搜索

[21124] 2020-07-08_认识常见网络安全设备（一）

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-07-08_认识常见网络安全设备（一） 认 识 常 见 网 络 安 全 设 备 （ 一 ） L e m o n S e c   2 0 2 0 - 0 7 - 0 8 1 、 防 火 墙 定 义     防 火 墙 指 的 是 一 个 有 软 件 和 硬 件 设 备 组 合 而 成 、 在 内 部 网 和 外 部 网 之 间 、 专 用 网 与 公 共 网 之 间 的 界 面 上 构 造 的 保 护 屏 障 。 它 可 通 过 监 测 、 限 制 、 更 改 跨 越 防 火 墙 的 数 据 流 ， 尽 可 能 地 对 外 部 屏 蔽 网 络 内 部 的 信 息 、 结 构 和 运 行 状 况 ， 以 此 来 实 现 网 络 的 安 全 保 护 。 主 要 功 能 1 、 过 滤 进 、 出 网 络 的 数 据 2 、 防 止 不 安 全 的 协 议 和 服 务 3 、 管 理 进 、 出 网 络 的 访 问 行 为 4 、 记 录 通 过 防 火 墙 的 信 息 内 容 5 、 对 网 络 攻 击 进 行 检 测 与 警 告 6 、 防 止 外 部 对 内 部 网 络 信 息 的 获 取 7 、 提 供 与 外 部 连 接 的 集 中 管 理 主 要 类 型 1 、 网 络 层 防 火 墙 一 般 是 基 于 源 地 址 和 目 的 地 址 、 应 用 、 协 议 以 及 每 个 I P 包 的 端 口 来 作 出 通 过 与 否 的 判 断 。 防 火 墙 检 查 每 一 条 规 则 直 至 发 现 包 中 的 信 息 与 某 规 则 相 符 。 如 果 没 有 一 条 规 则 能 符 合 ， 防 火 墙 就 会 使 用 默 认 规 则 ， 一 般 情 况 下 ， 默 认 规 则 就 是 要 求 防 火 墙 丢 弃 该 包 ， 其 次 ， 通 过 定 义 基 于 T C P 或 U D P 数 据 包 的 端 口 号 ， 防 火 墙 能 够 判 断 是 否 允 许 建 立 特 定 的 连 接 ， 如 T e l n e t 、 F T P 连 接 。 2 、 应 用 层 防 火 墙     针 对 特 别 的 网 络 应 用 服 务 协 议 即 数 据 过 滤 协 议 ， 并 且 能 够 对 数 据 包 分 析 并 形 成 相 关 的 报 告 。 主 动 被 动 传 统 防 火 墙 是 主 动 安 全 的 概 念 ；   因 为 默 认 情 况 下 是 关 闭 所 有 的 访 问 ， 然 后 再 通 过 定 制 策 略 去 开 放 允 许 开 放 的 访 问 。 下 一 代 防 火 墙 （ N G F W ）   主 要 是 一 款 全 面 应 对 应 用 层 威 胁 的 高 性 能 防 火 墙 。 可 以 做 到 智 能 化 主 动 防 御 、 应 用 层 数 据 防 泄 漏 、 应 用 层 洞 察 与 控 制 、 威 胁 防 护 等 特 性 。     下 一 代 防 火 墙 在 一 台 设 备 里 面 集 成 了 传 统 防 火 墙 、 I P S 、 应 用 识 别 、 内 容 过 滤 等 功 能 既 降 低 了 整 体 网 络 安 全 系 统 的 采 购 投 入 ， 又 减 去 了 多 台 设 备 接 入 网 络 带 来 的 部 署 成 本 ， 还 通 过 应 用 识 别 和 用 户 管 理 等 技 术 降 低 了 管 理 人 员 的 维 护 和 管 理 成 本 。 使 用 方 式 防 火 墙 部 署 于 单 位 或 企 业 内 部 网 络 的 出 口 位 置 。 局 限 性 1 、 不 能 防 止 源 于 内 部 的 攻 击 ， 不 提 供 对 内 部 的 保 护 2 、 不 能 防 病 毒 3 、 不 能 根 据 网 络 被 恶 意 使 用 和 攻 击 的 情 况 动 态 调 整 自 己 的 策 略 本 身 的 防 攻 击 能 力 不 够 ， 容 易 成 为 被 攻 击 的 首 要 目 标 2 、 I D S （ 入 侵 检 测 系 统 ） 定 义   入 侵 检 测 即 通 过 从 网 络 系 统 中 的 若 干 关 键 节 点 收 集 并 分 析 信 息 ， 监 控 网 络 中 是 否 有 违 反 安 全 策 略 的 行 为 或 者 是 否 存 在 入 侵 行 为 。 入 侵 检 测 系 统 通 常 包 含 3 个 必 要 的 功 能 组 件 ： 信 息 来 源 、 分 析 引 擎 和 响 应 组 件 。
工 作 原 理 1 、 信 息 收 集     信 息 收 集 包 括 收 集 系 统 、 网 络 、 数 据 及 用 户 活 动 的 状 态 和 行 为 。 入 侵 检 测 利 用 的 信 息 一 般 来 自 ： 系 统 和 网 络 日 志 文 件 、 非 正 常 的 目 录 和 文 件 改 变 、 非 正 常 的 程 序 执 行 这 三 个 方 面 。 2 、 信 号 分 析     对 收 集 到 的 有 关 系 统 、 网 络 、 数 据 及 用 户 活 动 的 状 态 和 行 为 等 信 息 ， 是 通 过 模 式 匹 配 、 统 计 分 析 和 完 整 性 分 析 这 三 种 手 段 进 行 分 析 的 。 前 两 种 用 于 实 时 入 侵 检 测 ， 完 整 性 分 析 用 于 事 后 分 析 。 3 、 告 警 与 响 应     根 据 入 侵 性 质 和 类 型 ， 做 出 相 应 的 告 警 与 响 应 。 主 要 功 能 它 能 够 提 供 安 全 审 计 、 监 视 、 攻 击 识 别 和 反 攻 击 等 多 项 功 能 ， 对 内 部 攻 击 、 外 部 攻 击 和 误 操 作 进 行 实 时 监 控 ， 在 网 络 安 全 技 术 中 起 到 了 不 可 替 代 的 作 用 。 1 、 实 时 监 测 ： 实 时 地 监 视 、 分 析 网 络 中 所 有 的 数 据 报 文 ， 发 现 并 实 时 处 理 所 捕 获 的 数 据 报 文 ； 2 、 安 全 审 计 ： 对 系 统 记 录 的 网 络 事 件 进 行 统 计 分 析 ， 发 现 异 常 现 象 ， 得 出 系 统 的 安 全 状 态 ， 找 出 所 需 要 的 证 据     3 、 主 动 响 应 ： 主 动 切 断 连 接 或 与 防 火 墙 联 动 ， 调 用 其 他 程 序 处 理 。 主 要 类 型 1 、 基 于 主 机 的 入 侵 检 测 系 统 ( H I D S ) ： 基 于 主 机 的 入 侵 检 测 系 统 是 早 期 的 入 侵 检 测 系 统 结 构 ， 通 常 是 软 件 型 的 ， 直 接 安 装 在 需 要 保 护 的 主 机 上 。 其 检 测 的 目 标 主 要 是 主 机 系 统 和 系 统 本 地 用 户 ， 检 测 原 理 是 根 据 主 机 的 审 计 数 据 和 系 统 日 志 发 现 可 疑 事 件 。       这 种 检 测 方 式 的 优 点 主 要 有 ： 信 息 更 详 细 、 误 报 率 要 低 、 部 署 灵 活 。 这 种 方 式 的 缺 点 主 要 有 ： 会 降 低 应 用 系 统 的 性 能 ； 依 赖 于 服 务 器 原 有 的 日 志 与 监 视 能 力 ； 代 价 较 大 ； 不 能 对 网 络 进 行 监 测 ； 需 安 装 多 个 针 对 不 同 系 统 的 检 测 系 统 。     2 、 基 于 网 络 的 入 侵 检 测 系 统 ( N I D S ) ： 基 于 网 络 的 入 侵 检 测 方 式 是 目 前 一 种 比 较 主 流 的 监 测 方 式 ， 这 类 检 测 系 统 需 要 有 一 台 专 门 的 检 测 设 备 。 检 测 设 备 放 置 在 比 较 重 要 的 网 段 内 ， 不 停 地 监 视 网 段 中 的 各 种 数 据 包 ， 而 不 再 是 只 监 测 单 一 主 机 。 它 对 所 监 测 的 网 络 上 每 一 个 数 据 包 或 可 疑 的 数 据 包 进 行 特 征 分 析 ， 如 果 数 据 包 与 产 品 内 置 的 某 些 规 则 吻 合 ， 入 侵 检 测 系 统 就 会 发 出 警 报 ， 甚 至 直 接 切 断 网 络 连 接 。 目 前 ， 大 部 分 入 侵 检 测 产 品 是 基 于 网 络 的 。       这 种 检 测 技 术 的 优 点 主 要 有 ： 能 够 检 测 那 些 来 自 网 络 的 攻 击 和 超 过 授 权 的 非 法 访 问 ； 不 需 要 改 变 服 务 器 等 主 机 的 配 置 ， 也 不 会 影 响 主 机 性 能 ； 风 险 低 ； 配 置 简 单 。 其 缺 点 主 要 是 ： 成 本 高 、 检 测 范 围 受 局 限 ； 大 量 计 算 ， 影 响 系 统 性 能 ； 大 量 分 析 数 据 流 ， 影 响 系 统 性 能 ； 对 加 密 的 会 话 过 程 处 理 较 难 ； 网 络 流 速 高 时 可 能 会 丢 失 许 多 封 包 ， 容 易 让 入 侵 者 有 机 可 乘 ； 无 法 检 测 加 密 的 封 包 ； 对 于 直 接 对 主 机 的 入 侵 无 法 检 测 出 。 主 动 被 动   入 侵 检 测 系 统 是 一 种 对 网 络 传 输 进 行 即 时 监 视 ， 在 发 现 可 疑 传 输 时 发 出 警 报 或 者 采 取 主 动 反 应 措 施 的 网 络 安 全 设 备 。 绝 大 多 数   I D S   系 统 都 是 被 动 的 。 也 就 是 说 ， 在 攻 击 实 际 发 生 之 前 ， 它 们 往 往 无 法 预 先 发 出 警 报 。 使 用 方 式   作 为 防 火 墙 后 的 第 二 道 防 线 ， 适 于 以 旁 路 接 入 方 式 部 署 在 具 有 重 要 业 务 系 统 或 内 部 网 络 安 全 性 、 保 密 性 较 高 的 网 络 出 口 处 。 局 限 性     1 、 误 报 率 高 ： 主 要 表 现 为 把 良 性 流 量 误 认 为 恶 性 流 量 进 行 误 报 。 还 有 些 I D S 产 品 会 对 用 户 不 关 心 事 件 的 进 行 误 报 。     2 、 产 品 适 应 能 力 差 ： 传 统 的 I D S 产 品 在 开 发 时 没 有 考 虑 特 定 网 络 环 境 下 的 需 求 ， 适 应 能 力 差 。 入 侵 检 测 产 品 要 能 适 应 当 前 网 络 技 术 和 设 备 的 发 展 进 行 动 态 调 整 ， 以 适 应 不 同 环 境 的 需 求 。     3 、 大 型 网 络 管 理 能 力 差 ： 首 先 ， 要 确 保 新 的 产 品 体 系 结 构 能 够 支 持 数 以 百 计 的 I D S 传 感 器 ； 其 次 ， 要 能 够 处 理 传 感 器 产 生 的 告 警 事 件 ； 最 后 还 要 解 决 攻 击 特 征 库 的 建 立 ， 配 置 以 及 更 新 问 题 。     4 、 缺 少 防 御 功 能 ： 大 多 数 I D S 产 品 缺 乏 主 动 防 御 功 能 。     5 、 处 理 性 能 差 ： 目 前 的 百 兆 、 千 兆 I D S 产 品 性 能 指 标 与 实 际 要 求 还 存 在 很 大 的 差 距 。 3 、 I P S （ 入 侵 防 御 系 统 ） 定 义   入 侵 防 御 系 统 是 一 部 能 够 监 视 网 络 或 网 络 设 备 的 网 络 资 料 传 输 行 为 的 计 算 机 网 络 安 全 设 备 ， 能 够 即 时 的 中 断 、 调 整 或 隔 离 一 些 不 正 常 或 是 具 有 伤 害 性 的 网 络 资 料 传 输 行 为 。
产 生 背 景     1 、 串 行 部 署 的 防 火 墙 可 以 拦 截 低 层 攻 击 行 为 ， 但 对 应 用 层 的 深 层 攻 击 行 为 无 能 为 力 。     2 、 旁 路 部 署 的 I D S 可 以 及 时 发 现 那 些 穿 透 防 火 墙 的 深 层 攻 击 行 为 ， 作 为 防 火 墙 的 有 益 补 充 ， 但 很 可 惜 的 是 无 法 实 时 的 阻 断 。     3 、 I D S 和 防 火 墙 联 动 ： 通 过 I D S 来 发 现 ， 通 过 防 火 墙 来 阻 断 。 但 由 于 迄 今 为 止 没 有 统 一 的 接 口 规 范 ， 加 上 越 来 越 频 发 的 “ 瞬 间 攻 击 ” （ 一 个 会 话 就 可 以 达 成 攻 击 效 果 ， 如 S Q L 注 入 、 溢 出 攻 击 等 ） ， 使 得 I D S 与 防 火 墙 联 动 在 实 际 应 用 中 的 效 果 不 显 著 。 入 侵 检 测 系 统 （ 入 侵 检 测 系 统 （ I D S ） 对 那 些 异 常 的 、 可 能 是 入 侵 行 为 的 数 据 进 行 检 测 和 报 警 ， 告 知 使 用 者 网 络 中 ） 对 那 些 异 常 的 、 可 能 是 入 侵 行 为 的 数 据 进 行 检 测 和 报 警 ， 告 知 使 用 者 网 络 中 的 实 时 状 况 ， 并 提 供 相 应 的 解 决 、 处 理 方 法 ， 是 一 种 侧 重 于 风 险 管 理 的 安 全 产 品 。 的 实 时 状 况 ， 并 提 供 相 应 的 解 决 、 处 理 方 法 ， 是 一 种 侧 重 于 风 险 管 理 的 安 全 产 品 。 入 侵 防 御 系 统 （ 入 侵 防 御 系 统 （ I P S ） 对 那 些 被 明 确 判 断 为 攻 击 行 为 ， 会 对 网 络 、 数 据 造 成 危 害 的 恶 意 行 为 进 行 检 测 ） 对 那 些 被 明 确 判 断 为 攻 击 行 为 ， 会 对 网 络 、 数 据 造 成 危 害 的 恶 意 行 为 进 行 检 测 和 防 御 ， 降 低 或 是 减 免 使 用 者 对 异 常 状 况 的 处 理 资 源 开 销 ， 是 一 种 侧 重 于 风 险 控 制 的 安 全 产 品 。 和 防 御 ， 降 低 或 是 减 免 使 用 者 对 异 常 状 况 的 处 理 资 源 开 销 ， 是 一 种 侧 重 于 风 险 控 制 的 安 全 产 品 。     I D S 和 I P S 的 关 系 ， 并 非 取 代 和 互 斥 ， 而 是 相 互 协 作 ： 没 有 部 署 I D S 的 时 候 ， 只 能 是 凭 感 觉 判 断 ， 应 该 在 什 么 地 方 部 署 什 么 样 的 安 全 产 品 ， 通 过 I D S 的 广 泛 部 署 ， 了 解 了 网 络 的 当 前 实 时 状 况 ， 据 此 状 况 可 进 一 步 判 断 应 该 在 何 处 部 署 何 类 安 全 产 品 （ I P S 等 ） 。 功 能 1 、 入 侵 防 护 ： 实 时 、 主 动 拦 截 黑 客 攻 击 、 蠕 虫 、 网 络 病 毒 、 后 门 木 马 、 D o s 等 恶 意 流 量 ， 保 护 企 业 信 息 系 统 和 网 络 架 构 免 受 侵 害 ， 防 止 操 作 系 统 和 应 用 程 序 损 坏 或 宕 机 。 2 、 W e b 安 全 ： 基 于 互 联 网 W e b 站 点 的 挂 马 检 测 结 果 ， 结 合 U R L 信 誉 评 价 技 术 ， 保 护 用 户 在 访 问 被 植 入 木 马 等 恶 意 代 码 的 网 站 时 不 受 侵 害 ， 及 时 、 有 效 地 第 一 时 间 拦 截 W e b 威 胁 。 3 、 流 量 控 制 ： 阻 断 一 切 非 授 权 用 户 流 量 ， 管 理 合 法 网 络 资 源 的 利 用 ， 有 效 保 证 关 键 应 用 全 天 候 畅 通 无 阻 ， 通 过 保 护 关 键 应 用 带 宽 来 不 断 提 升 企 业 I T 产 出 率 和 收 益 率 。   4 、 上 网 监 管 ： 全 面 监 测 和 管 理 I M 即 时 通 讯 、 P 2 P 下 载 、 网 络 游 戏 、 在 线 视 频 ， 以 及 在 线 炒 股 等 网 络 行 为 ， 协 助 企 业 辨 识 和 限 制 非 授 权 网 络 流 量 ， 更 好 地 执 行 企 业 的 安 全 策 略 。 技 术 特 征 嵌 入 式 运 行 ： 只 有 以 嵌 入 模 式 运 行 的   I P S   设 备 才 能 够 实 现 实 时 的 安 全 防 护 ， 实 时 阻 拦 所 有 可 疑 的 数 据 包 ， 并 对 该 数 据 流 的 剩 余 部 分 进 行 拦 截 。 深 入 分 析 和 控 制 ： I P S 必 须 具 有 深 入 分 析 能 力 ， 以 确 定 哪 些 恶 意 流 量 已 经 被 拦 截 ， 根 据 攻 击 类 型 、 策 略 等 来 确 定 哪 些 流 量 应 该 被 拦 截 。 入 侵 特 征 库 ： 高 质 量 的 入 侵 特 征 库 是 I P S 高 效 运 行 的 必 要 条 件 ， I P S 还 应 该 定 期 升 级 入 侵 特 征 库 ， 并 快 速 应 用 到 所 有 传 感 器 。   高 效 处 理 能 力 ： I P S 必 须 具 有 高 效 处 理 数 据 包 的 能 力 ， 对 整 个 网 络 性 能 的 影 响 保 持 在 最 低 水 平 。 主 要 类 型 1 ． 基 于 特 征 的 I P S 这 是 许 多 I P S 解 决 方 案 中 最 常 用 的 方 法 。 把 特 征 添 加 到 设 备 中 ， 可 识 别 当 前 最 常 见 的 攻 击 。 也 被 称 为 模 式 匹 配 I P S 。 特 征 库 可 以 添 加 、 调 整 和 更 新 ， 以 应 对 新 的 攻 击 。 2 .   基 于 异 常 的 I P S 也 被 称 为 基 于 行 规 的 I P S 。 基 于 异 常 的 方 法 可 以 用 统 计 异 常 检 测 和 非 统 计 异 常 检 测 。 3 、 基 于 策 略 的 I P S ： 它 更 关 心 的 是 是 否 执 行 组 织 的 安 保 策 略 。 如 果 检 测 的 活 动 违 反 了 组 织 的 安 保 策 略 就 触 发 报 警 。 使 用 这 种 方 法 的 I P S ， 要 把 安 全 策 略 写 入 设 备 之 中 。 4 . 基 于 协 议 分 析 的 I P S   它 与 基 于 特 征 的 方 法 类 似 。 大 多 数 情 况 检 查 常 见 的 特 征 ， 但 基 于 协 议 分 析 的 方 法 可 以 做 更 深 入 的 数 据 包 检 查 ， 能 更 灵 活 地 发 现 某 些 类 型 的 攻 击 。 主 动 被 动     I P S 倾 向 于 提 供 主 动 防 护 ， 其 设 计 宗 旨 是 预 先 对 入 侵 活 动 和 攻 击 性 网 络 流 量 进 行 拦 截 ， 避 免 其 造 成 损 失 ， 而 不 是 简 单 地 在 恶 意 流 量 传 送 时 或 传 送 后 才 发 出 警 报 。 使 用 方 式   串 联 部 署 在 具 有 重 要 业 务 系 统 或 内 部 网 络 安 全 性 、 保 密 性 较 高 的 网 络 出 口 处 。 4 、 漏 洞 扫 描 设 备 定 义     漏 洞 扫 描 是 指 基 于 漏 洞 数 据 库 ， 通 过 扫 描 等 手 段 对 指 定 的 远 程 或 者 本 地 计 算 机 系 统 的 安 全 脆 弱 性 进 行 检 测 ， 发 现 可 利 用 的 漏 洞 的 一 种 安 全 检 测 （ 渗 透 攻 击 ） 行 为 。
主 要 功 能 可 以 对 网 站 、 系 统 、 数 据 库 、 端 口 、 应 用 软 件 等 一 些 网 络 设 备 应 用 进 行 智 能 识 别 扫 描 检 测 ， 并 对 其 检 测 出 的 漏 洞 进 行 报 警 提 示 管 理 人 员 进 行 修 复 。 同 时 可 以 对 漏 洞 修 复 情 况 进 行 监 督 并 自 动 定 时 对 漏 洞 进 行 审 计 提 高 漏 洞 修 复 效 率 。 1 、 定 期 的 网 络 安 全 自 我 检 测 、 评 估 安 全 检 测 可 帮 助 客 户 最 大 可 能 的 消 除 安 全 隐 患 ， 尽 可 能 早 地 发 现 安 全 漏 洞 并 进 行 修 补 ， 有 效 的 利 用 已 有 系 统 ， 提 高 网 络 的 运 行 效 率 。 2 、 安 装 新 软 件 、 启 动 新 服 务 后 的 检 查 由 于 漏 洞 和 安 全 隐 患 的 形 式 多 种 多 样 ， 安 装 新 软 件 和 启 动 新 服 务 都 有 可 能 使 原 来 隐 藏 的 漏 洞 暴 露 出 来 ， 因 此 进 行 这 些 操 作 之 后 应 该 重 新 扫 描 系 统 ， 才 能 使 安 全 得 到 保 障 。       3 、 网 络 承 担 重 要 任 务 前 的 安 全 性 测 试 4 、 网 络 安 全 事 故 后 的 分 析 调 查 网 络 安 全 事 故 后 可 以 通 过 网 络 漏 洞 扫 描 / 网 络 评 估 系 统 分 析 确 定 网 络 被 攻 击 的 漏 洞 所 在 ， 帮 助 弥 补 漏 洞 ， 尽 可 能 多 得 提 供 资 料 方 便 调 查 攻 击 的 来 源 。 5 、 重 大 网 络 安 全 事 件 前 的 准 备 重 大 网 络 安 全 事 件 前 网 络 漏 洞 扫 描 / 网 络 评 估 系 统 能 够 帮 助 用 户 及 时 的 找 出 网 络 中 存 在 的 隐 患 和 漏 洞 ， 帮 助 用 户 及 时 的 弥 补 漏 洞 。 主 要 技 术 1 .   主 机 扫 描 ： 确 定 在 目 标 网 络 上 的 主 机 是 否 在 线 。 2 .   端 口 扫 描 ： 发 现 远 程 主 机 开 放 的 端 口 以 及 服 务 。 3 .   O S 识 别 技 术 : 根 据 信 息 和 协 议 栈 判 别 操 作 系 统 。 4 .   漏 洞 检 测 数 据 采 集 技 术 ： 按 照 网 络 、 系 统 、 数 据 库 进 行 扫 描 。 5 . 智 能 端 口 识 别 、 多 重 服 务 检 测 、 安 全 优 化 扫 描 、 系 统 渗 透 扫 描 6 . 多 种 数 据 库 自 动 化 检 查 技 术 ， 数 据 库 实 例 发 现 技 术 ； 主 要 类 型     1 . 针 对 网 络 的 扫 描 器 ： 基 于 网 络 的 扫 描 器 就 是 通 过 网 络 来 扫 描 远 程 计 算 机 中 的 漏 洞 。 价 格 相 对 来 说 比 较 便 宜 ； 在 操 作 过 程 中 ， 不 需 要 涉 及 到 目 标 系 统 的 管 理 员 ， 在 检 测 过 程 中 不 需 要 在 目 标 系 统 上 安 装 任 何 东 西 ； 维 护 简 便 。     2 . 针 对 主 机 的 扫 描 器 ： 基 于 主 机 的 扫 描 器 则 是 在 目 标 系 统 上 安 装 了 一 个 代 理 或 者 是 服 务 ， 以 便 能 够 访 问 所 有 的 文 件 与 进 程 ， 这 也 使 得 基 于 主 机 的 扫 描 器 能 够 扫 描 到 更 多 的 漏 洞 。   3 . 针 对 数 据 库 的 扫 描 器 ： 数 据 库 漏 扫 可 以 检 测 出 数 据 库 的 D B M S 漏 洞 、 缺 省 配 置 、 权 限 提 升 漏 洞 、 缓 冲 区 溢 出 、 补 丁 未 升 级 等 自 身 漏 洞 。 使 用 方 式 1 、 独 立 式 部 署 ： 在 网 络 中 只 部 署 一 台 漏 扫 设 备 ， 接 入 网 络 并 进 行 正 确 的 配 置 即 可 正 常 使 用 ， 其 工 作 范 围 通 常 包 含 用 户 企 业 的 整 个 网 络 地 址 。 用 户 可 以 从 任 意 地 址 登 录 漏 扫 系 统 并 下 达 扫 描 评 估 任 务 ， 检 查 任 务 的 地 址 必 须 在 产 品 和 分 配 给 此 用 户 的 授 权 范 围 内 。 2 、 多 级 式 部 署 ：   对 于 一 些 大 规 模 和 分 布 式 网 络 用 户 ， 建 议 使 用 分 布 式 部 署 方 式 。 在 大 型 网 络 中 采 用 多 台 漏 扫 系 统 共 同 工 作 ， 可 对 各 系 统 间 的 数 据 共 享 并 汇 总 ， 方 便 用 户 对 分 布 式 网 络 进 行 集 中 管 理 。 优 缺 点 1 、 优 点     有 利 于 及 早 发 现 问 题 ， 并 从 根 本 上 解 决 安 全 隐 患 。 2 、 不 足     只 能 针 对 已 知 安 全 问 题 进 行 扫 描 ； 准 确 性 和 指 导 性 有 待 改 善 。 5 、 安 全 隔 离 网 闸 定 义   安 全 隔 离 网 闸 是 使 用 带 有 多 种 控 制 功 能 的 固 态 开 关 读 写 介 质 连 接 两 个 独 立 网 络 系 统 的 信 息 安 全 设 备 。 由 于 物 理 隔 离 网 闸 所 连 接 的 两 个 独 立 网 络 系 统 之 间 ， 不 存 在 通 信 的 物 理 连 接 、 逻 辑 连 接 、 信 息 传 输 命 令 、 信 息 传 输 协 议 ， 不 存 在 依 据 协 议 的 信 息 包 转 发 ， 只 有 数 据 文 件 的 无 协 议 “ 摆 渡 ” ， 且 对 固 态 存 储 介 质 只 有 “ 读 ” 和 “ 写 ” 两 个 命 令 。 所 以 ， 物 理 隔 离 网 闸 从 物 理 上 隔 离 、 阻 断 了 具 有 潜 在 攻 击 可 能 的 一 切 连 接 ， 使 “ 黑 客 ” 无 法 入 侵 、 无 法 攻 击 、 无 法 破 坏 ， 实 现 了 真 正 的 安 全 。 功 能 模 块 安 全 隔 离 闸 门 的 功 能 模 块 有 ：     安 全 隔 离 、 内 核 防 护 、 协 议 转 换 、 病 毒 查 杀 、 访 问 控 制 、 安 全 审 计 、 身 份 认 证
主 要 功 能 1 、 阻 断 网 络 的 直 接 物 理 连 接 ： 物 理 隔 离 网 闸 在 任 何 时 刻 都 只 能 与 非 可 信 网 络 和 可 信 网 络 上 之 一 相 连 接 ， 而 不 能 同 时 与 两 个 网 络 连 接 ； 2 、 阻 断 网 络 的 逻 辑 连 接 ： 物 理 隔 离 网 闸 不 依 赖 操 作 系 统 、 不 支 持 T C P / I P 协 议 。 两 个 网 络 之 间 的 信 息 交 换 必 须 将 T C P / I P 协 议 剥 离 ， 将 原 始 数 据 通 过 P 2 P 的 非 T C P / I P 连 接 方 式 ， 通 过 存 储 介 质 的 “ 写 入 ” 与 “ 读 出 ” 完 成 数 据 转 发 ； 3 、 安 全 审 查 ： 物 理 隔 离 网 闸 具 有 安 全 审 查 功 能 ， 即 网 络 在 将 原 始 数 据 “ 写 入 ” 物 理 隔 离 网 闸 前 ， 根 据 需 要 对 原 始 数 据 的 安 全 性 进 行 检 查 ， 把 可 能 的 病 毒 代 码 、 恶 意 攻 击 代 码 消 灭 干 净 等 ； 4 、 原 始 数 据 无 危 害 性 ： 物 理 隔 离 网 闸 转 发 的 原 始 数 据 ， 不 具 有 攻 击 或 对 网 络 安 全 有 害 的 特 性 。 就 像 t x t 文 本 不 会 有 病 毒 一 样 ， 也 不 会 执 行 命 令 等 。 5 、 管 理 和 控 制 功 能 ： 建 立 完 善 的 日 志 系 统 。 6 、 根 据 需 要 建 立 数 据 特 征 库 ： 在 应 用 初 始 化 阶 段 ， 结 合 应 用 要 求 ， 提 取 应 用 数 据 的 特 征 ， 形 成 用 户 特 有 的 数 据 特 征 库 ， 作 为 运 行 过 程 中 数 据 校 验 的 基 础 。 当 用 户 请 求 时 ， 提 取 用 户 的 应 用 数 据 ， 抽 取 数 据 特 征 和 原 始 数 据 特 征 库 比 较 ， 符 合 原 始 特 征 库 的 数 据 请 求 进 入 请 求 队 列 ， 不 符 合 的 返 回 用 户 ， 实 现 对 数 据 的 过 滤 。 7 、 根 据 需 要 提 供 定 制 安 全 策 略 和 传 输 策 略 的 功 能 ： 用 户 可 以 自 行 设 定 数 据 的 传 输 策 略 ， 如 ： 传 输 单 位 （ 基 于 数 据 还 是 基 于 任 务 ） 、 传 输 间 隔 、 传 输 方 向 、 传 输 时 间 、 启 动 时 间 等 。     8 、 支 持 定 时 / 实 时 文 件 交 换 ； 支 持 支 持 单 向 / 双 向 文 件 交 换 ； 支 持 数 字 签 名 、 内 容 过 滤 、 病 毒 检 查 等 功 能 。 工 作 原 理 安 全 隔 离 网 闸 的 组 成 ： 安 全 隔 离 网 闸 是 实 现 两 个 相 互 业 务 隔 离 的 网 络 之 间 的 数 据 交 换 ， 通 用 的 网 闸 模 型 设 计 一 般 分 三 个 基 本 部 分 ： 1 、   内 网 处 理 单 元 ： 包 括 内 网 接 口 单 元 与 内 网 数 据 缓 冲 区 。 接 口 部 分 负 责 与 内 网 的 连 接 ， 并 终 止 内 网 用 户 的 网 络 连 接 ， 对 数 据 进 行 病 毒 检 测 、 防 火 墙 、 入 侵 防 护 等 安 全 检 测 后 剥 离 出 “ 纯 数 据 ” ， 作 好 交 换 的 准 备 ， 也 完 成 来 自 内 网 对 用 户 身 份 的 确 认 ， 确 保 数 据 的 安 全 通 道 ； 数 据 缓 冲 区 是 存 放 并 调 度 剥 离 后 的 数 据 ， 负 责 与 隔 离 交 换 单 元 的 数 据 交 换 。 2 、   外 网 处 理 单 元 ： 与 内 网 处 理 单 元 功 能 相 同 ， 但 处 理 的 是 外 网 连 接 。 3 、   隔 离 与 交 换 控 制 单 元 （ 隔 离 硬 件 ） ： 是 网 闸 隔 离 控 制 的 摆 渡 控 制 ， 控 制 交 换 通 道 的 开 启 与 关 闭 。 控 制 单 元 中 包 含 一 个 数 据 交 换 区 ， 就 是 数 据 交 换 中 的 摆 渡 船 。 对 交 换 通 道 的 控 制 的 方 式 目 前 有 两 种 技 术 ， 摆 渡 开 关 与 通 道 控 制 。 摆 渡 开 关 是 电 子 倒 换 开 关 ， 让 数 据 交 换 区 与 内 外 网 在 任 意 时 刻 的 不 同 时 连 接 ， 形 成 空 间 间 隔 G A P ， 实 现 物 理 隔 离 。 通 道 方 式 是 在 内 外 网 之 间 改 变 通 讯 模 式 ， 中 断 了 内 外 网 的 直 接 连 接 ， 采 用 私 密 的 通 讯 手 段 形 成 内 外 网 的 物 理 隔 离 。 该 单 元 中 有 一 个 数 据 交 换 区 ， 作 为 交 换 数 据 的 中 转 。 其 中 ， 三 个 单 元 都 要 求 其 软 件 的 操 作 系 统 是 安 全 的 ， 也 就 是 采 用 非 通 用 的 操 作 系 统 ， 或 改 造 后 的 专 用 操 作 系 统 。 一 般 为 U n i x   B S D 或 L i n u x 的 经 安 全 精 简 版 本 ， 或 者 其 他 是 嵌 入 式 操 作 系 统 等 ， 但 都 要 对 底 层 不 需 要 的 协 议 、 服 务 删 除 ， 使 用 的 协 议 优 化 改 造 ， 增 加 安 全 特 性 ， 同 时 提 高 效 率 。     如 果 针 对 网 络 七 层 协 议 ， 安 全 隔 离 网 闸 是 在 硬 件 链 路 层 上 断 开 。 区 别 比 较 1 、 与 物 理 隔 离 卡 的 区 别 安 全 隔 离 网 闸 与 物 理 隔 离 卡 最 主 要 的 区 别 是 ， 安 全 隔 离 网 闸 能 够 实 现 两 个 网 络 间 的 自 动 的 安 全 适 度 的 信 息 交 换 ， 而 物 理 隔 离 卡 只 能 提 供 一 台 计 算 机 在 两 个 网 之 间 切 换 ， 并 且 需 要 手 动 操 作 ， 大 部 分 的 隔 离 卡 还 要 求 系 统 重 新 启 动 以 便 切 换 硬 盘 。 2 、 网 络 交 换 信 息 的 区 别 安 全 隔 离 网 闸 在 网 络 间 进 行 的 安 全 适 度 的 信 息 交 换 是 在 网 络 之 间 不 存 在 链 路 层 连 接 的 情 况 下 进 行 的 。 安 全 隔 离 网 闸 直 接 处 理 网 络 间 的 应 用 层 数 据 ， 利 用 存 储 转 发 的 方 法 进 行 应 用 数 据 的 交 换 ， 在 交 换 的 同 时 ， 对 应 用 数 据 进 行 的 各 种 安 全 检 查 。 路 由 器 、 交 换 机 则 保 持 链 路 层 畅 通 ， 在 链 路 层 之 上 进 行 I P 包 等 网 络 层 数 据 的 直 接 转 发 ， 没 有 考 虑 网 络 安 全 和 数 据 安 全 的 问 题 。 3 、 与 防 火 墙 的 区 别     防 火 墙 一 般 在 进 行 I P 包 转 发 的 同 时 ， 通 过 对 I P 包 的 处 理 ， 实 现 对 T C P 会 话 的 控 制 ， 但 是 对 应 用 数 据 的 内 容 不 进 行 检 查 。 这 种 工 作 方 式 无 法 防 止 泄 密 ， 也 无 法 防 止 病 毒 和 黑 客 程 序 的 攻 击 。 使 用 方 式 1 、 涉 密 网 与 非 涉 密 网 之 间 2 、 局 域 网 与 互 联 网 之 间 （ 内 网 与 外 网 之 间 ） 3 、 办 公 网 与 业 务 网 之 间 4 、 业 务 网 与 互 联 网 之 间   没 有 专 业 运 营 团 队 ， 纯 个 人 凭 着 空 闲 时 间 的 学 习 ， 通 过 网 络 搜 集 与 学 习 整 理 的 资 料 记 录 并 分 享 。     如 果 觉 得 文 章 对 你 有 帮 助 ， 请 支 持 下 点 击 右 下 角 “ 在 看 ” 原 文 链 接 ： h t t p s : / / w e n k u . b a i d u . c o m / v i e w / 2 b 5 5 4 0 c c a 3 2 d 7 3 7 5 a 5 1 7 8 0 6 a . h t m l

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理