1計算機(jī)安全中防火墻技術(shù)的主要類型

防火墻在我國古時候指的是建筑與建筑之間防止火災(zāi)蔓延的墻，而計算機(jī)網(wǎng)絡(luò)中的防火墻則是指為了確保安全而設(shè)置的一系列部件組合，起屏障作用。防火墻所要保護(hù)的計算機(jī)網(wǎng)絡(luò)是屬于我們自己的網(wǎng)絡(luò)安全，它所要防范的一般都是來自于外網(wǎng)可能發(fā)生的威脅。目前，較為常用的防火墻主要有以下幾種類型：

1.1包過濾型防火墻

這種類型的防火墻是比較早期的產(chǎn)品，它的關(guān)鍵技術(shù)是網(wǎng)絡(luò)分包傳輸。我們都知道，在網(wǎng)絡(luò)中互相傳輸?shù)臄?shù)據(jù)都是以“包”作為單位的，各類數(shù)據(jù)被分割成為了不同的數(shù)據(jù)包，這些數(shù)據(jù)大小不同，并且每個數(shù)據(jù)包中都含有一些特定的信息，如數(shù)據(jù)的源地址、目標(biāo)地址、目標(biāo)端口等。防火墻通過讀取數(shù)據(jù)包中相應(yīng)的地址信息后，判斷其是否來自于可信任的站點，如果是可信任的數(shù)據(jù)會通過防火墻進(jìn)行傳輸，若是不可信任的數(shù)據(jù)則會被防火墻拒之門外。包過濾型防火墻主要采用的是包過濾技術(shù)，這種技術(shù)具有如下優(yōu)點：成本低、簡單方便、實用性強(qiáng)、在簡單的應(yīng)用環(huán)境中能夠有效地確保計算機(jī)網(wǎng)絡(luò)安全。該技術(shù)的缺點是只能按照數(shù)據(jù)包的來源、目標(biāo)以及端口等信息來判斷其是否屬于安全數(shù)據(jù)，對于一些惡意侵入的程序無法準(zhǔn)確識別，如Java程序、郵件中的病毒等。一些經(jīng)驗豐富的網(wǎng)絡(luò)黑客經(jīng)常會利用該類型防火墻的這些特點偽造IP地址來騙過防火墻的過濾，然后進(jìn)行用戶計算機(jī)進(jìn)行破壞。

1.2代理型防火墻

這類防火墻又被稱之為代理服務(wù)器，其安全性要遠(yuǎn)遠(yuǎn)高于包過濾型防火墻產(chǎn)品，并且這一類型的防火墻現(xiàn)已開始向計算機(jī)網(wǎng)絡(luò)應(yīng)用層發(fā)展。代理服務(wù)器實質(zhì)上就是一個數(shù)據(jù)信息中轉(zhuǎn)站，它介于用戶機(jī)遇服務(wù)器之間，并對兩者之間的數(shù)據(jù)信息交流進(jìn)行阻擋。站在用戶的角度看，代理服務(wù)器實質(zhì)上就相當(dāng)于真正的服務(wù)器，如果是站在服務(wù)器的角度上看，代理服務(wù)器則是一套用戶機(jī)。由于所有的數(shù)據(jù)信息都需要通過代理服務(wù)器進(jìn)行中轉(zhuǎn)，從而使得外部信息很難直接侵入到用戶機(jī)中，一些惡意攻擊也都被代理服務(wù)器過濾，有效地保證了用戶端計算機(jī)的安全。該防火墻的優(yōu)點是具有較高的安全性，并且能夠針對應(yīng)用層進(jìn)行掃描和偵測。

1.3監(jiān)測型防火墻

原本的防火墻都是針對惡意侵入進(jìn)行防范，而監(jiān)測型防火墻卻可以對數(shù)據(jù)信息進(jìn)行自動、實時監(jiān)測，從而極大程度地提高了計算機(jī)網(wǎng)絡(luò)的安全性。這類產(chǎn)品的優(yōu)點是顯而易見，但缺點是成本較高，不便于管理。因此，目前仍舊未大范圍推廣使用。若是從成本和安全這兩方面進(jìn)行綜合考慮的話，可以選擇性地應(yīng)用某些監(jiān)測型技術(shù)，這樣一來既能夠有效地提高計算機(jī)網(wǎng)絡(luò)的安全性，而且成本又不會太高。

1.4網(wǎng)址轉(zhuǎn)化

網(wǎng)絡(luò)地址轉(zhuǎn)換是一種用于把IP地址轉(zhuǎn)換成臨時的、外部的、注冊的D地址標(biāo)準(zhǔn)。它允許具有私有IP地址的內(nèi)部網(wǎng)絡(luò)訪問因特網(wǎng)，它還意味著用戶不許要為其網(wǎng)絡(luò)中每一臺機(jī)器取得注冊的IP地址，在內(nèi)部網(wǎng)絡(luò)通過安全網(wǎng)卡訪問外部網(wǎng)絡(luò)時，將產(chǎn)生一個映射記錄。系統(tǒng)將外出的源地址和源端口映射為一個偽裝的地址和端口，讓這個偽裝的地址和端口通過非安全網(wǎng)卡與外部網(wǎng)絡(luò)連接，這樣對外就隱藏了真實的內(nèi)部網(wǎng)絡(luò)地址。OLM防火墻根據(jù)預(yù)先定義好的映射規(guī)則來判斷這個訪問是否安全。當(dāng)符合規(guī)則時，防火墻認(rèn)為訪問是安全的，可以接受訪問請求，也可以將連接請求映射到不同的內(nèi)部計算機(jī)中。當(dāng)不符合規(guī)則時，防火墻認(rèn)為該訪問是不安全的，不能被接受，防火墻將屏蔽外部的連接請求。網(wǎng)絡(luò)地址轉(zhuǎn)換的過程對于用戶來說是透明的，不需要用戶進(jìn)行設(shè)置，用戶只要進(jìn)行常規(guī)操作即可。

2防火墻技術(shù)在計算機(jī)安全中的具體應(yīng)用

2.1安全服務(wù)配置

安全服務(wù)隔離區(qū)((DMZ)把服務(wù)器機(jī)群和系統(tǒng)管理機(jī)群單獨劃分出來，設(shè)置為安全服務(wù)隔離區(qū)，它既是內(nèi)部網(wǎng)絡(luò)的一部分，又是一個獨立的局域網(wǎng)，單獨劃分出來是為了更好的保護(hù)服務(wù)器上數(shù)據(jù)和系統(tǒng)管理的正常運行。建議通過NAT(網(wǎng)絡(luò)地址轉(zhuǎn)換)技術(shù)將受保護(hù)的內(nèi)部網(wǎng)絡(luò)的全部主機(jī)地址映射成防火墻上設(shè)置的少數(shù)幾個有效公網(wǎng)IP地址。這不僅可以對外屏蔽內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)和IP地址,保護(hù)內(nèi)部網(wǎng)絡(luò)的安全，也可以大大節(jié)省公網(wǎng)IP地址的使用，節(jié)省了投資成本。如果單位原來已有邊界路由器，則可充分利用原有設(shè)備，利用邊界路由器的包過濾功能,添加相應(yīng)的防火墻配置，這樣原來的路由器也就具有防火墻功能了。然后再利用防火墻與需要保護(hù)的內(nèi)部網(wǎng)絡(luò)連接。對于DMZ區(qū)中的公用服務(wù)器,則可直接與邊界路由器相連，不用經(jīng)過防火墻。它可只經(jīng)過路由器的簡單防護(hù)。在此拓?fù)浣Y(jié)構(gòu)中，邊界路由器與防火墻就一起組成了兩道安全防線，并且在這兩者之間可以設(shè)置一個DMZ區(qū)，用來放置那些允許外部用戶訪問的公用服務(wù)器設(shè)施。

2.2配置訪問策略

訪問策略是防火墻的核心安全策略，所以要經(jīng)過詳盡的信息統(tǒng)計才可以進(jìn)行設(shè)置。在過程中我們需要了解本單位對內(nèi)對外的應(yīng)用以及所對應(yīng)的源地址、目的地址、TCP或UDP的端口，并根據(jù)不同應(yīng)用的執(zhí)行頻繁程度對策略在規(guī)則表中的位置進(jìn)行排序，然后才能實施配置。原因是防火墻進(jìn)行規(guī)則查找時是順序執(zhí)行的，如果將常用的規(guī)則放在首位就可以提高防火墻的工作效率。

2.3日志監(jiān)控

日志監(jiān)控是十分有效的安全管理手段。往往許多管理員認(rèn)為只要可以做日志的信息就去采集。如:所有的告警或所有與策略匹配或不匹配的流量等等，這樣的做法看似日志信息十分完善，但每天進(jìn)出防火墻的數(shù)據(jù)有上百萬甚至更多，所以,只有采集到最關(guān)鍵的日志才是真正有用的日志。一般而言，系統(tǒng)的告警信息是有必要記錄的，對于流量信息進(jìn)行選擇，把影響網(wǎng)絡(luò)安全有關(guān)的流量信息保存下來。

3結(jié)論

總而言之，隨著計算機(jī)網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，網(wǎng)絡(luò)安全問題也會始終存在，為了使計算機(jī)的安全得到有效保障，防火墻技術(shù)也必須不斷更新。當(dāng)然計算機(jī)安全僅僅憑借防火墻技術(shù)來保障是遠(yuǎn)遠(yuǎn)不夠的，防火墻只是整個安全防范中的一個重要環(huán)節(jié)。只有從全方面入手，才能真正確保計算機(jī)運行的安全性。