; M4 l8 E8 k6 U; w: ~6 Y
患。3.防火墙必须进行动态维护 ) E# q( c' p9 y1 x3 k1 d
: \* m' \; u; w: Y* E5 W# I* F2 x 防火墙安装和投入使用后，并非万事大吉。要想充分发挥它的安全防护作+ V1 c, y. F7 ~. a+ q; y& H2 Y
用，必须对它进行跟踪和维护，要与商家保持密切的联系，时刻注视商家的动' D( P2 f4 T$ I5 W6 p: Y" i- j
态。因为商家一旦发现其产品存在安全漏洞，就会尽快发布补救(Patch) 产品，: U" x7 {9 ?! `
此时应尽快确认真伪(防止特洛伊木马等病毒)，并对防火墙软件进行更新。
6 P, T! {& g5 R e* l
" v* L' g2 W' P- t6 Q 4.目前很难对防火墙进行测试验证 D3 N+ ]+ {, Q$ o8 C
$ o$ x8 k- O! J& r9 s 防火墙能否起到防护作用，最根本、最有效的证明方法是对其进行测试，甚
4 {( u8 B7 T! |8 j至站在“黑客”的角度采用各种手段对防火墙进行攻击。然而具体执行时难度较
& j1 E5 G9 X& S' g2 ?/ W- o1 x) r大： # _7 G# d, O; g- O. V# N
" X- H/ T$ r: B. o( H, k( C a．防火墙性能测试目前还是一种很新的技术，尚无正式出版刊物，可用的8 A5 Z- F! ?% R, }4 W
工具和软件更是寥寥无几。据了解目前只有美国ISS公司提供有防火墙性能测试8 @' W: e, R1 B; F, `3 I O
的工具软件。
% j8 t5 G C& G2 n |" f$ B6 r3 V+ q1 q! H6 D) U# Z
b．防火墙测试技术尚不先进，与防火墙设计并非完全吻合，使得测试工作3 p; G8 e8 E4 f, a3 S) q
难以达到既定的效果。
. ?6 q7 b2 x! I' {5 H; x- c% |. W6 r# C7 n1 [+ s' I! U6 N$ R2 v
c.选择“谁”进行公正的测试也是一个问题。 0 g$ B4 i; m+ S3 q. h0 K, z
0 e4 j, B' h! \! k0 [' \8 ^& K
可见，防火墙的性能测试决不是一件简单的事情，但这种测试又相当必要，- r& O2 ~9 j y) v, D
进而提出这样一个问题：不进行测试，何以证明防火墙安全？ 2 k6 s' i( \) v# k: A9 H3 g
0 r4 a' c0 \; K2 H* [/ p- Z$ u 5．非法攻击防火墙的基本“招数” 9 M9 b3 x3 @( b' x2 X5 { o
% `5 G! K, d" Z2 B; A; \' g a．通常情况下，有效的攻击都是从相关的子网进行的。因为这些网址得到
4 _. }" O3 t3 `$ @了防火墙的信赖，虽说成功与否尚取决于机遇等其他因素，但对攻击者而言很值
+ W3 G7 O7 [/ l1 w5 {; Z, U0 e2 o8 u得一试。下面我们以数据包过滤防火墙为例，简要描述可能的攻击过程。
+ q* v1 W6 J y. I- a
- U( x. t; K' }* p) d& a/ ]7 w/ Y( ] 这种类型的防火墙以IP地址作为鉴别数据包是否允许其通过的条件，而这恰: k x& C1 A8 d/ q! A
恰是实施攻击的突破口。许多防火墙软件无法识别数据包到底来自哪个网络接
; w0 J% e0 r3 L- h5 G& ?口，因此攻击者无需表明进攻数据包的真正来源，只需伪装IP地址，取得目标的1 t/ t1 z/ w" l1 @; t
信任，使其认为来自网络内部即可。IP地址欺骗攻击正是基于这类防火墙对IP地
. L. q! |; J6 T; D& Y; ]址缺乏识别和验证的机制。
* H- T2 _7 P% t% d. f" ?
, |2 z v- o3 ?7 q, k. m: X 通常主机A与主机B的TCP连接(中间有或无防火墙) 是通过主机A向主机B提出
- d6 @) ^0 b8 Q) C# [! p; j请求建立起来的， 而其间A和B的确认仅仅根据由主机A产生并经主机B验证的初
* P6 N( x! o+ _# F3 X始序列号ISN。 % i( x g/ @8 P8 ?% i
0 b; R1 ~5 A: ^( a 具体分三个步骤：
" m3 ?, V6 j! y; Y' t
+ r. A$ W i2 u' q( z 1．主机A产生它的ISN，传送给主机B，请求建立连接；
% y% g N/ t" Q# ~% w* @4 F8 x( M
2．B接收到来自A的带有SYN标志的ISN后，将自己本身的ISN连同应答信息# k; c* y8 a$ I5 Z8 g
ACK一同返回给A； ( i4 ^3 a3 s f! T1 X0 G9 @- V+ q J
; Q4 `& |& i8 ]9 x7 `( w
3． A再将B传送来的ISN及应答信息ACK返回给B。 : r n" V4 L: u& e
& `! r+ `. T+ T$ D& a# o
至此，正常情况，主机A与B的TCP连接就建立起来了。 6 m o4 J) d. T' i- J
( o# n# e% p; x0 u
IP地址欺骗攻击的第一步是切断可信赖主机。 8 L, y$ a% K. g7 y
5 E. k) Z$ ]% ?, _; y 这样可以使用TCP淹没攻击(TCPSynFloodAttack) ，使得信赖主机处于"自顾- n7 ?& z3 V# x; h6 _2 Y( `
不暇"忙碌状态，相当于被切断，这时目标主机会认为信赖主机出现了故障， 只
# n7 U, ?$ Z" T9 ]. b# |9 ?能发出无法建立连接的RST包而无暇顾及其他。
- T( V; |9 p4 _5 d5 c r8 g) B/ h! ~0 R# a9 n
攻击者最关心的是猜测目标主机的ISN。为此，可以利用SMTP的端口(25)，; e: b$ y9 e7 f1 {: i
通常它是开放的，邮件能够通过这个端口，与目标主机打开(Open) 一个TCP连' G, J8 \8 y: ^; u- b
接，因而得到它的ISN。在此有效期间，重复这一过程若干次，以便能够猜测和4 Q8 @- X. U# _4 \
确定ISN的产生和变化规律，这样就可以使用被切断的可信赖主机的IP地址向目
4 W& e1 F1 {! }% ^4 U标主机发出连接请求。请求发出后，目标主机会认为它是TCP连接的请求者，从
% }6 N# l a- [ f Z' l3 n而给信赖主机发送响应(包括SYN) ，而信赖主机目前仍忙于处理Flood淹没攻击
8 W" }" b: U, X' {- n4 l9 a产生的"合法"请求，因此目标主机不能得到来自于信赖主机的响应。
2 j5 k! I" a7 o- W2 ? `
! \9 c9 R6 |/ F/ Q3 [ 现在攻击者发出回答响应，并连同预测的目标主机的ISN一同发给目标主
& {. U2 H3 W% f2 r- F9 e机。 + N/ _* h( o' [. c9 m& Q" S
* {" L7 k- D' @) d# C0 j1 n 随着不断地纠正预测的ISN， 攻击者最终会与目标主机建立一个会晤。通过
5 T/ i" S( l, G3 Q) R! f- Q" }2 |这种方式，攻击者以合法用户的身份登录到目标主机而不需进一步的确认。如果& Z$ `( `) u# M1 _/ ~: [
反复试验使得目标主机能够接收对网络的ROOT登录，那么就可以完全控制整个网
' s4 h" X' d' a. V7 ?2 b4 q$ }络。
0 U) v- i8 {: I) \+ S8 q) W+ C D2 }8 N
归纳起来，防火墙安全防护面临威胁的几个主要原因有：SOCK的错误配置；
/ ]% j' H/ u& f, s不适当的安全政策； 强力攻击；允许匿名的FTP协议；允许TFTP协议；允许
: m% u4 `7 V" T5 ~! C1 dRlogin命令；允许X－Windows或OpenWindows；端口映射；可加载的NFS协议；允
% x8 f# }# ^3 p3 H R许Win95/NT文件共享；Open端口。
" V! l2 X2 F; G3 U- |
7 z" B: M4 P/ B" \ b．破坏防火墙的另一种方式是攻击与干扰相结合。也就是在攻击期间使防, M5 A: w7 H. v2 c; |
火墙始终处于繁忙的状态。防火墙过分的繁忙有时会导致它忘记履行安全防护的# a4 }' J3 V2 e9 Z
职能，处于失效状态。
! z( q" Q+ w+ b; f" n
6 k5 [& a( M+ V. O; y C．需要特别注意的是，防火墙也可能被内部攻击。因为安装了防火墙后，
! I1 f w% j; U; [0 D, A; B随意访问被严格禁止了， 这样内部人员无法在闲暇的时间通过Telnet浏览邮件
M% ]6 k- J4 [" e* j& d* H3 M或使用FTP向外发 送信息，个别人会对防火墙不满进而可能攻击它、破坏它，期% ^6 ]1 B& g0 ^
望回到从前的状态。这里，攻击的目标常常是防火墙或防火墙运行的操作系统，
- H" a7 q8 H% T1 q6 K$ K: c1 B4 Z因此不仅涉及网络安全，还涉及主机安全问题。 ( t, P8 H' D7 q/ `7 I
# n8 M7 m. W" R) X 以上分析表明，防火墙的安全防护性能依赖的因素很多。防火墙并非万能，
, X$ S8 w3 [7 m它最多只能防护经过其本身的非法访问和攻击，而对不经防火墙的访问和攻击则; [: a$ ^9 s/ K7 ?2 B
无能为力。从技术来讲，绕过防火墙进入网络并非不可能。 ( W# l# A' l' n& L6 g
+ `3 Q4 ?. G/ L C 目前大多数防火墙都是基于路由器的数据包分组过滤类型，防护能力差，存% i5 `8 V0 E- b0 m
在各种网络外部或网络内部攻击防火墙的技术手段。
& u; E3 s4 q8 Q3 |6 H0 W- R# S* s1 r4 T7 L& L, t8 Y. }
三.防火墙的基本类型
- o$ e, F0 t/ G; I" d. @% @, c# d6 v( L
实现防火墙的技术包括四大类：网络级防火墙（也叫包过滤型防火墙）、应. h& |& b2 N: C4 q6 ]7 P9 B4 K9 N
用级网关、电路级网关和规则检查防火墙。
w, {6 o6 ]2 P7 U% E, n
3 B3 L; E6 Y1 v 1.网络级防火墙
, I- F% {+ u8 L1 r" h/ F* F/ G- k! D P5 j6 g! `' b$ |5 G, E% e! Q: J/ u
一般是基于源地址和目的地址、应用或协议以及每个IP包的端口来作出通过( f7 O. }- g) Q* S1 D- `0 b
与否的判断。一个路由器便是一个“传统”的网络级防火墙，大多数的路由器都8 Q, s: ^- ^/ W; \
能通过检查这些信息来决定是否将所收到的包转发，但它不能判断出一个IP包来
& |( c8 J( }7 z0 ^自何方，去向何处。
% b6 `1 Y6 _! c5 z
% U% Q9 \! j* n7 f9 c3 U6 s: \ 先进的网络级防火墙可以判断这一点，它可以提供内部信息以说明所通过的
6 m, f s& j2 X$ }5 }连接状态和一些数据流的内容，把判断的信息同规则表进行比较，在规则表中定
: G/ q4 o5 w0 h d( D2 P义了各种规则来表明是否同意或拒绝包的通过。包过滤防火墙检查每一条规则直
$ ]/ R1 ~) h* R3 k至发现包中的信息与某规则相符。如果没有一条规则能符合，防火墙就会使用默2 z/ [3 v2 s: _
认规则，一般情况下，默认规则就是要求防火墙丢弃该包。其次，通过定义基于
3 P0 ^2 p: ] U8 H: m; }TCP或UDP数据包的端口号，防火墙能够判断是否允许建立特定的连接，如
6 n; D3 v9 B- ]5 @& yTelnet、FTP连接。 ) i$ F/ J$ W- K0 l& Y5 p- r8 @
& X6 y- O2 g/ u. G; g
下面是某一网络级防火墙的访问控制规则：
5 C" G/ v! n2 p, A4 I0 x M( d; N/ H; Y! X0 V, S1 Z" y. B+ c
(1)允许网络123.1.0使用FTP(21口)访问主机150.0.0.1； 2 K; s/ W8 ?0 H" }! }( z, G
, v% I/ H& W! r/ {3 ]
(2) 允许IP地址为202.103.1.18和202.103.1.14的用户Telnet(23口)到主
, d# A* U8 k( s0 U2 g0 J" E$ t机150.0.
: @7 i$ j+ [6 b3 h! Y9 g6 s. }
0 F# e6 L h. G7 r 0.2上； ( |% b! I$ v9 r' ~: c& u
_' O4 \* U+ d; J% n
(3)允许任何地址的E-mail(25口)进入主机150.0.0.3；
% ] r3 e$ ~* l& Y$ |& ~$ m+ u" ?
(4)允许任何WWW数据（80口）通过； ) b9 {" X' B2 f+ S, y
6 n/ q5 v) A- m# w2 W+ ?
(5)不允许其他数据包进入。
: J. u% j/ g F" v# A- h' G' v% |
3 U& S7 Y: t# ^0 [- F; v K 网络级防火墙简洁、速度快、费用低，并且对用户透明，但是对网络的保护9 @! b$ q5 W0 V; Z$ e! O8 p
很有限，因为它只检查地址和端口，对网络更高协议层的信息无理解能力。
8 Z5 l' u2 B- p- N& K) G$ D; A& k9 d) R4 [: Z( f) J( i( [) S
2.应用级网关
9 H0 b& {0 w# {+ r1 G; E x" E( O. O3 g! Z
应用级网关能够检查进出的数据包，通过网关复制传递数据，防止在受信任3 T. v2 X3 ]8 l- b
服务器和客户机与不受信任的主机间直接建立联系。应用级网关能够理解应用层* @6 [! ^* {; V* H" b. f- [( T
上的协议，能够做复杂一些的访问控制，并做精细的注册和稽核。但每一种协议0 X: V% A, o; Y# `/ V4 L3 l8 T. W/ M z
需要相应的代理软件，使用时工作量大，效率不如网络级防火墙。 9 j7 g! Y) s$ I) _5 [- C
9 c% t/ Z0 ^3 P. Z3 X
常用的应用级防火墙已有了相应的代理服务器， 例如： HTTP、 NNTP、 5 ~+ O8 Y4 Z9 \( U8 v
FTP、Telnet、rlogin、X-windows等，但是，对于新开发的应用，尚没有相应的! S' U% d3 q0 U, n; e7 j7 R, y: f- p
代理服务，它们将通过网络级防火墙和一般的代理服务。 2 \* ~/ I$ ]2 {0 V; m( P: }) h
! [- \3 G* J8 I8 v$ R' s/ |
应用级网关有较好的访问控制，是目前最安全的防火墙技术，但实现困难，
" m6 i, I' }. @: N. @' u) l5 Z而且有的应用级网关缺乏"透明度"。在实际使用中，用户在受信任的网络上通过
z; W+ P W& I( I防火墙访问Internet时， 经常会发现存在延迟并且必须进行多次登录
3 O; o9 c& {* V' {（Login） 才能访问Internet或Intranet。 8 w& G2 I2 s1 k8 V6 R
# ~, E" m/ B/ S4 W 3.电路级网关 4 b0 p$ w8 ^9 v7 [/ E% h
* G$ G8 u; B4 O& @9 }# g) O6 _ 电路级网关用来监控受信任的客户或服务器与不受信任的主机间的TCP握手
( D# S0 J- D2 x: A信息,这样来决定该会话(Session) 是否合法,电路级网关是在OSI模型中会话层' }0 W& Y- Q* Q1 W$ z F9 F' |
上来过滤数据包,这样比包过滤防火墙要高二层。 / L6 o" G* U2 D1 F* O
1 m8 m3 p6 X2 @3 B6 Q2 ^% s 实际上电路级网关并非作为一个独立的产品存在，它与其他的应用级网关结
. z' f* w% _2 M, M9 G+ _合在一 起， 如TrustInformationSystems公司的GauntletInternetFirewall；2 H9 E; S& t6 Y; J8 ?
DEC公司的AltaVistaFirewall等产品。 另外，电路级网关还提供一个重要的安 r3 J, o s& `4 V
全功能：代理服务器（ProxyServer） ，代理服务器是个防火墙，在其上运行一: d9 l& e4 X7 s' R: s( P: R
个叫做"地址转移"的进程，来将所有你公司内部的IP地址映射到一个"安全"的IP' p6 C! k! X' g9 M( i4 ~4 ^5 a2 i
地址，这个地址是由防火墙使用的。但是，作为电路级网关也存在着一些缺陷，
: n! \; @" ?( M+ B2 G& c( A# l因为该网关是在会话层工作的，它就无法检查应用层级的数据包。 / U+ h3 a1 E! J$ g, V! k
, t0 Y& s1 ]. o* t! r+ a, T$ T 4.规则检查防火墙
3 O% N( r9 B* [8 i0 U4 z4 Q6 w* A( C% }
该防火墙结合了包过滤防火墙、电路级网关和应用级网关的特点。它同包过5 l( F. D/ f* o( I
滤防火墙一样， 规则检查防火墙能够在OSI网络层上通过IP地址和端口号，过滤
' x, W C% _+ y1 X/ h! O进出的数据包。它也象电路级网关一样，能够检查SYN和ACK标记和序列数字是否# O% A' ~& U+ [9 y$ [/ ~( [( e
逻辑有序。当然它也象应用级网关一样， 可以在OSI应用层上检查数据包的内3 X$ [0 N+ O2 q: F: C0 {
容，查看这些内容是否能符合公司网络的安全规则。
/ C3 W- ?8 J, U) u9 q1 Y$ Y) N+ X6 n5 n0 W# F
规则检查防火墙虽然集成前三者的特点，但是不同于一个应用级网关的是，
) N& j& p6 A) }; i, i' K它并不打破客户机/服务机模式来分析应用层的数据， 它允许受信任的客户机和# A+ x) P) `% E4 \. \
不受信任的主机建立直接连接。规则检查防火墙不依靠与应用层有关的代理，而$ ^* h% v* x1 V2 a
是依靠某种算法来识别进出的应用层数据，这些算法通过已知合法数据包的模式
1 p* I; j2 P- R来比较进出数据包，这样从理论上就能比应用级代理在过滤数据包上更有效。
5 v, x- H, @+ |0 R3 {: ?; N. z% w5 \$ ~
目前在市场上流行的防火墙大多属于规则检查防火墙，因为该防火墙对于用" j8 R$ z: a' ?& W6 U- ]4 L- U
户透明，在OSI最高层上加密数据，不需要你去修改客户端的程序，也不需对每
) y1 j, @, \% S4 Q# ]个需要在防火墙上运行的服务额外增加一个代理。如现在最流行的防火墙之一
& K% U0 T! V: V7 y6 d2 r4 kOnTechnology软件公司生产的OnGuard和CheckPoint软件公司生产的FireWall-19 P$ e a0 t/ [. {6 M
防火墙都是一种规则 检查防火墙。
: q% ?. g o( N1 D$ [# f2 m( | V" Z' ?1 M9 ^
从趋势上看，未来的防火墙将位于网络级防火墙和应用级防火墙之间，也就
. w* Q! l, ]$ ?$ C- w7 c1 ^& b是说，网络级防火墙将变得更加能够识别通过的信息，而应用级防火墙在目前的
3 \% w' S9 ^, B* `' G9 H功能上则向“ 透明”、“低级”方面发展。最终防火墙将成为一个快速注册稽
3 v- G+ U6 Z3 p/ c. l3 F. G' s查系统，可保护数据以加密方式通过，使所有组织可以放心地在节点间传送数' g* v* X0 n1 G2 A3 I% D
据。 |
|
狗仔卡
发表于 2008-12-10 15:47:23
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
显身卡