防火墻技術(shù)及其實現(xiàn)方法

任　莉

摘 要： 隨著計算機技術(shù)的發(fā)展，信息安全已日益引起人們的高度重視，防火墻技術(shù)在信息安全領(lǐng)域中扮演著十分重要的角色。本文介紹了防火墻的分類及特征，著重闡述了防火墻的關(guān)鍵技術(shù)及其實現(xiàn)方法。

關(guān)鍵詞： 防火墻 種類 技術(shù) 實現(xiàn)方法

一、防火墻概述

防火墻，英文名為“Fire Wall”，是目前一種最重要的網(wǎng)絡(luò)防護設(shè)備。從專業(yè)角度講，防火墻是位于兩個（或多個）網(wǎng)絡(luò)間，實施網(wǎng)絡(luò)之間訪問控制的一組組件集合。對于普通用戶來說，所謂“防火墻”，指的就是一種被放置在自己的計算機與外界網(wǎng)絡(luò)之間的防御系統(tǒng)，它對從網(wǎng)絡(luò)發(fā)往計算機的所有數(shù)據(jù)都進行判斷處理，并決定能否把這些數(shù)據(jù)交給計算機，一旦發(fā)現(xiàn)有害數(shù)據(jù)，防火墻就會攔截下來，實現(xiàn)對計算機的保護功能。

二、防火墻的種類

世界上沒有一種事物是唯一的，防火墻也一樣，為了更有效率地對付網(wǎng)絡(luò)上各種不同攻擊手段，防火墻也派分出幾種防御架構(gòu)。根據(jù)物理特性，防火墻分為兩大類，硬件防火墻和軟件防火墻。

1.軟件防火墻

軟件防火墻是一種安裝在負(fù)責(zé)內(nèi)外網(wǎng)絡(luò)轉(zhuǎn)換的網(wǎng)關(guān)服務(wù)器或者獨立的個人計算機上的特殊程序。它是以邏輯形式存在的，防火墻程序跟隨系統(tǒng)啟動，通過運行在Ring0級別的特殊驅(qū)動模塊把防御機制插入系統(tǒng)關(guān)于網(wǎng)絡(luò)的處理部分和網(wǎng)絡(luò)接口設(shè)備驅(qū)動之間，形成一種邏輯上的防御體系。

在沒有軟件防火墻之前，系統(tǒng)和網(wǎng)絡(luò)接口設(shè)備之間的通道是直接的，網(wǎng)絡(luò)接口設(shè)備通過網(wǎng)絡(luò)驅(qū)動程序接口把網(wǎng)絡(luò)上傳來的各種報文都忠實地交給系統(tǒng)處理，盡管NDIS接收到的仍然的是原封不動的數(shù)據(jù)報文，但是在提交到系統(tǒng)的通道上多了一層防御機制，所有數(shù)據(jù)報文都要經(jīng)過這層機制根據(jù)一定的規(guī)則判斷處理，只有它認(rèn)為安全的數(shù)據(jù)才能到達系統(tǒng)，其他數(shù)據(jù)則被丟棄。

軟件防火墻工作于系統(tǒng)接口與NDIS之間，用于檢查過濾由NDIS發(fā)送過來的數(shù)據(jù)，在無需改動硬件的前提下便能實現(xiàn)一定強度的安全保障，但是由于軟件防火墻自身屬于運行于系統(tǒng)上的程序，需要占用一部分CPU資源維持工作，因此軟件防火墻會使整個系統(tǒng)工作效率和數(shù)據(jù)吞吐速度有所下降。

2.硬件防火墻

硬件防火墻是一種以物理形式存在的專用設(shè)備，通常架設(shè)于兩個網(wǎng)絡(luò)的駁接處，直接從網(wǎng)絡(luò)設(shè)備上檢查過濾有害的數(shù)據(jù)報文，位于防火墻設(shè)備后端的網(wǎng)絡(luò)或者服務(wù)器接收到的是經(jīng)過防火墻處理的相對安全的數(shù)據(jù)，不必另外分出CPU資源去進行基于軟件架構(gòu)的NDIS數(shù)據(jù)檢測，可以大大提高工作效率。

硬件防火墻一般是通過網(wǎng)線連接于外部網(wǎng)絡(luò)接口與內(nèi)部服務(wù)器或企業(yè)網(wǎng)絡(luò)之間的設(shè)備，其又另外派分出兩種結(jié)構(gòu)，一種是普通硬件級別防火墻，它擁有標(biāo)準(zhǔn)計算機的硬件平臺和一些功能經(jīng)過簡化處理的UNIX系列操作系統(tǒng)和防火墻軟件，這種防火墻措施相當(dāng)于專門拿出一臺計算機安裝軟件防火墻，因此有可能會存在漏洞和不穩(wěn)定因素，安全性并不能做到最好；另一種是所謂的“芯片”級硬件防火墻，它采用專門設(shè)計的硬件平臺，在上面搭建的軟件也是專門開發(fā)的，并非流行的操作系統(tǒng)，因而可以達到較好的安全性能保障。

總之，防火墻分類的方法很多，除了從形式上把它分為軟件防火墻和硬件防火墻以外，還可以從技術(shù)上分為“包過濾型”、“應(yīng)用代理型”和“狀態(tài)監(jiān)視”三類；從結(jié)構(gòu)上可分為單一主機防火墻、路由集成式防火墻和分布式防火墻三種；按工作位置可分為邊界防火墻、個人防火墻和混合防火墻；按防火墻性能可分為百兆級防火墻和千兆級防火墻兩類……雖然看似種類繁多，但這只是業(yè)界分類方法不同，因此這里主要介紹的是技術(shù)方面的分類，即包過濾、應(yīng)用代理和狀態(tài)監(jiān)視防火墻技術(shù)。

三、防火墻技術(shù)及其實現(xiàn)方法

傳統(tǒng)意義上的防火墻技術(shù)分為三大類，即包過濾、應(yīng)用代理和狀態(tài)監(jiān)視，無論防火墻的實現(xiàn)過程多么復(fù)雜，歸根結(jié)底都是在這三種技術(shù)的基礎(chǔ)上進行功能擴展。

1.包過濾技術(shù)

包過濾是最早使用的一種防火墻技術(shù)，它的第一代模型是“靜態(tài)包過濾”。使用包過濾技術(shù)的防火墻通常工作在OSI模型中的網(wǎng)絡(luò)層上，后來發(fā)展更新的“動態(tài)包過濾”增加了傳輸層。簡而言之，包過濾技術(shù)工作的地方就是各種基于TCP/IP協(xié)議的數(shù)據(jù)報文進出的通道，它把這兩層作為數(shù)據(jù)監(jiān)控的對象，對每個數(shù)據(jù)包的頭部、協(xié)議、地址、端口、類型等信息進行分析，并與預(yù)先設(shè)定好的防火墻過濾規(guī)則進行核對，一旦發(fā)現(xiàn)某個包的某個或多個部分與過濾規(guī)則匹配并且條件為“阻止”的時候，這個包就會被丟棄。設(shè)置適當(dāng)?shù)倪^濾規(guī)則可以讓防火墻工作得更安全有效，但是這種技術(shù)只能根據(jù)預(yù)設(shè)的過濾規(guī)則進行判斷，一旦出現(xiàn)一個沒有在設(shè)計人員意料之中的有害數(shù)據(jù)包請求，整個防火墻的保護就無效。

為了解決這種問題，人們對包過濾技術(shù)進行了改進，這種改進后的技術(shù)稱為“動態(tài)包過濾”，與它的前輩相比，動態(tài)包過濾功能在保持著原有靜態(tài)包過濾技術(shù)和過濾規(guī)則的基礎(chǔ)上，會對已經(jīng)成功與計算機連接的報文傳輸進行跟蹤，并且判斷該連接發(fā)送的數(shù)據(jù)包是否會對系統(tǒng)構(gòu)成威脅，一旦觸發(fā)其判斷機制，防火墻就會自動產(chǎn)生新的臨時過濾規(guī)則或者把已經(jīng)存在的過濾規(guī)則進行修改，從而阻止該有害數(shù)據(jù)的繼續(xù)傳輸。但是動態(tài)包過濾需要消耗額外的資源和時間來提取數(shù)據(jù)包內(nèi)容進行判斷處理，與靜態(tài)包過濾相比運行效率較低。

2.應(yīng)用代理技術(shù)

由于包過濾技術(shù)無法提供完善的數(shù)據(jù)保護措施，而且一些特殊的報文攻擊僅僅使用過濾的方法并不能消除危害，因此人們需要一種更全面的防火墻保護技術(shù)，在這樣的需求背景下，采用“應(yīng)用代理”技術(shù)的防火墻誕生了。我們都知道，一個完整的代理設(shè)備包含一個服務(wù)端和客戶端，服務(wù)端接收來自用戶的請求，調(diào)用自身的客戶端模擬一個基于用戶請求的連接到目標(biāo)服務(wù)器，再把目標(biāo)服務(wù)器返回的數(shù)據(jù)轉(zhuǎn)發(fā)給用戶，完成一次代理工作過程。那么，如果在一臺代理設(shè)備的服務(wù)端和客戶端之間連接一個過濾措施呢？這樣的思想便造就了“應(yīng)用代理”防火墻，這種防火墻實際上就是一臺小型的帶有數(shù)據(jù)檢測過濾功能的透明代理服務(wù)器，但是它并不是單純地在一個代理設(shè)備中嵌入包過濾技術(shù)，而是一種被稱為“應(yīng)用協(xié)議分析”的新技術(shù)。

“應(yīng)用協(xié)議分析”技術(shù)工作在OSI模型的應(yīng)用層上，在這一層里能接觸到的所有數(shù)據(jù)都是最終形式，也就是說，防火墻“看到”的數(shù)據(jù)和我們看到的是一樣的，而不是一個個帶有地址端口協(xié)議等原始內(nèi)容的數(shù)據(jù)包，因而它可以實現(xiàn)更高級的數(shù)據(jù)檢測過程。整個代理防火墻把自身映射為一條透明線路，在用戶方面和外界線路看來，它們之間的連接并沒有任何阻礙，但是這個連接的數(shù)據(jù)收發(fā)實際上是經(jīng)過了代理防火墻轉(zhuǎn)向的，當(dāng)外界數(shù)據(jù)進入代理防火墻的客戶端時，“應(yīng)用協(xié)議分析”模塊便根據(jù)應(yīng)用層協(xié)議處理這個數(shù)據(jù)，通過預(yù)置的處理規(guī)則查詢這個數(shù)據(jù)是否帶有危害。由于這一層面對的已經(jīng)不再是組合有限的報文協(xié)議，甚至可以識別類似的數(shù)據(jù)內(nèi)容，因此防火墻不僅能根據(jù)數(shù)據(jù)層提供的信息判斷數(shù)據(jù)，更能像管理員分析服務(wù)器日志那樣“看”內(nèi)容辨危害。

由于工作在應(yīng)用層，防火墻還可以實現(xiàn)雙向限制，在過濾外部網(wǎng)絡(luò)有害數(shù)據(jù)的同時也監(jiān)控著內(nèi)部網(wǎng)絡(luò)的信息，管理員可以配置防火墻實現(xiàn)一個身份驗證和連接時限的功能，進一步防止內(nèi)部網(wǎng)絡(luò)信息泄漏的隱患。最后，由于代理防火墻采取是代理機制進行工作，內(nèi)外部網(wǎng)絡(luò)之間的通信都需先經(jīng)過代理服務(wù)器審核，通過后再由代理服務(wù)器連接，根本沒有給分隔在內(nèi)外部網(wǎng)絡(luò)兩邊的計算機直接會話的機會，可以避免入侵者使用“數(shù)據(jù)驅(qū)動”攻擊方式滲透內(nèi)部網(wǎng)絡(luò)，可以說應(yīng)用代理技術(shù)是比包過濾技術(shù)更完善的防火墻技術(shù)。

3.狀態(tài)監(jiān)視技術(shù)

這是繼“包過濾”技術(shù)和“應(yīng)用代理”技術(shù)后發(fā)展的防火墻技術(shù)，它是CheckPoint技術(shù)公司在基于“包過濾”原理的“動態(tài)包過濾”技術(shù)發(fā)展而來的。這種防火墻技術(shù)通過一種被稱為“狀態(tài)監(jiān)視”的模塊，在不影響網(wǎng)絡(luò)安全正常工作的前提下采用抽取相關(guān)數(shù)據(jù)的方法對網(wǎng)絡(luò)通信的各個層次實行監(jiān)測，并根據(jù)各種過濾規(guī)則作出安全決策。

“狀態(tài)監(jiān)視”技術(shù)在保留了對每個數(shù)據(jù)包的頭部、協(xié)議、地址、端口、類型等信息進行分析的基礎(chǔ)上，進一步發(fā)展了“會話過濾”功能，在每個連接建立時，防火墻會為這個連接構(gòu)造一個會話狀態(tài)，里面包含了這個連接數(shù)據(jù)包的所有信息，以后這個連接都基于這個狀態(tài)信息進行。這種檢測的高明之處是能對每個數(shù)據(jù)包的內(nèi)容進行監(jiān)視，一旦建立了一個會話狀態(tài)，則此后的數(shù)據(jù)傳輸都要以此會話狀態(tài)作為依據(jù)，例如一個連接的數(shù)據(jù)包源端口是8000，那么在以后的數(shù)據(jù)傳輸過程里防火墻都會審核這個包的源端口還是不是8000，否則這個數(shù)據(jù)包就被攔截，而且會話狀態(tài)的保留是有時間限制的，在超時的范圍內(nèi)如果沒有再進行數(shù)據(jù)傳輸，這個會話狀態(tài)就會被丟棄。狀態(tài)監(jiān)視可以對包內(nèi)容進行分析，從而擺脫了傳統(tǒng)防火墻僅局限于幾個包頭部信息的檢測弱點，而且這種防火墻不必開放過多端口，進一步杜絕了可能因為開放端口過多而帶來的安全隱患。

由于狀態(tài)監(jiān)視技術(shù)相當(dāng)于結(jié)合了包過濾技術(shù)和應(yīng)用代理技術(shù)，因此是最先進的，但是由于實現(xiàn)技術(shù)復(fù)雜，在實際應(yīng)用中還不能做到真正的完全有效的數(shù)據(jù)安全檢測，而且在一般的計算機硬件系統(tǒng)上很難設(shè)計出基于此技術(shù)的完善防御措施。

四、對防火墻技術(shù)的展望

防火墻作為維護網(wǎng)絡(luò)安全的關(guān)鍵設(shè)備，在目前采用的網(wǎng)絡(luò)安全的防范體系中，占據(jù)著舉足輕重的位置。伴隨計算機技術(shù)的發(fā)展和網(wǎng)絡(luò)應(yīng)用的普及，越來越多的企業(yè)與個體都遭遇到不同程度的安全難題，因此市場對防火墻的設(shè)備需求和技術(shù)要求都在不斷提升，多功能、高安全性的防火墻可以讓用戶網(wǎng)絡(luò)更加無憂，但前提是要確保網(wǎng)絡(luò)的運行效率。一款完善的防火墻產(chǎn)品，應(yīng)該包含有訪問控制、網(wǎng)絡(luò)地址轉(zhuǎn)換、代理、認(rèn)證、日志審計等基礎(chǔ)功能，并擁有自己特色的安全相關(guān)技術(shù)，如規(guī)則簡化方案等。