论文部分内容阅读
摘要：防火墙是目前网络安全领域广泛使用的设备，其主要目的就是限制非法流量，以保护内部子网。从部署位置来看，防火墙往往位于网络出口，是内部网和外部网之间的唯一通道，因此提高防火墙的性能、避免其成为瓶颈，就成为防火墙产品能否成功的一个关键问题。
关键词：计算机 防火墙 Internet 安全 技术特征
1引言
防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，越来越多地应用于专用网络与公用网络的互连环境之中，尤以Internet网络为最甚。Internet的迅猛发展，使得防火墙产品在短短的几年内异军突起，很快形成了一个产业。
防火墙是一种网络技术，最初它被定为一个实施某些安全策略保护一个可信网络，用以防止来自一个不可信的网络（如Internet）的攻击的装置。
防火墙就是一个或多组网络设备，可用来在两个或多个网络间加强访问控制。它的实现有好多种方式，有的实现还是很復杂的，但基本原理却很简单。可以把它想象成一个开关，一个是用来阻止输入，另一个用来允许输入。防火墙可以设置在不同的网络之间（如可信任的企业内部网和不可信的公共网）或网络安全域之间。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全策略控制（允许、拒绝、检测）出入网络的信息流，且本身也具有较强的攻击能力。它是提供信息安全服务、实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，它有效的监控了内部网和Internet之间的任何活动，保证了内部网络的安全。
2防火墙的概述
2.1防火墙的概述
人们常在寓所之间砌起一道砖墙，一旦火灾发生，它能够防止火势蔓延到别的寓所。在网络上，如果一个网络接到了Internet上面，它的用户就可以访问外部世界并与之通信。但同时，外部世界也同样可以访问该网络并与之交互。为安全起见，可以在该网络和Internet之间插入一个中介系统，竖起一道安全屏障。这道屏障的作用是阻断来自外部通过网络对本网络的威胁和入侵，提供扼守本网络的安全和审计的唯一关卡，它的作用与建筑的防火砖墙有类似之处，因此我们把这个屏障就叫做"防火墙"。
防火墙就是一个位于电脑和它所连接的网络之间的软件。该电脑流入流出的所有网络通信均要经过此防火墙。
防火墙是一个或一组系统，它在网络之间执行访问控制策略。实现防火墙的实际方式各不相同，但是在原则上，防火墙可以被认为是这样一对机制：一种机制是拦阻传输流通行，另一种机制是允许传输流通过。一些防火墙偏重拦阻传输流的通行，而另一些防火墙则偏重允许传输流通过。
2.2防火墙的功能
防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标电脑。可以将防火墙配置成许多不同保护级别。
防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标电脑上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。
2.2.1访问控制功能
通过防火墙的包内容设置：包过滤防火墙的过滤规则集由若干条规则组成，它应涵盖对所有出入防火墙的数据包的处理方法，对于没有明确定义的数据包，应该有一个缺省处理方法；过滤规则应易于理解，易于编辑修改；同时应具备一致性检测机制，防止冲突。
IP包过滤的依据主要是根据IP包头部信息如源地址和目的地址进行过滤，如果IP头中的协议字段表明封装协议为ICMP、TCP或UDP，那么再根据ICMP头信息（类型和代码值）、TCP头信息（源端口和目的端口）或UDP头信息（源端口和目的端口）执行过滤，其他的还有MAC地址过滤。
应用层协议过滤要求主要包括FTP过滤、基于RPC的应用服务过滤、基于UDP的应用服务过滤要求以及动态包过滤技术等。
在应用层提供代理支持：指防火墙是否支持应用层代理，如HTTP、FTP、TELNET、SNMP等。
在传输层提供代理支持：指防火墙是否支持传输层代理服务。允许FTP命令防止某些类型文件通过防火墙：指是否支持FTP文件类型过滤。
用户操作的代理类型：应用层高级代理功能，如HTTP、POP3 。
支持网络地址转换（NAT）：NAT指将一个IP地址域映射到另一个IP地址域，从而为终端主机提供透明路由的方法。NAT常用于私有地址域与公有地址域的转换以解决IP地址匮乏问题。
支持硬件口令、智能卡： 是否支持硬件口令、智能卡等，这是一种比较安全的身份认证技术。
2.2.2防御功能
支持病毒扫描： 是否支持防病毒功能，如扫描电子邮件附件中的DOC和ZIP文件，FTP中的下载或上载文件内容，以发现其中包含的危险信息。
提供内容过滤： 是否支持内容过滤，信息内容过滤指防火墙在HTTP、FTP、SMTP等协议层，根据过滤条件，对信息流进行控制。
防火墙控制的结果是：允许通过、修改后允许通过、禁止通过、记录日志、报警等。
过滤内容主要指URL、HTTP携带的信息：Java Applet、 JavaScript、ActiveX和电子邮件中的Subject、To、From域等。
能防御的DoS攻击类型：拒绝服务攻击（DoS）就是攻击者过多地占用共享资源，导致服务器超载或系统资源耗尽，而使其他用户无法享有服务或没有资源可用。防火墙通过控制、检测与报警等机制，可在一定程度上防止或减轻DoS黑客攻击。
阻止ActiveX、Java、Cookies、Javascript侵入：属于HTTP内容过滤，防火墙应该能够从HTTP页面剥离Java Applet、ActiveX等小程序及从Script、PHP和ASP等代码检测出危险代码或病毒，并向浏览器用户报警。同时，能够过滤用户上载的CGI、ASP等程序，当发现危险代码时，向服务器报警。 3网络安全
3.1网络安全问题
安全，通常是指只有被授权的人才能使用其相应资源的一种机制。我国对于计算机安全的定义是："计算机系统的硬件、软件、数据受到保护，不因偶然的或恶意的原因而遭到破坏、更改、显露，系统能连续正常运行。"
3.2网络安全措施
网络信息安全涉及方方面面的问题，是一个复杂的系统。一个完整的网络信息安全体系至少应包括三类措施：
一是法律政策、规章制度以及安全教育等外部软环境。
二是技术方面，如信息加密存储传输、身份认证、防火墙技术、网络防毒等。
三是管理措施，包括技术与社会措施。
主要措施有：提供实时改变安全策略的能力、实时监控企业安全状态、对现有的安全系统实施漏洞检查等，以防患于未然。
这三者缺一不可，其中，法律政策是安全的基石，技术是安全的保障，管理和审计是安全的防线。
4结束语
随着Internet/Intranet技术的飞速发展和应用，网络安全越来越引起人们的关注。如何保护企业和个人在网络上的敏感信息不受侵犯己成为当前摆在人们面前的一个重大问题。
防火墙技术作为目前用来实现网络安全措施的一种主要手段，它主要是用来拒绝未经授权用户的访问，阻止未经授权用户存取敏感数据，同时允许合法用户不受妨碍的访问网络资源。如果使用得当，可以在很大程度上提高网络安全。算机网络和计算机网络安全就像矛和盾，自计算机诞生之日起就彼消此长。但是没有一种技术可以百分之百地解决网络上的所有问题，防火墙虽然能对来自外部网络的攻击进行有效的保护，但对于来自网络内部的攻击却无能为力。
参考文献
1.石志国等编著.计算机网络安全教程. 北京：清华大学出版社，2004.2
2.楚狂等編著.网络安全与防火墙技术. 北京：人民邮电出版社，2000.4
3.刘衍衍等编著.计算机安全技术.吉林：吉林科技技术出版社.1997.8
4.高永强等.网络安全技术与应用. 北京：人民邮电出版社，2003.3
作者简介：
赵昆（1983-），男，湖北襄阳人，大学本科，主要从事计算机科学与基础的教学工作。
关键词：计算机 防火墙 Internet 安全 技术特征
1引言
防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，越来越多地应用于专用网络与公用网络的互连环境之中，尤以Internet网络为最甚。Internet的迅猛发展，使得防火墙产品在短短的几年内异军突起，很快形成了一个产业。
防火墙是一种网络技术，最初它被定为一个实施某些安全策略保护一个可信网络，用以防止来自一个不可信的网络（如Internet）的攻击的装置。
防火墙就是一个或多组网络设备，可用来在两个或多个网络间加强访问控制。它的实现有好多种方式，有的实现还是很復杂的，但基本原理却很简单。可以把它想象成一个开关，一个是用来阻止输入，另一个用来允许输入。防火墙可以设置在不同的网络之间（如可信任的企业内部网和不可信的公共网）或网络安全域之间。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全策略控制（允许、拒绝、检测）出入网络的信息流，且本身也具有较强的攻击能力。它是提供信息安全服务、实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，它有效的监控了内部网和Internet之间的任何活动，保证了内部网络的安全。
2防火墙的概述
2.1防火墙的概述
人们常在寓所之间砌起一道砖墙，一旦火灾发生，它能够防止火势蔓延到别的寓所。在网络上，如果一个网络接到了Internet上面，它的用户就可以访问外部世界并与之通信。但同时，外部世界也同样可以访问该网络并与之交互。为安全起见，可以在该网络和Internet之间插入一个中介系统，竖起一道安全屏障。这道屏障的作用是阻断来自外部通过网络对本网络的威胁和入侵，提供扼守本网络的安全和审计的唯一关卡，它的作用与建筑的防火砖墙有类似之处，因此我们把这个屏障就叫做"防火墙"。
防火墙就是一个位于电脑和它所连接的网络之间的软件。该电脑流入流出的所有网络通信均要经过此防火墙。
防火墙是一个或一组系统，它在网络之间执行访问控制策略。实现防火墙的实际方式各不相同，但是在原则上，防火墙可以被认为是这样一对机制：一种机制是拦阻传输流通行，另一种机制是允许传输流通过。一些防火墙偏重拦阻传输流的通行，而另一些防火墙则偏重允许传输流通过。
2.2防火墙的功能
防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标电脑。可以将防火墙配置成许多不同保护级别。
防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标电脑上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。
2.2.1访问控制功能
通过防火墙的包内容设置：包过滤防火墙的过滤规则集由若干条规则组成，它应涵盖对所有出入防火墙的数据包的处理方法，对于没有明确定义的数据包，应该有一个缺省处理方法；过滤规则应易于理解，易于编辑修改；同时应具备一致性检测机制，防止冲突。
IP包过滤的依据主要是根据IP包头部信息如源地址和目的地址进行过滤，如果IP头中的协议字段表明封装协议为ICMP、TCP或UDP，那么再根据ICMP头信息（类型和代码值）、TCP头信息（源端口和目的端口）或UDP头信息（源端口和目的端口）执行过滤，其他的还有MAC地址过滤。
应用层协议过滤要求主要包括FTP过滤、基于RPC的应用服务过滤、基于UDP的应用服务过滤要求以及动态包过滤技术等。
在应用层提供代理支持：指防火墙是否支持应用层代理，如HTTP、FTP、TELNET、SNMP等。
在传输层提供代理支持：指防火墙是否支持传输层代理服务。允许FTP命令防止某些类型文件通过防火墙：指是否支持FTP文件类型过滤。
用户操作的代理类型：应用层高级代理功能，如HTTP、POP3 。
支持网络地址转换（NAT）：NAT指将一个IP地址域映射到另一个IP地址域，从而为终端主机提供透明路由的方法。NAT常用于私有地址域与公有地址域的转换以解决IP地址匮乏问题。
支持硬件口令、智能卡： 是否支持硬件口令、智能卡等，这是一种比较安全的身份认证技术。
2.2.2防御功能
支持病毒扫描： 是否支持防病毒功能，如扫描电子邮件附件中的DOC和ZIP文件，FTP中的下载或上载文件内容，以发现其中包含的危险信息。
提供内容过滤： 是否支持内容过滤，信息内容过滤指防火墙在HTTP、FTP、SMTP等协议层，根据过滤条件，对信息流进行控制。
防火墙控制的结果是：允许通过、修改后允许通过、禁止通过、记录日志、报警等。
过滤内容主要指URL、HTTP携带的信息：Java Applet、 JavaScript、ActiveX和电子邮件中的Subject、To、From域等。
能防御的DoS攻击类型：拒绝服务攻击（DoS）就是攻击者过多地占用共享资源，导致服务器超载或系统资源耗尽，而使其他用户无法享有服务或没有资源可用。防火墙通过控制、检测与报警等机制，可在一定程度上防止或减轻DoS黑客攻击。
阻止ActiveX、Java、Cookies、Javascript侵入：属于HTTP内容过滤，防火墙应该能够从HTTP页面剥离Java Applet、ActiveX等小程序及从Script、PHP和ASP等代码检测出危险代码或病毒，并向浏览器用户报警。同时，能够过滤用户上载的CGI、ASP等程序，当发现危险代码时，向服务器报警。 3网络安全
3.1网络安全问题
安全，通常是指只有被授权的人才能使用其相应资源的一种机制。我国对于计算机安全的定义是："计算机系统的硬件、软件、数据受到保护，不因偶然的或恶意的原因而遭到破坏、更改、显露，系统能连续正常运行。"
3.2网络安全措施
网络信息安全涉及方方面面的问题，是一个复杂的系统。一个完整的网络信息安全体系至少应包括三类措施：
一是法律政策、规章制度以及安全教育等外部软环境。
二是技术方面，如信息加密存储传输、身份认证、防火墙技术、网络防毒等。
三是管理措施，包括技术与社会措施。
主要措施有：提供实时改变安全策略的能力、实时监控企业安全状态、对现有的安全系统实施漏洞检查等，以防患于未然。
这三者缺一不可，其中，法律政策是安全的基石，技术是安全的保障，管理和审计是安全的防线。
4结束语
随着Internet/Intranet技术的飞速发展和应用，网络安全越来越引起人们的关注。如何保护企业和个人在网络上的敏感信息不受侵犯己成为当前摆在人们面前的一个重大问题。
防火墙技术作为目前用来实现网络安全措施的一种主要手段，它主要是用来拒绝未经授权用户的访问，阻止未经授权用户存取敏感数据，同时允许合法用户不受妨碍的访问网络资源。如果使用得当，可以在很大程度上提高网络安全。算机网络和计算机网络安全就像矛和盾，自计算机诞生之日起就彼消此长。但是没有一种技术可以百分之百地解决网络上的所有问题，防火墙虽然能对来自外部网络的攻击进行有效的保护，但对于来自网络内部的攻击却无能为力。
参考文献
1.石志国等编著.计算机网络安全教程. 北京：清华大学出版社，2004.2
2.楚狂等編著.网络安全与防火墙技术. 北京：人民邮电出版社，2000.4
3.刘衍衍等编著.计算机安全技术.吉林：吉林科技技术出版社.1997.8
4.高永强等.网络安全技术与应用. 北京：人民邮电出版社，2003.3
作者简介：
赵昆（1983-），男，湖北襄阳人，大学本科，主要从事计算机科学与基础的教学工作。