淺析防火墻體系結(jié)構(gòu)和設(shè)計

　　摘要：網(wǎng)絡(luò)安全已成為人日益關(guān)心的問題。網(wǎng)絡(luò)防火墻技術(shù)作為內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的第一道安全屏障，其中要作用是在網(wǎng)絡(luò)入口外檢查網(wǎng)絡(luò)通信，更具用戶設(shè)定的安全規(guī)則，在保護(hù)內(nèi)部網(wǎng)絡(luò)安全的前提下，保障內(nèi)外網(wǎng)絡(luò)通信，提供內(nèi)部網(wǎng)絡(luò)的安全。
　　關(guān)鍵詞：內(nèi)部網(wǎng)絡(luò)；外部網(wǎng)絡(luò)；安全
　　
　　一、防火墻功能概述
　　防火墻是一個保護(hù)裝置，它是一個或一組網(wǎng)絡(luò)設(shè)備裝置。通常是指運行特別編寫或更改過操作系統(tǒng)的計算機(jī)，它的目的就是保護(hù)內(nèi)部網(wǎng)的訪問安全。防火墻可以安裝在兩個組織結(jié)構(gòu)的內(nèi)部網(wǎng)與外部的Internet之間，同時在多個組織結(jié)構(gòu)的內(nèi)部網(wǎng)和Internet之間也會起到同樣的保護(hù)作用。它主要的保護(hù)就是加強(qiáng)外部Internet對內(nèi)部網(wǎng)的訪問控制，它主要任務(wù)是允許特別的連接通過，也可以阻止其他不允許的連接。防火墻只是網(wǎng)絡(luò)安全策略的一部分，它通過少數(shù)幾個良好的監(jiān)控位置來進(jìn)行內(nèi)部網(wǎng)與Internet的連接。防火墻的核心功能主要是包過濾。其中入侵檢測，控管規(guī)則過濾，實時監(jiān)控及電子郵件過濾這些功能都是基于封包過濾技術(shù)的。防火墻的主體功能歸納為以下幾點：根據(jù)應(yīng)用程序訪問規(guī)則可對應(yīng)用程序連網(wǎng)動作進(jìn)行過濾；對應(yīng)用程序訪問規(guī)則具有自學(xué)習(xí)功能；可實時監(jiān)控，監(jiān)視網(wǎng)絡(luò)活動；具有日志，以記錄網(wǎng)絡(luò)訪問動作的詳細(xì)信息；被攔阻時能通過聲音或閃爍圖標(biāo)給用戶報警提示。
　　防火墻僅靠這些核心技術(shù)功能是遠(yuǎn)遠(yuǎn)不夠的。核心技術(shù)是基礎(chǔ)，必須在這個基礎(chǔ)之上加入輔助功能才能流暢的工作。而實現(xiàn)防火墻的核心功能是封包過濾。在邏輯上，防火墻是一個分離器，一個限制器，也是一個分析器，有效地監(jiān)控了內(nèi)部網(wǎng)和Internet之間的任何活動，保證了內(nèi)部網(wǎng)絡(luò)的安全（見圖1）。
　　二、防火墻主要技術(shù)特點
　　應(yīng)用層采用Winsock 2 SPI進(jìn)行網(wǎng)絡(luò)數(shù)據(jù)控制、過濾；核心層采用NDIS HOOK進(jìn)行控制，尤其是在Windows 2000 下，此技術(shù)屬微軟未公開技術(shù)。
　　此防火墻還采用兩種封包過濾技術(shù)：一是應(yīng)用層封包過濾，采用Winsock 2 SPI；二是核心層封包過濾，采用NDIS_HOOK。Winsock 2 SPI 工作在API之下、Driver之上，屬于應(yīng)用層的范疇。利用這項技術(shù)可以截獲所有的基于Socket的網(wǎng)絡(luò)通信。采用Winsock 2 SPI的優(yōu)點是非常明顯的：其工作在應(yīng)用層以DLL的形式存在，編程、測試方便；跨Windows平臺，可以直接在Windows98/ME/NT/2000/XP 上通用，Windows95只需安裝上Winsock 2 for 95，也可以正常運行；效率高，由于工作在應(yīng)用層，CPU占用率低；封包還沒有按照低層協(xié)議進(jìn)行切片，所以比較完整。而防火墻正是在TCP/IP協(xié)議在windows的基礎(chǔ)上才得以實現(xiàn)。在構(gòu)筑防火墻保護(hù)網(wǎng)絡(luò)之前，需要制定一套完整有效的安全策略，這種安全策略一般分為兩層：網(wǎng)絡(luò)服務(wù)訪問策略和防火墻設(shè)計策略。
　　三、網(wǎng)絡(luò)服務(wù)訪問策略
　　網(wǎng)絡(luò)服務(wù)訪問策略是一種高層次的、具體到事件的策略，主要用于定義在網(wǎng)絡(luò)中允許的或禁止的網(wǎng)絡(luò)服務(wù)，還包括對撥號訪問以及SLIP/PPP連接的限制。這是因為對一種網(wǎng)絡(luò)服務(wù)的限制可能會促使用戶使用其他的方法，所以其他的途徑也應(yīng)受到保護(hù)。網(wǎng)絡(luò)服務(wù)訪問策略不但應(yīng)該是一個站點安全策略的延伸，而且對于機(jī)構(gòu)內(nèi)部資源的保護(hù)也起全局的作用。這種策略可能包括許多事情，從文件切碎條例到病毒掃描程序，從遠(yuǎn)程訪問到移動介質(zhì)的管理。
　　四、防火墻的設(shè)計策略
　　防火墻的設(shè)計策略是具體地針對防火墻，負(fù)責(zé)制定相應(yīng)的規(guī)章制度來實施網(wǎng)絡(luò)服務(wù)訪問策略。在制定這種策略之前，必須了解這種防火墻的性能以及缺陷、TCP/IP自身所具有的易攻擊性和危險。防火墻一般執(zhí)行以下兩種基本策略中的一種：除非明確不允許，否則允許某種服務(wù)；除非明確允許，否則將禁止某項服務(wù)。
　　執(zhí)行第一種策略的防火墻在默認(rèn)情況下允許所有的服務(wù)，除非管理員對某種服務(wù)明確表示禁止。執(zhí)行第二種策略的防火墻在默認(rèn)情況下禁止所有的服務(wù)，除非管理員對某種服務(wù)明確表示允許。防火墻可以實施一種寬松的策略（第一種），也可以實施一種限制性策略（第二種），這就是制定防火墻策略的入手點。一個站點可以把一些必須的而又不能通過防火墻的服務(wù)放在屏蔽子網(wǎng)上，和其他的系統(tǒng)隔離。
　　五、設(shè)計時需要考慮的問題
　　為了確定防火墻設(shè)計策略，進(jìn)而構(gòu)建實現(xiàn)策略的防火墻，應(yīng)從最安全的防火墻設(shè)計策略開始，即除非明確允許，否則禁止某種服務(wù)。策略應(yīng)該解決以下的問題：需要什么服務(wù)；在哪里使用這些服務(wù)；是否應(yīng)當(dāng)支持撥號入網(wǎng)和加密等服務(wù)；提供這些服務(wù)的風(fēng)險是什么；若提供這種保護(hù)，可能會導(dǎo)致網(wǎng)絡(luò)使用上的不方便等負(fù)面影響，這些影響會有多大，是否值付出這種代價；和可用性相比，站點的安全性放在什么位置。
　　六、防火墻的不足
　　防火墻不能防止內(nèi)部的攻擊，因為它只提供了對網(wǎng)絡(luò)邊緣的防衛(wèi)。內(nèi)部人員可能濫用被給予的訪問權(quán)，從而導(dǎo)致事故。防火墻也不能防止像社會工程攻擊——一種很常用的入侵手段，就是靠欺騙獲得一些可以破壞安全的信息。另外，一些用來傳送數(shù)據(jù)的電話線很有可能被用來入侵內(nèi)部網(wǎng)絡(luò)。雖然現(xiàn)在有些防火墻可以檢查病毒和特洛伊木馬，但這些防火墻只能阻擋已知的惡意程序，這就可能讓新的病毒和木馬溜進(jìn)來。而且，這些惡意程序不僅僅來自網(wǎng)絡(luò)，也可能來自軟盤。
　　參考文獻(xiàn)：
　　1、朱燕輝.WINDOWS防火墻與網(wǎng)絡(luò)封包截獲技術(shù)[M].電子工業(yè)