虽然监测型防火墙安全性上已超越了包过滤型和代理服务器型防火墙,但由于监测型防火墙技术的实现成本较高,也不易管理,所以在实用中的防火墙产品仍然以第二代代理型产品为主,但在某些方面也已经开始使用监测型防火墙.基于对系统成本与安全技术成本的综合考虑,用户可以选择性地使用某些监测型技术.这样既能够保证网络系统的安全性需求,同时也能有效地控制安全系统的总拥有成本.
实际上,作为当前防火墙产品的主流趋势,大多数代理服务器(也称应用网关)也集成了包过滤技术,这两种技术的混合应用显然比单独使用具有更大的优势.由于这种产品是基于应用的,应用网关能提供对协议的过滤.例如,它可以过滤掉FTP连接中的PUT命令,而且通过代理应用,应用网关能够有效地避免内部网络的信息外泄.正是由于应用网关的这些特点,使得应用过程中的矛盾主要集中在对多种网络应用协议的有效支持和对网络整体性能的影响上 。
4、 建设Firewall的原则
分析安全和服务需求
以下问题有助于分析安全和服务需求：
√ 计划使用哪些Internet服务(如http ， ftp ， gopher) ， 从何处使用Internet服务(本地网 ， 拨号 ， 远程办公室) 。
√ 增加的需要 ， 如加密或拔号接入支持 。
√ 提供以上服务和访问的风险 。
√ 提供网络安全控制的同时 ， 对系统应用服务牺牲的代价 。
策略的灵活性
Internet相关的网络安全策略总的来说 ， 应该保持一定的灵活性 ， 主要有以下原因：
√ Internet自身发展非常快 ， 机构可能需要不断使用Internet提供的新服务开展业务 。新的协议和服务大量涌现带来新的安全问题 ， 安全策略必须能反应和处理这些问题 。
√ 机构面临的风险并非是静态的 ， 机构职能转变、网络设置改变都有可能改变风险 。
远程用户认证策略
√ 远程用户不能通过放置于Firewall后的未经认证的Modem访问系统 。
√ PPP/SLIP连接必须通过Firewall认证 。
√ 对远程用户进行认证方法培训 。
拨入/拨出策略
√ 拨入/拨出能力必须在设计Firewall时进行考虑和集成 。
√ 外部拨入用户必须通过Firewall的认证 。
Information Server策略
√ 公共信息服务器的安全必须集成到Firewall中 。
√ 必须对公共信息服务器进行严格的安全控制 ， 否则将成为系统安全的缺口 。
√ 为Information server定义折中的安全策略允许提供公共服务 。
√ 对公共信息服务和商业信息(如email)讲行安全策略区分 。
Firewall系统的基本特征
√ Firewall必须支持．“禁止任何服务除非被明确允许”的设计策略 。
√ Firewall必须支持实际的安全政策 ， 而非改变安全策略适应Firewall 。
√ Firewall必须是灵活的 ， 以适应新的服务和机构智能改变带来的安全策略的改变 。
√ Firewall必须支持增强的认证机制 。
√ Firewall应该使用过滤技术以允许或拒绝对特定主机的访问 。
√ IP过滤描述语言应该灵活 ， 界面友好 ， 并支持源IP和目的IP ， 协议类型 ， 源和目的TCP/UDP口 ， 以及到达和离开界面 。
√ Firewall应该为FTP、TELNET提供代理服务 ， 以提供增强和集中的认证管理机制 。如果提供其它的服务(如NNTP ， http等)也必须通过代理服务器 。
√ Firewall应该支持集中的SMTP处理 ， 减少内部网和远程系统的直接连接 。
√ Firewall应该支持对公共Information server的访问 ， 支持对公共Information server的保护 ， 并且将Information server同内部网隔离 。
√ Firewall可支持对拨号接入的集中管理和过滤 。
√ Firewall应支持对交通、可疑活动的日志记录 。
√ 如果Firewall需要通用的操作系统 ， 必须保证使用的操作系统安装了所有己知的安全漏洞Patch 。
√ Firewall的设计应该是可理解和管理的 。
√ Firewall依赖的操作系统应及时地升级以弥补安全漏洞 。
5、选择防火墙的要点
(1) 安全性：即是否通过了严格的入侵测试 。
(2) 抗攻击能力：对典型攻击的防御能力
(3) 性能：是否能够提供足够的网络吞吐能力
(4) 自我完备能力：自身的安全性 ， Fail-close
(5) 可管理能力：是否支持SNMP网管
(6) VPN支持
(7) 认证和加密特性
推荐阅读
- 河源邮政编码是多少 请问河源的邮政编码是多少
- 两个直角三角形全等的判定定理 使两个直角三角形全等条件
- 赣k 赣F是江西哪里的汽车牌照？
- 个税计算器2020 车税怎么算的2020公式
- 五行缺土怎么办
- 板栗的吃法大全图片 板栗的吃法
- 好奇号火星探测器照片 好奇号火星探测器
- 花小楼百科 小楼百科
- 春天的语录朋友圈 春天美好的语录
- 最性感的彩妆品牌NARS有哪些产品值得买？