新一代防火墙技术的应用与发展

新一代防火墙技术的应用与发展

所谓的防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合。



　　一、概述

　　在2004年度中国互联网大会的网络与信息安全论坛中，以"构建稳定、可信赖的网络"为主题，密切结合中国网络和信息化发展进程中凸现的网络与信息安全技术、应用的热点问题，重点研讨包括"国内外网络信息安全现状及发展趋势"、"网络安全与信任体系建设"、"无线网络的信息安全"、"下一代互联网安全架构"、"网络信息安全测评与产业政策研究"、"行业解决方案"、"新一代网络病毒发展和防范技术"等问题。对新技术的充分剖析将是这一主题之下最大的亮点：新一代防火墙技术、新一代病毒防范技术、最新密码应用技术和密码芯片技术、入侵检测技术(IDS)，安全扫描、安全审计、物理隔离交换(SGAP)技术，安全认证与鉴别技术、安全备份和容灾技术、SAN及NAS等存储技术，网络安全事件紧急响应等新技术、新产品。

　　所谓的防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合。它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况， 以此来实现网络的安全保护。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动， 保证了内部网络的安全。目前防火墙已经开始被企业用户普遍接受，而且正在成为企业网络中一种主要的安全设备。传统防火墙由于通常在网络边界站岗，又名"边界防火墙"。

　　没有人怀疑防火墙在企业所有的安全设备采购中占据第一的位置。但传统的防火墙并没有解决网络主要的安全问题。目前网络安全的三大主要问题是：以拒绝访问(DDOS)为主要目的的网络攻击，以蠕虫(Worm)为主要代表的病毒传播，以垃圾电子邮件(SPAM)为代表的内容控制。这三大安全问题覆盖了网络安全方面的绝大部分问题。而这三大问题，传统的防火墙是无能为力的。原因有三，首先是传统防火墙计算能力的限制。传统的防火墙是以高强度的检查为代价，检查的强度越高，计算的代价越大。其次是传统防火墙的访问控制机制是一个简单的过滤机制。它是一个简单的条件过滤器，不具有智能功能，无法应对复杂的攻击。最后是传统的防火墙无法区分识别善意和恶意的行为，该特征决定了传统的防火墙无法解决恶意的攻击行为。

　　新一代防火墙是应该加强放行数据的安全性，因为网络安全的真实需求是既要保证安全，也必须保证应用的正常进行。新一代防火墙既有包过滤的功能，又能在应用层进行代理。较传统的防火墙来说，具有先进的过滤和代理体系，能从数据链路层到应用层进行全方位安全处理，TCP/IP协议和代理的直接相互配合，使本系统的防欺骗能力和运行的健壮性都大大提高；除了访问控制功能外，新一代的防火墙应当还集成了其它许多安全技术，如NAT和VPN、病毒防护等。

　　二、传统防火墙概技术及其特点

　　大家知道，传统防火墙的类型主要有三种：包过滤、应用层网关和代理，每种都有各自的特点。

　　1、数据包过滤防火墙技术

　　数据包过滤(Packet Filtering)技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑， 被称为访问控制表(Access Contro*Table)。通过检查数据流中每个数据包的源地址、目的地址、所用的端口号、 协议状态等因素，或它们的组合来确定是否允许该数据包通过。 数据包过滤防火墙逻辑简单，价格便宜，易于安装和使用， 网络性能和透明性好，它通常安装在路由器上。路由器是内部网络与Internet连接必不可少的设备， 因此在原有网络上增加这样的防火墙几乎不需要任何额外的费用。

　　包过滤的优点是一个过滤路由器能协助保护整个网络，数据包过滤对用户透明，过滤路由器速度快、效率高；缺点是不能彻底防止地址欺骗，一些应用协议不适合于数据包过滤，正常的数据包过滤路由器无法执行某些安全策略。

　　2、应用层网关防火墙技术

　　应用层网关(Application Leve*Gateways)是在网络应用层上建立协议过滤和转发功能。它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计，形成报告。实际中的应用网关通常安装在专用工作站系统上。

　　数据包过滤和应用网关防火墙有一个共同的特点，就是它们仅仅依靠特定的逻辑判定是否允许数据包通过。 一旦满足逻辑，则防火墙内外的计算机系统建立直接联系， 防火墙外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这有利于实施非法访问和攻击。

　　3、代理防火墙技术

　　代理服务(Proxy Service)也称链路级网关或TCP通道(Circuit Leve*Gateways or TCP Tunnels)， 也有人将它归于应用层网关一类。它是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术， 其特点是将所有跨越防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的"链接"， 由两个终止代理服务器上的"链接"来实现，外部计算机的网络链路只能到达代理服务器， 从而起到了隔离防火墙内外计算机系统的作用。此外，代理服务也对过往的数据包进行分析、注册登记， 形成报告，同时当发现被攻击迹象时会向网络管理员发出警报，并保留攻击痕迹。

　　三、新一代防火墙技术及其应用

　　新一代防火墙的目的主要是综合包过滤和代理技术，克服二者在安全方面的缺陷；能从数据链路层一直到应用层施加全方位的控制；实现TCP/IP协议的微内核，从而在TCP/IP协议层能进行各项安全控制；基于上述微内核，使速度超过传统的包过滤防火墙；提供透明代理模式，减轻客户端的配置工作；支持数据加密、解密(DES和RSA)，提供对虚拟网VPN的强大支持；内部信息完全隐藏；产生一个新的防火墙理论。

　　新一代防火墙技术不仅覆盖了传统包过滤防火墙的全部功能，而且在全面对抗IP欺骗、SYN Flood、ICMP、ARP等攻击手段方面有显著优势，增强代理服务，并使其与包过滤相融合，再加上智能过滤技术，使防火墙的安全性提升到又一高度。

　　(一)新一代分布式防火墙技术

　　1、概念

　　针对传统边界防火墙的缺欠，专家提出"分布式防火墙"的概念。从狭义和与边界防火墙产品对应来讲，分布式防火墙产品是指那些驻留在网络中主机如服务器或桌面机并对主机系统自身提供安全防护的软件产品；从广义来讲，"分布式防火墙"是一种新的防火墙体系结构，它包含如下产品：