对付黑客的常规武器——防火墙

据公安部的资料，1998年中国共破获电脑黑客案件近百起，利用计算机网络进行的各类违法行为在中国以每年30％的速度递增。有媒介报道，中国95％的与Internet相连的网络管理中心都遭到过黑客的攻击或侵入，其中银行、金融和证券机构是黑客攻击的重点。 　　随着网络犯罪的递增，网络防火墙开始受人关注。在此，笔着向大家介绍一下“防火墙”的基本知识。 　　防火墙是什么? 　　所谓“防火墙”，是指一种将内部网和公众访问网(Internet)分开的方法，实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、拷贝、毁坏你的重要信息。 　　防火墙的安全技术分析 　　防火墙对网络的安全起到了一定的保护作用，但并非万无一失。通过对防火墙的基本原理和实现方式进行分析和研究，笔者对防火墙的安全性有如下几点认识。 　　1、正确选用、合理配置防火墙非常不容易 　　防火墙作为网络安全的一种防护手段，有多种实现方式。建立合理的防护系统，配置有效的防火墙应遵循这样四个基本步骤：(1)风险分析；(2)需求分析；(3)确立安全政策；(4)选择准确的防护手段，并使之与安全政策保持一致。然而，多数防火墙的设立没有或很少进行充分的风险分析和需求分析，而只是根据不很完备的安全政策选择了一种似乎能“满足”需要的防火墙，这样的防火墙能否“防火”还是个问题。 　　2、需要正确评估防火墙的失效状态 　　评价防火墙性能如何及能否起到安全防护作用，不仅要看它工作是否正常，能否阻挡或捕捉到恶意攻击和非法访问的蛛丝马迹，而且要看到一旦防火墙被攻破，它的状态如何? 按级别来分，有四种状态：(1)未受伤害能够继续正常工作；(2)关闭并重新启动，同时恢复到正常工作状态；(3)关闭并禁止所有的数据通行；(4)关闭并允许所有的数据通行。前两种状态比较理想，而第四种最不安全。但是许多防火墙由于没有条件进行失效状态测试和验证，无法确定其失效状态等级，因此网络必然存在安全隐患。 　　3、防火墙必须进行动态维护 　　防火墙安装和投入使用后，并非万事大吉。要想充分发挥它的安全防护作用，必须对它进行跟踪和维护，要与商家保持密切的联系，时刻注视商家的动态。因为商家一旦发现其产品存在安全漏洞，就会尽快发布补救(Patch) 产品，此时应尽快确认真伪(防止特洛伊木马等病毒)，并对防火墙进行更新。 　　4、目前很难对防火墙进行测试验证 　　防火墙能否起到防护作用，最根本、最有效的证明方法是对其进行测试，甚至站在“黑客”的角度采用各种手段对防火墙进行攻击。然而具体执行时难度较大： 　　(1)防火墙性能测试目前还是一种很新的技术，尚无正式出版刊物，可用的工具和软件更是寥寥无几。目前只有美国ISS公司提供防火墙性能测试的工具软件。 　　(2)防火墙测试技术尚不先进，与防火墙设计并非完全吻合，使得测试工作难以达到既定的效果。 　　(3)选择“谁”进行公正的测试也是一个问题。 　　可见，防火墙的性能测试决不是一件简单的事情，但这种测试又相当必要。 　　5、非法攻击防火墙的基本“招数” 　　(1)通常情况下，有效的攻击都是从相关的子网进行的。因为这些网址得到了防火墙的信赖，虽说成功与否尚取决于机遇等因素，但对攻击者而言很值得一试。 　　(2)破坏防火墙的另一种方式是攻击与干扰相结合。也就是在攻击期间使防火墙始终处于繁忙的状态。防火墙过分的繁忙有时会导致它忘记履行安全防护的职能，处于失效状态。 　　(3)需要特别注意的是，防火墙也可能被内部攻击。因为安装了防火墙后，随意访问被严格禁止了， 这样内部人员无法在闲暇的时间通过Telnet浏览邮件或使用FTP向外发送信息，个别人会对防火墙不满进而可能攻击它、破坏它，期望回到从前的状态。这里，攻击的目标常常是防火墙或防火墙运行的操作系统，因此不仅涉及网络安全，还涉及主机安全问题。 　　以上分析表明，防火墙的安全防护性能依赖的因素很多，防火墙并非万能。 　　目前大多数防火墙都是基于路由器的数据包分组过滤类型，防护能力差，存在各种网络外部或网络内部攻击防火墙的技术手段。 　　防火墙的基本类型 　　实现防火墙的技术包括四大类： 　　1、网络级防火墙 　　一般是基于源地址和目的地址、应用或协议以及每个IP包的端口来作出通过与否的判断。一个路由器便是一个“传统”的网络级防火墙，大多数的路由器都能通过检查这些信息来决定是否将所收到的包转发，但它不能判断出一个IP包来自何方，去向何处。 　　先进的网络级防火墙可以判断这一点，它可以提供内部信息以说明所通过的连接状态和一些数据流的内容，把判断的信息同规则表进行比较，在规则表中定义了各种规则来表明是否同意或拒绝包的通过。包过滤防火墙检查每一条规则直至发现包中的信息与某规则相符。如果没有一条规则能符合，防火墙就会使用默认规则，一般情况下，默认规则就是要求防火墙丢弃该包。其次，通过定义基于TCP或UDP数据包的端口号，防火墙能够判断是否允许建立特定的连接，如Telnet、FTP连接。 　　下面是某一网络级防火墙的访问控制规则： 　　(1)允许网络123.1.0使用FTP(21口)访问主机150.0.0.1； 　　(2) 允许IP地址为202.103.1.18和202.103.1.14的用户Telnet (23口) 到主机150.0.0.2上； 　　(3)允许任何地址的E－mail(25口)进入主机150.0.0.3； 　　(4)允许任何WWW数据（80口）通过； 　　(5)不允许其他数据包进入。 　　网络级防火墙简洁、速度快、费用低，并且对用户透明，但是对网络的保护很有限，因为它只检查地址和端口，对网络更高协议层的信息无理解能力。 　　2、应用级网关 　　应用级网关能够检查进出的数据包，通过网关复制传递数据，防止在受信任服务器和客户机与不受信任的主机间直接建立联系。应用级网关能够理解应用层上的协议，能够做复杂一些的访问控制，并做精细的注册。但每一种协议需要相应的代理软件，使用时工作量大，效率不如网络级防火墙。 　　常用的应用级防火墙已有了相应的代理服务器， 例如： HTTP、 NNTP、 FTP、Telnet、rlogin、X－Window等，但是，对于新开发的应用，尚没有相应的代理服务，它们将通过网络级防火墙和一般的代理服务。 　　应用级网关有较好的访问控制，是目前最安全的防火墙技术，但实现困难，而且有的应用级网关缺乏“透明度”。在实际使用中，用户在受信任的网络上通过防火墙访问Internet时， 经常会发现存在延迟并且必须进行多次登录(Login)才能访问Internet或Intranet。 　　3、电路级网关 　　电路级网关用来监控受信任的客户或服务器与不受信任的主机间的TCP握手信息,这样来决定该会话(Session) 是否合法,电路级网关是在OSI模型中会话层上来过滤数据包,这样比包过滤防火墙要高两层。 　　实际上电路级网关并非作为一个独立的产品存在，它与其他的应用级网关结合在一起， 如Trust Information Systems公司的Gauntlet Internet Firewall； DEC公司的Alta Vista Firewall等产品。 另外，电路级网关还提供一个重要的安全功能：代理服务器（Proxy Server） ，代理服务器是个防火墙，在其上运行一个叫做“地址转移”的进程，来将所有你公司内部的IP地址映射到一个“安全”的IP地址，这个地址是由防火墙使用的。但是，作为电路级网关也存在着一些缺陷，因为该网关是在会话层工作的，它就无法检查应用层级的数据包。 　　4、规则检查防火墙 　　该防火墙结合了包过滤防火墙、电路级网关和应用级网关的特点。它同包过滤防火墙一样， 规则检查防火墙能够在OSI网络层上通过IP地址和端口号，过滤进出的数据包。它也像电路级网关一样，能够检查SYN和ACK标记和序列数字是否逻辑有序。当然它也像应用级网关一样， 可以在OSI应用层上检查数据包的内容，查看这些内容是否能符合公司网络的安全规则。 　　规则检查防火墙虽然集成前三者的特点，但是不同于一个应用级网关，它并不打破客户机/服务机模式来分析应用层的数据，它允许受信任的客户机和不受信任的主机建立直接连接。规则检查防火墙不依靠与应用层有关的代理，而是依靠某种算法来识别进出的应用层数据，这些算法通过已知合法数据包的模式来比较进出数据包，这样从理论上就能比应用级代理在过滤数据包上更有效。 　　目前在市场上流行的防火墙大多属于规则检查防火墙，因为该防火墙对于用户透明， 在OSI最高层上加密数据，不需要你去修改客户端的程序，也不需对每个需要在防火墙上运行的服务额外增加一个代理。如现在最流行的防火墙之一On Technology软件公司生产的On Guard和Check Point软件公司生产的Fire Wall－1防火墙都是一种规则检查防火墙。 　　从趋势上看，未来的防火墙将位于网络级防火墙和应用级防火墙之间。也就是说，网络级防火墙将变得更加能够识别通过的信息，而应用级防火墙在目前的功能上则向“透明”、“低级”方面发展。最终防火墙将成为一个快速注册核查系统，可保护数据以加密方式通过，使所有组织可以放心地在节点间传送数据。 　　防火墙的配置 　　防火墙配置有三种：Dual－homed方式、Screened－host方式和Screened－subnet方式。 Dual－homed方式最简单。 Dual－homed Gateway放置在两个网络之间，这个Dual－homed Gateway又称为Bastionhost。 这种结构成本低，但是这种结构没有增加网络安全的自我防卫能力，而它往往是受“黑客”攻击的首选目标，它自己一旦被攻破，整个网络也就暴露了。 　　Screened－host方式中的Screeningrouter为保护Bastionhost的安全建立了一道 屏障。它将所有进入的信息先送往Bastionhost，并且只接受来自Bastionhost的数据作为出去的数据。这种结构依赖Screeningrouter和Bastionhost，只要有一个失败，整个网络就暴露了。 　　Screened－subnet包含两个Screeningrouter和两个Bastionhost。 在公共网络和私有网络之间构成了一个隔离网， 称之为“停火区”（DMZ，即DemilitarizedZone）,Bastionhost放置在“停火区”内。这种结构安全性好，只有当两个安全单元被破坏后，网络才被暴露，但是成本也很昂贵。 　　防火墙的安全措施 　　各种防火墙的安全性能不尽相同。这里仅介绍一些一般防火墙的常用安全措施。 　　1、防电子欺骗术 　　防电子欺骗术功能是保证数据包的IP地址与网关接口相符，防止通过修改IP地址的方法进行非授权访问，对可疑信息进行鉴别，并向网络管理员报警。 　　2、网络地址转移 　　地址转移是对Internet隐藏内部地址，防止内部地址公开。这一功能可以克服IP寻址方式的诸多限制，完善内部寻址模式。把未注册IP地址映射成合法地址，就可以对Internet进行访问。 　　3、开放式结构设计 　　开放式结构设计使得防火墙与相关应用程序和外部用户数据库的连接相当容易，典型的应用程序连接如财务软件包、病毒扫描、登录分析等。 　　4、路由器安全管理程序 　　它为路由器提供集中管理和访问列表控制。 　　结束语 　　防火墙技术的致命弱点在于数据在防火墙之间的更新是一个难题，如果延迟太大将无法支持实时服务请求。额外的管理负担是另外一个弱点。此外，防火墙采用滤波技术， 滤波通常使网络的性能降低50％以上，如果为了改善网络性能而购置高速路由器，又会大大提高经济预算。 　　在理想情况下，一个好的防火墙应该能把各种安全问题在发生之前解决。就现实情况看，这还是个遥远的梦想。目前我们还只能在各种利弊之间“走钢丝”。 　　摘自《赛迪网》　吴会松/文