您现在的位置是:首页 > 百科知识 百科知识
防火墙的规则设置中的缺省设置通常为(防火墙设置中,若设置缺省过滤规则)
时间:2024-03-09 10:07:32百科知识 24 人已围观
简介 防火墙防火墙的安全规则:防火墙的规则处理方式Accept:允许数据包或信息通过Reject:拒绝数据包或信息通过,并且通知信息源该信息被禁止Drop:直接将···
防火墙
防火墙的安全规则:
防火墙的规则处理方式
Accept:允许数据包或信息通过
Reject:拒绝数据包或信息通过,并且通知信息源该信息被禁止
Drop:直接将数据包或信息丢弃,并且不通知信息源
防火墙缺省规则:
默认拒绝:指一切未被允许的就是禁止的;其安全规则处理方式一般为Accept;
默认允许:指一切未被禁止的就是允许的;其安全规则的处理方式一般为Rejectak Drop。
防火墙的功能:
防火墙的访问控制内容
服务控制:决定哪些内部或外部的服务可以被访问
方向控制:决定内部或外部的服务请求哪个可以被发起并通过防火墙
用户控制:决定哪些用户可以访问特定服务
行为控制:决定哪些具体的服务内容是否符合安全策略
防火墙的功能:
防火墙设立了单一阻塞点,可以使未授权用户无法进入网络
防火墙提供了一个监控安全事件的地点
防火墙可以提供地址转换及网络管理功能
防火墙可以作为IPSec的平台,可以用来实现虚拟专用网络
防火墙的局限性
防火墙不能防御绕过它的攻击
防火墙不能消除来自内部的威胁
防火墙不能防止病毒感染过和程序和文件进出网络
防火墙的分类
包过滤防火墙
当防火墙在网络层实现信息过滤与控制时,主要针对TCP/IP协议中的IP数据包头部制定规则的匹配条件实施过滤。
IP源地址:IP数据包的发送主机地址
IP目的地址:IP数据包的接收主机地址
协议:IP数据包封装的协议类型,包括TCP、UDP或ICMP包等
当防火墙工作在传输层,则可以处理传输层协议,如TCP或UDP。
源端口:发送TCP或UDP数据包应用程序的绑定端口
目的端口:接收TCP或UDP数据包应用程序的绑定端口
ACK码字:TCP协议的状态标志位,标记IP数据报是第一个还是后续的
对端口运算包括“=”“>”“<”等。如:目的端口=21
应用层防火墙:也称之为代理服务器。
将所有跨越防火墙的网络通信链路分为两段
内外网用户的访问都是通过代理服务器上的“链接”来实现
优点:在应用层对数据进行检查,比较安全
缺点:增加防火墙的负载
现实生产环境中所使用的防火墙一般都是二者合体,即先检查网络数据,通过之后再送到应用层去检查
电路层网关防火墙
防火墙的体系结构
双重宿主主机体系结构
以一台双重宿主主机作为防火墙系统的主体,执行分离外部网络与内部网络的任务。
特点:该计算机至少有两个网络接口,这样的主机可以充当与这些接口相连的网络之间的路由器
它能够从一个网络到另一个网络发送IP数据包,实现双重宿主主机的防火墙体系结构禁止这种发送功能。
IP数据包从一个网络(例如外部网)并不是直接发送到其它网络(例如内部的被保护的网络)。
防火墙内部的系统能与双重宿主主机通信,同时防火墙外部的系统能与双重宿主主机通信,但是这些系统不能直接互相通信,它们之间的IP通信被完全阻止。
屏蔽主机体系结构
由包过滤路由器和堡垒主机构成防火墙。
在这种体系结构中,主要的安全由数据包过滤提供(例如,数据包过滤用于防止人们绕过代理服务器直接相连)。
在屏蔽的路由器上的数据包过滤是按这样一种方法设置的:即堡垒主机是数据包过滤也允许堡垒主机开放可允许的连接(什么是“可允许”将由用户的站点的安全策略决定)到外部世界。
堡垒主机需要拥有高等级的安全:
1)允许其它的内部主机为了某些服务与Internet上的主机连接(即允许那些已经由数据包过滤的服务)。
2)不允许来自内部主机的所有连接(强迫那些主机经由堡垒主机使用代理服务)。
多数情况下,被屏蔽的主机体系结构提供比双重宿主主机体系结构具有更好的安全性和可用性。
堡垒主机(BastionHost):堡垒主机是指可能直接睦对外部用户攻击的主板系统。在防火墙体系结构中,特指那些处于内部网络的边缘,并且暴露于外部网络用户面前的主机系统。一般来说,堡垒主机上提供的服务越少越好,因为每增加一种服务就增加了被攻击的可能性。
屏蔽子网体系结构
采用了两个包过滤路由器和一个堡垒主机,在内外网络之间建立一个被隔离的子网。
这种结构安全性高,但结构复杂,成本也相对较高
(1)周边网络(DMZ非军事区)
用边网络是位于非安全、不可信的外部网络与安全、可信的内部网络之间的一个附加网络。周边网络与外部网络、周边网络与内部网络之间都是通过屏蔽路由器实现逻辑隔离的,因此外部用户必须穿越两道屏蔽路由器才能访问内部网络。
(2)外部路由器
外部路由器的主要作用在于保护周边网络和内部网络,是屏蔽子网体系结构的第一道屏障。在其上设置了对周边网络和内部网络进行访问的过滤规则,该规则主要针对外网用户。例如限制外网用户仅能访问周边网络而不能访问内部网络,或者仅能访问内部网络中的部分主机。
(3)内部路由器
内部路由器用于隔离周边网络和内部网络,是屏蔽子网体系结构的第二道屏障。在其上设置了针对内部用户的访问过滤规划,对内部用户访问周边网络和外部网络进行限制。例如部分内部网络用户只能访问周边网络而不能访问外部网络等。
(4)堡垒主机
在被屏蔽子网结构中,堡垒主机位于周边网络,可以内外部用户提供www、FTP等服务,接受来自外部网络用户的服务资源访问请求。同时堡垒主机也可以向内部网络用户提供DNS 、电子邮件、www代理、FTP代理等多种服务,提供内部网络用户访问外部资源的接口。
屏蔽子网防火墙能够帮助建立一个非防护区,这种类型防火墙利用堡垒主机夹在两个路由器中间是最安全的防火墙系统。
练习:
防火墙作为一种被广泛使用的网络安全防御技术,其自身有一些限制,安不能阻止()。
A. 内部威胁和病毒威胁
B. 外部攻击
C. 外部攻击、外部威胁和病毒威胁
D. 外部攻击和外部威胁
答案:A。
包过滤技术防火墙在过滤数据包时,一般不关心()。
A. 数据包的源地址
B. 数据包的协议类型
C. 数据包的目的地址
D. 数据包的内容
答案:D。检查数据包头信息,但不关心内包内容。
以下不属于防火墙的体系结构的是()。
A. 双重宿主主机体系结构
B. 被屏蔽主机体系结构
C. 堡垒主机
D. 被屏蔽子网体系结构
答案:C。
关于屏蔽子网防火墙,下列说法错误的是()。
A. 屏蔽子网防火墙是几种防火墙类型中最安全的
B. 屏蔽子网防火墙既支持应用级网关也支持电路级网关
C. 内部网对于Internet来说是不可见的
D. 内部用户可以不通过DMZ直接访问Internet
入侵检测系统IDS与入侵防护系统IPS
入侵检测与防护技术
入侵检测系统(IDS),注重的是网络安全状况的监管。
入侵防护系统(IPS),倾向于提供主动防护,注重对入侵行为的控制。
入侵检测P2DR模型
动态安全模型
P2DR模型是在整体的安全策略的控制和指导下,综全应用防护工具的同时,利用检测工具了解和评估系统的安全状态,通过适当的响应将系统调整到“最安全”和“风险最低”的状态。
类型 | 区别 |
基于主机型 | 最早期的入侵检测系统结构,检测的目标主要是主机系统和系统本地用户。 检测原理:根据主机的审计数据和系统的日志发现可疑事件,检测系统可以运行在被检测的主机或单独的主机上。 弱点:易受攻击,入侵者可通过使用某些系统特权或调用比审计本身更低级的操作来逃避审计。不能通过分析主机的审计记录来检测网络攻击(域名欺骗、端口扫描) |
基于网络型 | 一定程度上可以克服基于主机型的弱点。 检测原理:根据网络流量、协议分析、简单网络管理协议信息等数据检测系统。 |
基于主体型 | 检测原理:采用相互独立运行的进程组(称为自治主体)分别负责检测,通过训练这些主体,并观察系统行为,然后将这些主体认为是异常的行为标记出来,并将检测结果传送到检测中心。 |
入侵检测原理
入侵检测系统(IDS)的构成:
信息采集部件,用于采信原始信息的部件。
入侵分析部件,是入侵检测系统的核心部件。
入侵响应部件,是入侵检测系统的功能性部件。
练习:
通过分析主机的审计记录来检测网络攻击的是()。
A.基于主机的入侵检测系统 B.基于网络的入侵检测系统
C.基于主体的入侵检测系统 D.基于应用的入侵检测系统
答案:A。
P2DR模型不包括()。
A.防护 B.检测
C.响应 D.预警
答案:D。
入侵检测系统放置在防火墙内部所带来的好处是()。
A. 减少对防火墙的攻击
B. 降低入侵检测系统的误报率
C. 增加对低层次攻击的检测
D. 增加检测能力和检测范围
答案:B。
相关文章
-
刘东立现在做什么(刘东立现在干什么)
编者按:近日,息县组织开展了市、县“基层治理标兵”评选工作。通过个人自荐、乡镇初审、部门联审、考核评比,一批专兼职网格员脱颖而出。现选发部分优秀网格员事迹,仅供学习借鉴。刘东立,男,中共党员,息县淮河··· -
瓷器著名窑口(五大名窑瓷器特点口诀)
瓷器在中国的重要性,是不言而喻的而在瓷器中最为重要的除了家喻户晓的青花瓷外那就属五 大名窑其实在古代时一些土人还不是待见青花瓷呢说青花瓷,花里胡哨的好俗,还是素雅的好看况且,成熟的青花瓷出现在元代元代··· -
加班工资的计算基数是什么(加班工资的计算基数是多少)
市人社局说,企业安排劳动者加班,应支付加班工资。加班工资的计算基数为劳动者所在岗位的月工资,不包括年终奖、交通补贴、工作餐补贴等,更多信息详见下文↓ -
村游网创始人是谁(村游网董事长)
现代人,最渴望的除了一份富足,已转向灵魂的回归。最牵动人心的莫过于家乡和爱情。对此,村游网早在十年前就有准确定位。一只憨态可掬的燕子,象征着吉祥、爱恋和信任。这是村游网的表情和标志。记忆深处的家有山 ··· -
油葵的最佳种植时间(油葵种子)
油葵就是油用向日葵,油葵的葵花籽可以提取出大量油脂,这种油脂天然健康,含有多种营养成分,是一种高品质的食用油,现在油葵所榨的食用油在市场上很畅销,很多消费者都争相购买,因此种植油葵能获得不错的经济··· -
郑州科技学院的详细地址(郑州科技学院地址在哪个区)
郑州科技学院创建于1988年,2001年实施专科学历教育,2008年升格为普通本科高校。2015年,接受并顺利通过教育部本科教学工作合格评估。2021年,学校被批准为“河南省硕士学位授予重点立项培育建··· -
张丞延图片(张丞延饭拍)
8月14日下午,赵权、徐康俊、张丞延在首尔参加了CUBETV娱乐节目《CUBE通信》的拍摄。金成真/图 版权所有Mydaily禁止转载 -
《有的人》朗诵配乐(有的人配乐朗诵视频)
有的人活着他已经死了;有的人死了他还活着。有的人骑在人民头上:“呵,我多伟大!”有的人俯下身子给人民当牛马。有的人把名字刻入石头,想“不朽”;有的人情愿作野草,等着地下的火烧。有的人他活着别人就不能活···