略論網(wǎng)絡(luò)安全與防火墻技術(shù)

摘要：本文介紹網(wǎng)絡(luò)安全產(chǎn)品的特點(diǎn)，論述了防火墻技術(shù)的定義和發(fā)展歷程，討論了防火墻產(chǎn)品的類型，文章最后做出了總結(jié)。

關(guān)鍵詞：網(wǎng)絡(luò)安全；防火墻；技術(shù)特征

中圖分類號(hào)：TP393.08 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1007-9599 (2012) 09-0000-02

隨著21世紀(jì)的到來，全球的計(jì)算機(jī)用戶都可以通過互聯(lián)網(wǎng)進(jìn)行聯(lián)系。因此，對(duì)信息安全來講，內(nèi)在含義也發(fā)生了巨大的變換。網(wǎng)絡(luò)安全從普通性防衛(wèi)成為了非常普通的現(xiàn)象，還有，網(wǎng)絡(luò)安全管理也變得無處不在。

一、網(wǎng)絡(luò)安全的產(chǎn)品特點(diǎn)

從實(shí)踐上來講，國(guó)家有關(guān)的法律、法規(guī)、行政命令、政策、技術(shù)與市場(chǎng)的發(fā)展平臺(tái)構(gòu)成了國(guó)家信息安全體系。在建立信息防衛(wèi)體系時(shí)，中國(guó)應(yīng)注重開發(fā)中國(guó)特色的安全產(chǎn)品。如果中國(guó)想真正處理好網(wǎng)絡(luò)安全事物，最有效的途徑就是通過大力發(fā)展本國(guó)的安全產(chǎn)業(yè)，這樣可以從整體上提高網(wǎng)絡(luò)安全技術(shù)。

就網(wǎng)絡(luò)安全來講，其產(chǎn)品有以下若干特點(diǎn)：首先，網(wǎng)絡(luò)安全的起因在于多樣化的安全策略以及技術(shù)。假如都運(yùn)用一樣的技術(shù)和策略，這也就會(huì)造成極大的不安全。其次，在網(wǎng)絡(luò)安全領(lǐng)域，安全技術(shù)與相關(guān)機(jī)制都一直都在發(fā)生改變。再者，在社會(huì)生活的諸多各方面，網(wǎng)絡(luò)都延伸進(jìn)來，也有著越來越多的手段可以連接到網(wǎng)絡(luò)。所以，網(wǎng)絡(luò)安全技術(shù)作為一個(gè)系統(tǒng)工程是十分復(fù)雜的。隨著新技術(shù)的不斷發(fā)展，安全產(chǎn)業(yè)也將會(huì)不斷發(fā)生變化。國(guó)家發(fā)展過程中，必須面臨信息安全問題，這個(gè)問題十分重要。國(guó)家要站在系統(tǒng)論的戰(zhàn)略高度，系統(tǒng)地考慮這個(gè)事情，應(yīng)該從技術(shù)、產(chǎn)業(yè)以及政策等若干方面著手和發(fā)展。

二、防火墻技術(shù)

防火墻作為整個(gè)安全體系中最基本的保護(hù)環(huán)節(jié)，其重要性自然不言而喻。網(wǎng)絡(luò)防火墻技術(shù)可以強(qiáng)化和控制網(wǎng)絡(luò)間訪問，這樣做的目的在于阻止本網(wǎng)絡(luò)之外的用戶通過非正常手段達(dá)到本網(wǎng)絡(luò)的內(nèi)部，對(duì)內(nèi)部資源（網(wǎng)絡(luò)資源）進(jìn)行各種活動(dòng)。在內(nèi)部網(wǎng)絡(luò)操作環(huán)境中，網(wǎng)絡(luò)防火墻技術(shù)還可以確保部分特殊的網(wǎng)絡(luò)互聯(lián)設(shè)備的安全性能。遵照既定的安全方式和策略，網(wǎng)絡(luò)防火墻技術(shù)檢測(cè)包括連接方式在內(nèi)的傳輸數(shù)據(jù)，特別是在網(wǎng)絡(luò)之間。這樣就可以對(duì)網(wǎng)絡(luò)之間通信是否可行，對(duì)網(wǎng)絡(luò)在運(yùn)行時(shí)的狀態(tài)進(jìn)程檢測(cè)。

眼下，防火墻產(chǎn)品主要有以下若干種：堡壘主機(jī)、包過濾路由器、應(yīng)用層網(wǎng)關(guān)(代理服務(wù)器)以及電路層網(wǎng)關(guān)、屏蔽主機(jī)防火墻、雙宿主機(jī)等。眼下，盡管防火墻可以保證網(wǎng)絡(luò)不再受到黑客的襲擊，且效果比較明顯。但是，也存在著很多缺點(diǎn)。例如，對(duì)防火墻之外的以其它攻擊途徑卻無能為力，也防止不了來自內(nèi)部以及用戶們?cè)斐傻奈：?，也未能完全阻止病毒文件，還有，也不能抗擊數(shù)據(jù)驅(qū)動(dòng)型之類的攻擊。

1986年，美國(guó)一家電腦公司首次把商用防火墻系統(tǒng)應(yīng)用在互聯(lián)網(wǎng)上，并且給防火墻下了定義。防火墻技術(shù)發(fā)展得非?？?。十多家公司已經(jīng)在這方面做出了很多努力，并且開發(fā)出了很多類型的防火墻產(chǎn)品系列，但是它們的功能各不相同。

在五層網(wǎng)絡(luò)構(gòu)成的安全體系中，防火墻處于最底層，該技術(shù)屬于網(wǎng)絡(luò)層安全技術(shù)的范圍。在本層，企業(yè)在安全系統(tǒng)方面必須處理好以下問題：是不是全部IP地址都可以訪問內(nèi)部網(wǎng)絡(luò)系統(tǒng)? 假如“是”，就表明，在內(nèi)部網(wǎng)的網(wǎng)絡(luò)層，企業(yè)還沒有采取對(duì)于安全的措施進(jìn)行防范。

防火墻技術(shù)受到人們重視的時(shí)間最早，也是內(nèi)部和外部公共網(wǎng)絡(luò)溝通和交流的首要保護(hù)傘。從理論層面講，盡管處在最底層，僅僅處理網(wǎng)絡(luò)間安全傳輸以及認(rèn)證，然而，從總體上來講，網(wǎng)絡(luò)安全技術(shù)和網(wǎng)絡(luò)應(yīng)用一直都在發(fā)生變化。如今，該技術(shù)正在慢慢步出網(wǎng)絡(luò)層之外，開始進(jìn)入別的安全層次。

三、防火墻產(chǎn)品的類型

防火墻產(chǎn)品的發(fā)展趨勢(shì)是用戶認(rèn)證、防止病毒、數(shù)據(jù)安全、與黑客侵入等。根據(jù)不同的技術(shù)，可把防火墻大體上分成四類：包過濾、網(wǎng)絡(luò)地址轉(zhuǎn)換、代理以及監(jiān)測(cè)型。

（一）包過濾型

防火墻的初級(jí)產(chǎn)品屬于包過濾的類型，技術(shù)來源是分包傳輸。在互聯(lián)網(wǎng)中，以“包”為單位傳輸?shù)臄?shù)據(jù)又被劃分成固定大小的數(shù)據(jù)包，各數(shù)據(jù)包內(nèi)，都包括了很多特殊類型的信息。通過讀取地址信息，防火墻對(duì)“數(shù)據(jù)包”的來源進(jìn)行可信任判斷，并采取相應(yīng)策略。

（二）網(wǎng)絡(luò)地址轉(zhuǎn)化——NAT

經(jīng)過轉(zhuǎn)換后，IP地址屬于外部的、已經(jīng)注冊(cè)的，這個(gè)就是IP地址標(biāo)準(zhǔn)網(wǎng)絡(luò)，也稱為地址轉(zhuǎn)換。在內(nèi)部的網(wǎng)絡(luò)中，經(jīng)由安全網(wǎng)卡，可以對(duì)外部的網(wǎng)絡(luò)進(jìn)行訪問，這樣新的映射記錄就產(chǎn)生了。系統(tǒng)則把源地址以及端口體現(xiàn)為非真實(shí)的地址和端I=l，通過非安全網(wǎng)卡，這個(gè)非真實(shí)的地址以及端口，可以連接到外部網(wǎng)絡(luò)上去。如此一來，內(nèi)部網(wǎng)絡(luò)的真實(shí)地址就被隱藏起來了。通過外部網(wǎng)絡(luò)，借助于非安全網(wǎng)卡，想要訪問內(nèi)部網(wǎng)絡(luò)時(shí)，對(duì)內(nèi)部的網(wǎng)絡(luò)連接狀況一無所知而，只能借助于IP地址以及端口進(jìn)行訪問。

（三）代理型

代理型防火墻，也叫代理服務(wù)器，就安全性而言，此類防火墻比包過濾型防火墻要高得多，而且代理型防火墻開始在應(yīng)用層有所作為。該類代理型服務(wù)器在客戶機(jī)和服務(wù)器之間。數(shù)據(jù)交流在二者之間被完全阻止。從客戶機(jī)的情況來分析，代理服務(wù)器可以被視為電腦的服務(wù)器；但是，從服務(wù)器的角度來分析，代理服務(wù)器卻是真實(shí)的客戶機(jī)?？蛻魴C(jī)要用到來自服務(wù)器上的數(shù)據(jù)時(shí)，第一步要做的就是請(qǐng)求把數(shù)據(jù)發(fā)給代理服務(wù)器。按照此請(qǐng)求，代理服務(wù)器再從服務(wù)器申請(qǐng)想要的數(shù)據(jù)，之后，數(shù)據(jù)被經(jīng)由代理服務(wù)器傳輸給客戶機(jī)。因?yàn)橹苯拥臄?shù)據(jù)通道可以在外部系統(tǒng)與內(nèi)部服務(wù)器相互連接和溝通，來自外部的惡意侵害對(duì)內(nèi)部的網(wǎng)絡(luò)系統(tǒng)也就不會(huì)有什么危害。

（四）監(jiān)測(cè)型

新一代的防火墻產(chǎn)品是監(jiān)測(cè)型防火墻。實(shí)際上，此類防火墻的技術(shù)已大大超出了對(duì)這個(gè)概念的界定。此類防火墻實(shí)施主動(dòng)、實(shí)時(shí)監(jiān)測(cè)各層數(shù)據(jù)。在分析這些數(shù)據(jù)的前提下，此類防火墻可以高效地判斷和找出各層的非法侵入形象。

同與此同時(shí)，通常情況下，監(jiān)測(cè)性防火墻的產(chǎn)品都開發(fā)了分布式探測(cè)器。在林林總總的應(yīng)用服務(wù)器中和其他網(wǎng)絡(luò)節(jié)點(diǎn)中就有此類防火墻，這些防火墻可以監(jiān)測(cè)網(wǎng)絡(luò)外部對(duì)網(wǎng)絡(luò)內(nèi)部飛攻擊，同時(shí)，在很大程度上方法內(nèi)部范圍內(nèi)的惡意破壞。此類防火墻已經(jīng)超越了防火墻原先的定義，比前兩代產(chǎn)品的安全性也更高。

四、結(jié)束語

眼下，在防火墻產(chǎn)品領(lǐng)域，主流趨勢(shì)是監(jiān)測(cè)型防火墻，但是絕大部分代理服務(wù)器(應(yīng)用網(wǎng)關(guān))對(duì)包過濾技術(shù)進(jìn)行了合成。顯而易見的是，二者的混用比單獨(dú)使用某一類型的防火墻產(chǎn)品的優(yōu)勢(shì)更大。因此，這種技術(shù)在未來發(fā)展前景也必將更加廣闊。

參考文獻(xiàn)：

[1]陸樹芬.網(wǎng)絡(luò)安全中防火墻的作用[J].中國(guó)電子商務(wù)，2009，11

[2]黃金波，殷誠.計(jì)算機(jī)網(wǎng)絡(luò)基礎(chǔ)與應(yīng)用[M].北京:北京交通大學(xué)出版社，2007

[3]凌傳繁，楊波.網(wǎng)絡(luò)技術(shù)[M].北京:高等教育出版社，2007

[4]吳功宜.計(jì)算機(jī)網(wǎng)絡(luò).清華大學(xué)出版社，2007