1. 引言
防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术,越来越多地应用于专用网络和公用网络的互连环境之中,尤以Internet网络为最甚。Internet的迅猛发展,使得防火墙产品在短短的几年内异军突起,很快形成了一个产业:1995年,刚刚面市的防火墙技术产品市场量还不到1万套;到1996年底,就猛增到10万套;据国际权威商业调查机构的预测,防火墙市场将以173%的复合增长率增长,今年底将达到150万套,市场营业额将从1995年的1.6亿美元上升到今年的9.8亿美元。
为了更加全面地了解Internet防火墙及其发展过程,特别是第四代防火墙的技术特色,我们很有必要从产品和技术角度对防火墙技术的发展演变做一个周详的考察。
2. Internet防火墙技术简介
防火墙原来是指建筑物大厦用来防止火灾蔓延的隔断墙。从理论上讲,Internet防火墙服务也属于类似的用来防止外界侵入的。他能够防止Internet上的各种危险(病毒、资源盗用等)传播到您的网络内部。而事实上,防火墙并不像现实生活中的防火墙,他有点像古代守护城池用的护城河,服务于以下多个目的:
1)限定人们从一个特定的控制点进入;
2)限定人们从一个特定的点离开;
3)防止侵入者接近您的其他防御设施;
4)有效地阻止破坏者对您的电脑系统进行破坏。
在现实生活中,Internet防火墙常常被安装在受保护的内部网络上并接入Internet。
从上图不难看出,任何来自Internet的传输信息或您发出的信息都必须经过防火墙。这样,防火墙就起到了保护诸如电子邮件、文档传输、远程登录、在特定的系统间进行信息交换等安全的作用。从逻辑上讲,防火墙是起分隔、限制、分析的作用,这一点同样能够从图1中体会出来。那么,防火墙究竟是什么呢?实际上,防火墙是加强Internet(内部网)之间安全防御的一个或一组系统,他由一组硬件设备(包括路由器、服务器)及相应软件构成。3. 防火墙技术和产品发展的回顾
防火墙是网络安全策略的有机组成部分,他通过控制和监测网络之间的信息交换和访问行为来实现对网络安全的有效管理。从总体上看,防火墙应该具备以下五大基本功能:
●过滤进、出网络的数据;
●管理进、出网络的访问行为;
●封堵某些禁止行为;
●记录通过防火墙的信息内容和活动;
●对网络攻击进行检测和告警。
为实现以上功能,在防火墙产品的研发中,人们广泛地应用了网络拓扑、电脑操作系统、路由、加密、访问控制、安全审计等成熟或先进的技术和手段。纵观防火墙近年来的发展,能够将其划分为如下四个阶段(即四代)。
3.1 基于路由器的防火墙
由于多数路由器本身就包含有分组过滤功能,故网络访问控制可能通过路控制来实现,从而使具备分组过滤功能的路由器成为第一代防火墙产品。第一代防火墙产品的特点是:
1)利用路由器本身对分组的解析,以访问控制表(Access List)方式实现对分组的过滤;
2)过滤判断的依据能够是:地址、端口号、IP旗标及其他网络特征;
3)只有分组过滤的功能,且防火墙和路由器是一体的。这样,对安全需要低的网络能够采用路由器附带防火墙功能的方法,而对安全性需要高的网络则需要单独利用一台路由器作为防火墙。
第一代防火墙产品的不足之处十分明显,具体表现为:
●路由协议十分灵活,本身具备安全漏洞,外部网络要探寻内部网络十分容易。例如,在使用FTP协议时,外部服务器容易从20号端口上和内部网相连,即使在路由器上配置了过滤规则,内部网络的20号端口仍能够由外部探寻。
●路由器上分组过滤规则的配置和配置存在安全隐患。对路由器中过滤规则的配置和配置十分复杂,他涉及到规则的逻辑一致性。作用端口的有效性和规则集的正确性,一般的网络系统管理员难于胜任,加之一旦出现新的协议,管理员就得加上更多的规则去限制,这往往会带来很多错误。
●路由器防火墙的最大隐患是:攻击者能够“假冒”地址。由于信息在网络上是以明文方式传送的,黑客(Hacker)能够在网络上伪造假的路由信息欺骗防火墙。
●路由器防火墙的本质缺陷是:由于路由器的主要功能是为网络访问提供动态的、灵活的路由,而防火墙则要对访问行为实施静态的、固定的控制,这是一对难以调和的矛盾,防火墙的规则配置会大大降低路由器的性能。
能够说基于路由器的防火墙技术只是网络安全的一种应急措施,用这种权宜之计去对付黑客的攻击是十分危险的。
3.2 用户化的防火墙工具套
为了弥补路由器防火墙的不足,很多大型用户纷纷需要以专门研发的防火墙系统来保护自己的网络,从而推动了用户防火墙工具套的出现。
作为第二代防火墙产品,用户化的防火墙工具套具备以下特征:
1)将过滤功能从路由器中单独出来,并加上审计和告警功能;
2)针对用户需求,提供模块化的软件包;
3)软件能够通过网络发送,用户能够自己动手构造防火墙;
4)和第一代防火墙相比,安全性提高了,价格也降低了。
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
