硬件防火墻

第一要素:防火墻的基本功能防火墻系統(tǒng)可以說是網(wǎng)絡(luò)的第一道防線，因此一個企業(yè)在決定使用防火墻保護內(nèi)部網(wǎng)絡(luò)的安全時，它首先需要了解一個防火墻系統(tǒng)應(yīng)具備的基本功能，這是用戶選擇防火墻產(chǎn)品的依據(jù)和前提。

第二要素:企業(yè)的特殊要求企業(yè)安全政策中往往有些特殊需求不是每一個防火墻都會提供的，這方面常會成為選擇防火墻的考慮因素之一。

不管你在安裝硬件防火墻的時候考慮得有多么的全面和嚴(yán)密，一旦硬件防火墻投入到實際使用環(huán)境中，情況卻隨時都在發(fā)生改變。硬件防火墻的規(guī)則總會不斷地變化和調(diào)整著，配置參數(shù)也會時常有所改變。作為網(wǎng)絡(luò)安全管理人員，最好能夠編寫一套修改防火墻配置和規(guī)則的安全策略，并嚴(yán)格實施。所涉及的硬件防火墻配置，最好能詳細(xì)到類似哪些流量被允許，哪些服務(wù)要用到代理這樣的細(xì)節(jié)。

在安全策略中，要寫明修改硬件防火墻配置的步驟，如哪些授權(quán)需要修改、誰能進行這樣的修改、什么時候才能進行修改、如何記錄這些修改等。安全策略還應(yīng)該寫明責(zé)任的劃分，如某人具體做修改，另一人負(fù)責(zé)記錄，第三個人來檢查和測試修改后的設(shè)置是否正確。詳盡的安全策略應(yīng)該保證硬件防火墻配置的修改工作程序化，并能盡量避免因修改配置所造成的錯誤和安全漏洞。

如果在硬件防火墻上保留日志記錄，那么檢查硬件防火墻的磁盤使用情況是一件很重要的事情。如果不保留日志記錄，那么檢查硬件防火墻的磁盤使用情況就變得更加重要了。保留日志記錄的情況下，磁盤占用量的異常增長很可能表明日志清除過程存在問題，這種情況相對來說還好處理一些。在不保留日志的情況下，如果磁盤占用量異常增長，則說明硬件防火墻有可能是被人安裝了Rootkit工具，已經(jīng)被人攻破。

因此，網(wǎng)絡(luò)安全管理人員首先需要了解在正常情況下，防火墻的磁盤占用情況，并以此為依據(jù)，設(shè)定一個檢查基線。硬件防火墻的磁盤占用量一旦超過這個基線，就意味著系統(tǒng)遇到了安全或其他方面的問題，需要進一步的檢查。

和磁盤使用情況類似，CPU負(fù)載也是判斷硬件防火墻系統(tǒng)運行是否正常的一個重要指標(biāo)。作為安全管理人員，必須了解硬件防火墻系統(tǒng)CPU負(fù)載的正常值是多少，過低的負(fù)載值不一定表示一切正常，但出現(xiàn)過高的負(fù)載值則說明防火墻系統(tǒng)肯定出現(xiàn)問題了。

過高的CPU負(fù)載很可能是硬件防火墻遭到DoS攻擊或外部網(wǎng)絡(luò)連接斷開等問題造成的。

每臺防火墻在正常運行的情況下，都有一組精靈程序(Daemon)，比如名字服務(wù)程序、系統(tǒng)日志程序、網(wǎng)絡(luò)分發(fā)程序或認(rèn)證程序等。在例行檢查中必須檢查這些程序是不是都在運行，如果發(fā)現(xiàn)某些精靈程序沒有運行，則需要進一步檢查是什么原因?qū)е逻@些精靈程序不運行，還有哪些精靈程序還在運行中。

關(guān)鍵的系統(tǒng)文件的改變不外乎三種情況:管理人員有目的、有計劃地進行的修改，比如計劃中的系統(tǒng)升級所造成的修改;管理人員偶爾對系統(tǒng)文件進行的修改;攻擊者對文件的修改。

經(jīng)常性地檢查系統(tǒng)文件，并查對系統(tǒng)文件修改記錄，可及時發(fā)現(xiàn)防火墻所遭到的攻擊。此外，還應(yīng)該強調(diào)一下，最好在硬件防火墻配置策略的修改中，包含對系統(tǒng)文件修改的記錄。

硬件防火墻日志記錄了所有允許或拒絕的通信的信息，是主要的硬件防火墻運行狀況的信息來源。由于該日志的數(shù)據(jù)量龐大，所以，檢查異常日志通常應(yīng)該是一個自動進行的過程。當(dāng)然，什么樣的事件是異常事件，得由管理員來確定，只有管理員定義了異常事件并進行記錄，硬件防火墻才會保留相應(yīng)的日志備查。

上述6個方面的例行檢查也許并不能立刻檢查到硬件防火墻可能遇到的所有問題和隱患，但持之以恒地檢查對硬件防火墻穩(wěn)定可靠地運行是非常重要的。如果有必要，管理員還可以用數(shù)據(jù)包掃描程序來確認(rèn)硬件防火墻配置的正確與否，甚至可以更進一步地采用漏洞掃描程序來進行模擬攻擊，以考核硬件防火墻的能力。

硬件防火墻是指把防火墻程序做到芯片里面，由硬件執(zhí)行這些功能， 能減少CPU的負(fù)擔(dān)，使路由更穩(wěn)定。

硬件防火墻是保障內(nèi)部網(wǎng)絡(luò)安全的一道重要屏障。它的安全和穩(wěn)定，直接關(guān)系到整個內(nèi)部網(wǎng)絡(luò)的安全。因此，日常例行的檢查對于保證硬件防火墻的安全是非常重要的。

至于價格高，原因在于，軟件防火墻只有包過濾的功能，硬件防火墻中可能還有除軟件防火墻以外的其他功能，例如CF(內(nèi)容過濾)IDS(入侵偵測)IPS(入侵防護)以及VPN等等的功能。

也就是說硬件防火墻是指把防火墻程序做到芯片里面，由硬件執(zhí)行這些功能，能減少CPU的負(fù)擔(dān)，使路由更穩(wěn)定。

硬件防火墻是保障內(nèi)部網(wǎng)絡(luò)安全的一道重要屏障。它的安全和穩(wěn)定，直接關(guān)系到整個內(nèi)部網(wǎng)絡(luò)的安全。因此，日常例行的檢查對于保證硬件防火墻的安全是非常重要的。

系統(tǒng)中存在的很多隱患和故障在暴發(fā)前都會出現(xiàn)這樣或那樣的苗頭，例行檢查的任務(wù)就是要發(fā)現(xiàn)這些安全隱患，并盡可能將問題定位，方便問題的解決。

(1)包過濾防火墻

包過濾防火墻一般在路由器上實現(xiàn)，用以過濾用戶定義的內(nèi)容，如IP地址。包過濾防火墻的工作原理是:系統(tǒng)在網(wǎng)絡(luò)層檢查數(shù)據(jù)包，與應(yīng)用層無關(guān)。這樣系統(tǒng)就具有很好的傳輸性能，可擴展能力強。但是，包過濾防火墻的安全性有一定的缺陷，因為系統(tǒng)對應(yīng)用層信息無感知，也就是說，防火墻不理解通信的內(nèi)容，所以可能被黑客所攻破。

圖1:包過濾防火墻工作原理圖

(2)應(yīng)用網(wǎng)關(guān)防火墻

應(yīng)用網(wǎng)關(guān)防火墻檢查所有應(yīng)用層的信息包，并將檢查的內(nèi)容信息放入決策過程，從而提高網(wǎng)絡(luò)的安全性。然而，應(yīng)用網(wǎng)關(guān)防火墻是通過打破客戶機/服務(wù)器模式實現(xiàn)的。每個客戶機/服務(wù)器通信需要兩個連接:一個是從客戶端到防火墻，另一個是從防火墻到服務(wù)器。另外，每個代理需要一個不同的應(yīng)用進程，或一個后臺運行的服務(wù)程序，對每個新的應(yīng)用必須添加針對此應(yīng)用的服務(wù)程序，否則不能使用該服務(wù)。所以，應(yīng)用網(wǎng)關(guān)防火墻具有可伸縮性差的缺點。(圖2)

圖2:應(yīng)用網(wǎng)關(guān)防火墻工作原理圖

(3)狀態(tài)檢測防火墻

狀態(tài)檢測防火墻基本保持了簡單包過濾防火墻的優(yōu)點，性能比較好，同時對應(yīng)用是透明的，在此基礎(chǔ)上，對于安全性有了大幅提升。這種防火墻摒棄了簡單包過濾防火墻僅僅考察進出網(wǎng)絡(luò)的數(shù)據(jù)包，不關(guān)心數(shù)據(jù)包狀態(tài)的缺點，在防火墻的核心部分建立狀態(tài)連接表，維護了連接，將進出網(wǎng)絡(luò)的數(shù)據(jù)當(dāng)成一個個的事件來處理?？梢赃@樣說，狀態(tài)檢測包過濾防火墻規(guī)范了網(wǎng)絡(luò)層和傳輸層行為，而應(yīng)用代理型防火墻則是規(guī)范了特定的應(yīng)用協(xié)議上的行為。(圖3)

圖3:狀態(tài)檢測防火墻工作原理圖

(4)復(fù)合型防火墻

復(fù)合型防火墻是指綜合了狀態(tài)檢測與透明代理的新一代的防火墻，進一步基于ASIC架構(gòu)，把防病毒、內(nèi)容過濾整合到防火墻里，其中還包括VPN、IDS功能，多單元融為一體，是一種新突破。常規(guī)的防火墻并不能防止隱蔽在網(wǎng)絡(luò)流量里的攻擊，在網(wǎng)絡(luò)界面對應(yīng)用層掃描，把防病毒、內(nèi)容過濾與防火墻結(jié)合起來，這體現(xiàn)了網(wǎng)絡(luò)與信息安全的新思路。它在網(wǎng)絡(luò)邊界實施OSI第七層的內(nèi)容掃描，實現(xiàn)了實時在網(wǎng)絡(luò)邊緣部署病毒防護、內(nèi)容過濾等應(yīng)用層服務(wù)措施。(圖4)

3、四類防火墻的對比

包過濾防火墻:包過濾防火墻不檢查數(shù)據(jù)區(qū)，包過濾防火墻不建立連接狀態(tài)表，前后報文無關(guān)，應(yīng)用層控制很弱。

應(yīng)用網(wǎng)關(guān)防火墻:不檢查IP、TCP報頭，不建立連接狀態(tài)表，網(wǎng)絡(luò)層保護比較弱。

狀態(tài)檢測防火墻:不檢查數(shù)據(jù)區(qū)，建立連接狀態(tài)表，前后報文相關(guān)，應(yīng)用層控制很弱。

復(fù)合型防火墻:可以檢查整個數(shù)據(jù)包內(nèi)容，根據(jù)需要建立連接狀態(tài)表，網(wǎng)絡(luò)層保護強，應(yīng)用層控制細(xì)，會話控制較弱。

4、防火墻術(shù)語

網(wǎng)關(guān):在兩個設(shè)備之間提供轉(zhuǎn)發(fā)服務(wù)的系統(tǒng)。網(wǎng)關(guān)是互聯(lián)網(wǎng)應(yīng)用程序在兩臺主機之間處理流量的防火墻。這個術(shù)語是非常常見的。

DMZ非軍事化區(qū):為了配置管理方便，內(nèi)部網(wǎng)中需要向外提供服務(wù)的服務(wù)器往往放在一個單獨的網(wǎng)段，這個網(wǎng)段便是非軍事化區(qū)。防火墻一般配備三塊網(wǎng)卡，在配置時一般分別分別連接內(nèi)部網(wǎng)，internet和DMZ。

吞吐量:網(wǎng)絡(luò)中的數(shù)據(jù)是由一個個數(shù)據(jù)包組成，防火墻對每個數(shù)據(jù)包的處理要耗費資源。吞吐量是指在不丟包的情況下單位時間內(nèi)通過防火墻的數(shù)據(jù)包數(shù)量。這是測量防火墻性能的重要指標(biāo)。

最大連接數(shù):和吞吐量一樣，數(shù)字越大越好。但是最大連接數(shù)更貼近實際網(wǎng)絡(luò)情況，網(wǎng)絡(luò)中大多數(shù)連接是指所建立的一個虛擬通道。防火墻對每個連接的處理也好耗費資源，因此最大連接數(shù)成為考驗防火墻這方面能力的指標(biāo)。

數(shù)據(jù)包轉(zhuǎn)發(fā)率:是指在所有安全規(guī)則配置正確的情況下，防火墻對數(shù)據(jù)流量的處理速度。

SSL:SSL(Secure Sockets Layer)是由Netscape公司開發(fā)的一套Internet數(shù)據(jù)安全協(xié)議，當(dāng)前版本為3.0。它已被廣泛地用于Web瀏覽器與服務(wù)器之間的身份認(rèn)證和加密數(shù)據(jù)傳輸。SSL協(xié)議位于TCP/IP協(xié)議與各種應(yīng)用層協(xié)議之間，為數(shù)據(jù)通訊提供安全支持。

網(wǎng)絡(luò)地址轉(zhuǎn)換:網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)是一種將一個IP地址域映射到另一個IP地址域技術(shù)，從而為終端主機提供透明路由。NAT包括靜態(tài)網(wǎng)絡(luò)地址轉(zhuǎn)換、動態(tài)網(wǎng)絡(luò)地址轉(zhuǎn)換、網(wǎng)絡(luò)地址及端口轉(zhuǎn)換、動態(tài)網(wǎng)絡(luò)地址及端口轉(zhuǎn)換、端口映射等。NAT常用于私有地址域與公用地址域的轉(zhuǎn)換以解決IP地址匱乏問題。在防火墻上實現(xiàn)NAT后，可以隱藏受保護網(wǎng)絡(luò)的內(nèi)部拓?fù)浣Y(jié)構(gòu)，在一定程度上提高網(wǎng)絡(luò)的安全性。如果反向NAT提供動態(tài)網(wǎng)絡(luò)地址及端口轉(zhuǎn)換功能，還可以實現(xiàn)負(fù)載均衡等功能。

堡壘主機:一種被強化的可以防御進攻的計算機，被暴露于因特網(wǎng)之上，作為進入內(nèi)部網(wǎng)絡(luò)的一個檢查點，以達到把整個網(wǎng)絡(luò)的安全問題集中在某個主機上解決，從而省時省力，不用考慮其它主機的安全的目的。

硬件防火墻是軟硬件一體的，用戶購買后不需要再投入其他費用。一般硬件防火墻的報價在1萬到2萬之間。

軟件防火墻有三方面的成本開銷:軟件的成本、安裝軟件的設(shè)備成本以及設(shè)備上操作系統(tǒng)的成本。Windows Server 2003價格在4400-6000之間。

備注:綜合以上的成本，要配置一套軟件防火墻按最小的網(wǎng)絡(luò)要求，其成本在1.0萬左右。

穩(wěn)定性能的優(yōu)劣主要來自于防火墻運行平臺即操作系統(tǒng)上。

硬件防火墻一般使用經(jīng)過內(nèi)核編譯后的Linux，憑借Linux本身的高可靠性和穩(wěn)定性保證了防火墻整體的穩(wěn)定性，Linux永遠都不會崩潰，其穩(wěn)定性是由于它沒有像其他操作系統(tǒng)一樣內(nèi)核龐大且漏洞百出。系統(tǒng)的穩(wěn)定性主要取決于系統(tǒng)設(shè)計的結(jié)構(gòu)。計算機硬件的結(jié)構(gòu)自從1981設(shè)計開始就沒有作特別大的改動，而連續(xù)向后兼容性使那些編程風(fēng)格極差的應(yīng)用軟件勉強移植到Windows的最新版本，這種將就的軟件開發(fā)模式極大地阻礙了系統(tǒng)穩(wěn)定性的發(fā)展。最令人注目的Linux開放源代碼的開發(fā)模式，它保證了任何系統(tǒng)的漏洞都能被及時發(fā)現(xiàn)和修正。Linux采取了許多安全技術(shù)措施，包括對讀、寫進行權(quán)限控制、帶保護的子系統(tǒng)、審計跟蹤、核心授權(quán)等，這為網(wǎng)絡(luò)多用戶環(huán)境中的用戶提供了必要的安全保障。

軟件防火墻一般要安裝在windows平臺上，實現(xiàn)簡單，但同時由于windows本身的漏洞和不穩(wěn)定性帶來了軟件防火墻的安全性和穩(wěn)定性的問題。雖然Microsoft也在努力的彌補這些問題，Windows 2003 server本身的漏洞就比前期的Windows NT少了很多，但與Linux比起來還是漏洞倍出。在病毒侵害方面，從linux發(fā)展到如今，Linux幾乎不感染病毒。而作為Windows 平臺下的病毒我們就不必多說了，只要是使用過電腦的人都有感受。像近幾個月以來在內(nèi)網(wǎng)中廣泛傳播的ARP欺騙病毒，造成了內(nèi)網(wǎng)不穩(wěn)定、網(wǎng)絡(luò)時斷時序、經(jīng)常掉線，無法開展正常的工作，使得很多的網(wǎng)絡(luò)管理人員束手無策。

吞吐量和報文轉(zhuǎn)發(fā)率是關(guān)系防火墻應(yīng)用的主要指標(biāo)，硬件防火墻的硬件設(shè)備是經(jīng)專業(yè)廠商定制的，在定制之初就充分考慮了吞吐量的問題，在這一點上遠遠勝于軟件防火墻，因為軟件防火墻的硬件是用戶自己選擇的很多情況下都沒有考慮吞吐量的問題，況且windows系統(tǒng)本身就很耗費硬件資源，其吞吐量和處理大數(shù)據(jù)流的能力遠不及硬件防火墻，這一點是不言而喻的。吞吐量太小的話，防火墻就是網(wǎng)絡(luò)的瓶頸，會帶來網(wǎng)絡(luò)速度慢、上網(wǎng)帶寬不夠等等問題。

軟件防火墻一般可以是包過濾機制。包過濾過濾規(guī)則簡單，只能檢查到第三層網(wǎng)絡(luò)層，只對源或目的IP做檢查，防火墻的能力遠不及狀態(tài)檢測防火墻，連最基本的黑客攻擊手法IP偽裝都無法解決，并且要對所經(jīng)過的所有數(shù)據(jù)包做檢查，所以速度比較慢。硬件防火墻主要采用第四代狀態(tài)檢測機制。狀態(tài)檢測是在通信發(fā)起連接時就檢查規(guī)則是否允許建立連接，然后在緩存的狀態(tài)檢測表中添加一條記錄，以后就不必去檢查規(guī)則了只要查看狀態(tài)監(jiān)測表就OK了，速度上有了很大的提升。因其工作的層次有了提高，其防黑功能比包過濾強了很多，狀態(tài)檢測防火墻跟蹤的不僅是包中包含的信息。為了跟蹤包的狀態(tài)，防火墻還記錄有用的信息以幫助識別包，例如已有的網(wǎng)絡(luò)連接、數(shù)據(jù)的傳出請求等。

例如，如果傳入的包包含視頻數(shù)據(jù)流，而防火墻可能已經(jīng)記錄了有關(guān)信息，防火墻進行匹配，包就可以被允許通過。。

硬件防火墻比軟件防火墻在實現(xiàn)的機制上有很大的不同，也帶來了軟硬件防火墻在防黑能力上很大差異。

軟件防火墻由于本身的工作原理造成了它不具備內(nèi)網(wǎng)具體化的控制管理，比如，不能控制BT、不能禁止QQ、不能很好的防止病毒侵入、不能針對具體的IP和MAC做上網(wǎng)控制等，其主要的功能在于對外。

硬件防火墻在基于狀態(tài)檢測的機制上，安全廠商又可以根據(jù)市場的不同需求開發(fā)應(yīng)用層過濾規(guī)則，來滿足對內(nèi)網(wǎng)的控制，能夠在高層進行過濾，做到了軟件防火墻不能做到的很多事。尤其是流行的ARP病毒，硬件防火墻針對其入侵的原理，做了相應(yīng)的策略，徹底解除了ARP病毒的危害。

網(wǎng)絡(luò)安全(防火墻)已經(jīng)不僅僅局限于對外的防止黑客攻擊上，更多的企業(yè)內(nèi)部網(wǎng)絡(luò)經(jīng)常存在諸如上網(wǎng)速度慢、時斷時序、郵件收發(fā)不正常等問題。我們分析其主要的原因，在于內(nèi)網(wǎng)用戶的使用問題，很多的用戶上班時間使用BT下載、瀏覽一些不正規(guī)的網(wǎng)站，這樣都會引起內(nèi)網(wǎng)的諸多問題，比如病毒，很多病毒傳播都是使用者不良行為而造成的。所以說內(nèi)網(wǎng)用戶的控制和管理是非常必要的。

FTP同時連接數(shù) : 10 個

MSSQL數(shù)據(jù)庫空間:100M以上

MYSQL數(shù)據(jù)庫空間:100M以上

硬件防火墻:千兆硬件防火墻防DDOS 、CC攻擊

服務(wù)器CPU負(fù)荷查看系統(tǒng)、服務(wù)器內(nèi)存負(fù)荷查看系統(tǒng)、服務(wù)器流量負(fù)荷查看系統(tǒng)。