防火墻技術(shù)及其在校園網(wǎng)絡(luò)安全中的應(yīng)用

◆張 靜 漆世錢

?

防火墻技術(shù)及其在校園網(wǎng)絡(luò)安全中的應(yīng)用

◆張 靜 漆世錢

（武警海警學(xué)院 浙江 315000）

選擇更好的專用硬件防火墻將成為各大高校防御網(wǎng)絡(luò)黑客攻擊的重要手段。本文主要從防火墻技術(shù)的概述、功能、分類以及校園網(wǎng)絡(luò)安全的防火墻必須要具備的特征進行了探討，供網(wǎng)絡(luò)安全管理相關(guān)人員參考。

防火墻；校園網(wǎng)絡(luò)安全；內(nèi)部網(wǎng)絡(luò)

0 引言

隨著信息技術(shù)的不斷發(fā)展，互聯(lián)網(wǎng)得到了快速的發(fā)展，已成為我們生活中不可或缺的一部分，然而這些年Internet也給我們帶來了大量的負面的影響——計算機受到各種病毒感染和黑客的惡意攻擊，嚴重的威脅了我們計算機的安全，造成巨大的損失。在校園網(wǎng)絡(luò)中，為了盡量避免廣大師生的教學(xué)資料被丟失、信息被惡意篡改等惡性事件的發(fā)生，在校園網(wǎng)絡(luò)中應(yīng)建立起一套網(wǎng)絡(luò)安全體系，選擇更好的專用防火墻將成為各大高校防御網(wǎng)絡(luò)黑客攻擊的重要手段。目前市場上的硬件防火墻可謂種類繁多，功能各異，而如何選擇合適的防火墻對校園網(wǎng)絡(luò)安全來說至關(guān)重要。

1 防火墻技術(shù)的概述

防火墻是指設(shè)置在不同網(wǎng)絡(luò)或者網(wǎng)絡(luò)安全域之間由軟件和硬件設(shè)備共同組成的[1]，在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間、公用網(wǎng)絡(luò)和專用網(wǎng)絡(luò)之間架設(shè)起的一道屏障。防火墻可以監(jiān)測、限制、控制網(wǎng)絡(luò)中流動的數(shù)據(jù)，最大可能的將內(nèi)部網(wǎng)絡(luò)的結(jié)構(gòu)、信息以及運行狀況對外部網(wǎng)絡(luò)進行屏蔽、隱藏，防止發(fā)生不可預(yù)測、破壞性的入侵，從而保護了自己網(wǎng)絡(luò)的安全。從邏輯上來闡述,防火墻是一個分離器、限制器、分析器[2]，它最大化地監(jiān)控了兩個不同網(wǎng)絡(luò)之間的數(shù)據(jù)通信，確保了自己所處一方網(wǎng)絡(luò)的安全。其最基本的功能是隔離不同的網(wǎng)絡(luò)，采用規(guī)則集來增強網(wǎng)絡(luò)安全，有以下幾個基本特性：

（1）自主操作主機的所有數(shù)據(jù)輸入、輸出的通信連接，通過自己建立的規(guī)則集過濾相關(guān)的數(shù)據(jù)然后選擇是否放行。

（2）“認證”管理員和應(yīng)用程序，以保證他們能訪問內(nèi)部網(wǎng)絡(luò)。

（3）有安全審計功能并相應(yīng)的能記錄下來以文件形式保存,在命中可疑數(shù)據(jù)時能及時發(fā)出告警。

2 防火墻的功能

從本質(zhì)而言，防火墻是分隔兩個不同的網(wǎng)絡(luò)，防火墻只允許它所認可的規(guī)則而進行不同網(wǎng)絡(luò)之間的通信。防火墻還有另外一個特點，就是防火墻本身就應(yīng)該具有較為強大的抵抗外部攻擊的能力。防火墻應(yīng)不易被入侵者攻破，因為一旦被入侵者侵入那么入侵者就能在內(nèi)部網(wǎng)絡(luò)之間操作，竊取有價值的信息或者破壞內(nèi)部網(wǎng)絡(luò)，從而造成不可預(yù)計的損失。所以考慮到這些方面的要求，理想的防火墻應(yīng)支持這些方面的功能：

（1）能夠檢測何時有通信數(shù)據(jù)進入內(nèi)部網(wǎng)絡(luò)；

（2）能夠檢測何時有通信數(shù)據(jù)流入外部網(wǎng)絡(luò)；

（3）能夠?qū)ξ丛试S的規(guī)則的數(shù)據(jù)進行攔截，禁止其進入內(nèi)部網(wǎng)絡(luò)；

（4）能夠?qū)W(wǎng)絡(luò)間的數(shù)據(jù)進出采取相應(yīng)規(guī)則的控制措施；

（5）能夠?qū)W(wǎng)絡(luò)通信內(nèi)容審計跟蹤；

（6）能夠?qū)Ω唢L(fēng)險行為、入侵行為進行檢測以及預(yù)警；

（7）能夠?qū)χ匾臄?shù)據(jù)進行相應(yīng)的加密解密；

（8）能夠保護網(wǎng)絡(luò)安全用戶信息不發(fā)生外泄情況。

院?？梢愿鶕?jù)自身不同的需求及實際情況，可以選取適合自身特點的相應(yīng)的防火墻產(chǎn)品，從而盡可能避免在自己計算機上發(fā)生被入侵事件，保護了計算機的安全。另外防火墻并不是絕對安全的，還有許多的危險是防火墻能力范圍之外的，防火墻僅僅是一種工具，盡最大可能將危險阻隔。

3 防火墻的分類

防火墻的類型可以有多種劃分，按技術(shù)分類可以有三種類型：包過濾防火墻、應(yīng)用代理防火墻和狀態(tài)檢測防火墻。

3.1 包過濾防火墻

包過濾防火墻作用在OSI體系結(jié)構(gòu)七層協(xié)議的網(wǎng)絡(luò)層和傳輸層，它根據(jù)數(shù)據(jù)包包頭包含的源IP地址、目的IP地址和源主機端口號、目的主機端口號、網(wǎng)絡(luò)通信協(xié)議類型等標(biāo)志信息進行比對確定是否允許數(shù)據(jù)包通過。唯有符合這些條件數(shù)據(jù)包才能轉(zhuǎn)發(fā)給對方，剩下的不符合條件的數(shù)據(jù)包就直接從數(shù)據(jù)中丟掉。鑒于這一原因，包過濾防火墻能很快處理數(shù)據(jù)包。所以這一類的普遍特點是使用程度大、價格優(yōu)惠，是一種十分有效的安全手段。但是，瑕不掩瑜包過濾防火墻也有它自身的缺陷：不能對應(yīng)用層協(xié)議做出分析，對應(yīng)用層缺少保護，沒法防范利用應(yīng)用層漏洞實施的網(wǎng)絡(luò)攻擊。

3.2 應(yīng)用代理防火墻

應(yīng)用代理防火墻工作在OSI體系結(jié)構(gòu)的最高層，即應(yīng)用層。其特點是徹底“阻隔”了網(wǎng)絡(luò)通信流，可以對相應(yīng)的應(yīng)用服務(wù)編寫特定的代碼，實現(xiàn)對通信數(shù)據(jù)的監(jiān)控以及對應(yīng)用層的數(shù)據(jù)流進行相關(guān)的掌握控制。

應(yīng)用代理防火墻最大的優(yōu)點就是安全。這是因為它工作在最高層，所以它自然就能對網(wǎng)絡(luò)中任意一層的通信數(shù)據(jù)進行選擇也能進行相關(guān)的保護，絕非像包過濾防火墻那類只對OSI體系結(jié)構(gòu)中網(wǎng)絡(luò)層的數(shù)據(jù)單一的過濾處理。然而此類防火墻也存在自身的缺點：一是各種應(yīng)用不一樣，應(yīng)用代理防火墻配置起來就顯得困難；二是對數(shù)據(jù)的處理性能差。

3.3 狀態(tài)檢測防火墻

基于狀態(tài)檢測的防火墻采用了狀態(tài)檢測包過濾的技術(shù)，保持了簡單的包過濾防火墻的優(yōu)點，并且在網(wǎng)絡(luò)通信中對數(shù)據(jù)包的狀態(tài)變化進行檢測，規(guī)范了網(wǎng)絡(luò)層和傳輸層的行為，提供了更安全的解決方案。

包過濾防火墻和應(yīng)用代理防火墻是通過對數(shù)據(jù)包的源地址、目的地址，源端口號、目的端口號[3]進行檢測來實現(xiàn)相應(yīng)的功能，而忽略了在傳輸過程中數(shù)據(jù)的連接狀態(tài)的變化也就是“三次握手”。而狀態(tài)檢測防火墻正是克服了這些不足，對數(shù)據(jù)包中的信息與防火墻規(guī)則做比較，如果沒有相應(yīng)規(guī)則允許，防火墻就會拒絕這次連接，當(dāng)然發(fā)現(xiàn)有一條規(guī)則允許，它就允許數(shù)據(jù)包外出并且在狀態(tài)表中新建一條會話，并記錄會話的狀態(tài)變化。從而可見，狀態(tài)檢測防火墻更有效的對數(shù)據(jù)進行了控制。

4 校園網(wǎng)絡(luò)防火墻的特征

（1）具備大量的用戶連接數(shù)量。目前各大高校的人數(shù)急劇增加，在這些高校中，雖然不是每人一臺計算機，但計算機數(shù)量也相當(dāng)可觀，再加上學(xué)校的各類機房，高校的網(wǎng)絡(luò)非常龐大。所以，硬件防火墻需要帶動數(shù)量眾多的計算機上網(wǎng)。現(xiàn)在市場上已經(jīng)有很多無人數(shù)限制的硬件防火墻，從根本上解決了這一問題。

（2）帶寬要足夠的大。由于硬件防火墻位于路由器的下一層，現(xiàn)在的校園網(wǎng)絡(luò)一般都采用了百兆或則千兆以上的網(wǎng)絡(luò)，所以我們需要連接高帶寬的硬件防火墻。

（3）具體超強的防攻擊能力。目前網(wǎng)絡(luò)黑客攻擊的主要手段有DOS(DDOS)攻擊，IP地址欺騙，特洛伊木馬，口令字攻擊，郵件詐騙等。這些攻擊方式不光來自外部網(wǎng)絡(luò)，也來自內(nèi)部網(wǎng)絡(luò)。適合于校園的硬件防火墻必須要具有防止這些外網(wǎng)和內(nèi)網(wǎng)攻擊的能力。硬件防火墻是由軟件和硬件組成，其中的軟件提供了升級功能，這樣就能幫助我們修補不斷發(fā)現(xiàn)的漏洞。

（4）完備的網(wǎng)絡(luò)監(jiān)控和控制功能。由于校園網(wǎng)絡(luò)內(nèi)部有訪問一些非法網(wǎng)站的事情發(fā)生，為了禁止訪問非法網(wǎng)站，防火墻不光需要有能夠防止內(nèi)網(wǎng)訪問非法的功能，還必須具有監(jiān)控網(wǎng)絡(luò)的功能，因為現(xiàn)在一些不良網(wǎng)站每天都有新的出現(xiàn)，只有通過監(jiān)控，才能根據(jù)相關(guān)信息屏蔽這些非法網(wǎng)站。

5 結(jié)束語

總之，要做到校園網(wǎng)絡(luò)安全，防火墻技術(shù)是校園網(wǎng)絡(luò)安全屏障之一，

選擇合適的校園網(wǎng)絡(luò)防火墻至關(guān)重要。但要確保網(wǎng)絡(luò)安全仍必須要從全方位著手，重點還要從管理和安全意識上下功夫。否則即使技術(shù)上再先進，也有可能因為人為的疏忽大意而造成資料丟失、泄密等。

[1]睢貴芳.防火墻技術(shù)及其在校園網(wǎng)絡(luò)安全中的應(yīng)用探究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用, 2019(02):57+66.

[2]王淑靜, 楊曉明.windows平臺的個人防火墻設(shè)計研究[J].數(shù)字技術(shù)與應(yīng)用, 2018,36(04):180+182.

[3]張瑩瑩.計算機網(wǎng)絡(luò)的防火墻技術(shù)方案[J/OL].電子技術(shù)與軟件工程, 2019(10):211.

[4]楊澤威, 蔣志興.計算機信息安全保密技術(shù)的思考[J].電子技術(shù)與軟件工程, 2019(03):205.