摘 要: 介紹了防火墻的概念、原理、分類及比較，指出傳統(tǒng)防火墻存在的不足之處，提出了一種新型防火墻系統(tǒng)—嵌入式防火墻系統(tǒng)，最后對防火墻的發(fā)展作了前景展望。
關(guān)鍵詞: 互聯(lián)網(wǎng) 防火墻? 網(wǎng)絡(luò)安全? 包過濾? 嵌入式防火墻系統(tǒng)
國際互聯(lián)網(wǎng)(Internet)的迅速發(fā)展，為信息共享提供了一條全球性的高速通道，同時也為各種新興娛樂方式、商業(yè)形式的形成和發(fā)展創(chuàng)造了有利條件。然而不幸的是，由于目前采用的TCP/IP協(xié)議族潛在著安全漏洞以及安全機制不健全，Internet網(wǎng)上的黑客趁機而入，非法進入企業(yè)的內(nèi)部網(wǎng)并存取、破壞、竊聽數(shù)據(jù)。因此，如何保護企業(yè)內(nèi)部網(wǎng)絡(luò)中的資源及信息不受外部攻擊者肆意破壞或盜竊，是企業(yè)網(wǎng)絡(luò)安全需要解決的重要問題。
防火墻就是保護網(wǎng)絡(luò)安全最主要的手段之一，它是設(shè)置在被保護網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的一道屏障，以防止不可預(yù)測的、潛在破壞的非法入侵。它通過監(jiān)測、限制、修改跨越防火墻的數(shù)據(jù)流，盡可能地對外屏蔽網(wǎng)絡(luò)內(nèi)部的結(jié)構(gòu)、信息和運行情況，以此來實現(xiàn)內(nèi)部網(wǎng)絡(luò)的安全保護。
1 防火墻的概念、原理
防火墻是在內(nèi)部網(wǎng)和外部網(wǎng)之間實施安全防范的系統(tǒng)?？烧J為它是一種訪問控制機制，用于確定哪些內(nèi)部服務(wù)允許外部訪問，以及允許哪些外部服務(wù)訪問內(nèi)部服務(wù)。它可以根據(jù)網(wǎng)絡(luò)傳輸?shù)念愋蜎Q定IP包是否可以傳進或傳出企業(yè)網(wǎng)。防止非授權(quán)用戶訪問企業(yè)內(nèi)部、允許使用授權(quán)機器的用戶遠程訪問企業(yè)內(nèi)部、管理企業(yè)內(nèi)部人員對Internet的訪問。防火墻的組成可用表達式說明如下：
防火墻＝過濾器＋安全策略(網(wǎng)關(guān))
防火墻通過逐一審查收到的每個數(shù)據(jù)包，判斷它是否有相匹配的過濾規(guī)則(用表格的形式表示，包括Match，Action，Trace，Target四個條件項)。即按表格中規(guī)則的先后順序以及每條規(guī)則的條件項進行比較，直到滿足某一條規(guī)則的條件，并作出規(guī)定的動作(停下或向前轉(zhuǎn)發(fā))，從而來保護網(wǎng)絡(luò)的安全。
2 防火墻的分類及比較
防火墻一般可以分為以下幾種：包過濾型防火墻、電路級網(wǎng)關(guān)型防火墻、應(yīng)用網(wǎng)關(guān)型防火墻、代理服務(wù)型防火墻、狀態(tài)檢測型防火墻、自適應(yīng)代理型防火墻。下面分析各種防火墻的優(yōu)缺點。
包過濾型防火墻? 它是在網(wǎng)絡(luò)層對數(shù)據(jù)包進行分析、選擇，選擇的依據(jù)是系統(tǒng)內(nèi)設(shè)置的過濾邏輯，也可稱之為訪問控制表。通過檢查數(shù)據(jù)流中每一個數(shù)據(jù)包的源地址、目的地址、所用端口、協(xié)議狀態(tài)等因素，或它們的組合來確定是否允許該數(shù)據(jù)包通過。它的優(yōu)點是：邏輯簡單，成本低，易于安裝和使用，網(wǎng)絡(luò)性能和透明性好，通常安裝在路由器上。缺點是：很難準確地設(shè)置包過濾器，缺乏用戶級的授權(quán)；包過濾判別的條件位于數(shù)據(jù)包的頭部，由于IPV4的不安全性，很可能被假冒或竊??；是基于網(wǎng)絡(luò)層的安全技術(shù)，不能檢測通過高層協(xié)議而實施的攻擊。
電路級網(wǎng)關(guān)型防火墻? 它起著一定的代理服務(wù)作用，監(jiān)視兩主機建立連接時的握手信息，判斷該會話請求是否合法。一旦會話連接有效后，該網(wǎng)關(guān)僅復(fù)制、傳遞數(shù)據(jù)。它在IP層代理各種高層會話，具有隱藏內(nèi)部網(wǎng)絡(luò)信息的能力，且透明性高。但由于其對會話建立后所傳輸?shù)木唧w內(nèi)容不再作進一步地分析，因此安全性低。
應(yīng)用網(wǎng)關(guān)型防火墻? 它是在應(yīng)用層上實現(xiàn)協(xié)議過濾和轉(zhuǎn)發(fā)功能，針對特別的網(wǎng)絡(luò)應(yīng)用協(xié)議制定數(shù)據(jù)過濾邏輯。應(yīng)用網(wǎng)關(guān)通常安裝在專用工作站系統(tǒng)上。由于它工作于應(yīng)用層，因此具有高層應(yīng)用數(shù)據(jù)或協(xié)議的理解能力，可以動態(tài)地修改過濾邏輯，提供記錄、統(tǒng)計信息。它和包過濾型防火墻有一個共同特點，就是它們僅依靠特定的邏輯來判斷是否允許數(shù)據(jù)包通過，一旦符合條件，則防火墻內(nèi)外的計算機系統(tǒng)建立直接聯(lián)系，防火墻外部網(wǎng)絡(luò)能直接了解內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)和運行狀態(tài)，這大大增加了實施非法訪問攻擊的機會。
代理服務(wù)型防火墻? 代理服務(wù)器接收客戶請求后，會檢查并驗證其合法性，如合法，它將作為一臺客戶機向真正的服務(wù)器發(fā)出請求并取回所需信息，最后再轉(zhuǎn)發(fā)給客戶。它將內(nèi)部系統(tǒng)與外界完全隔離開來，從外面只看到代理服務(wù)器，而看不到任何內(nèi)部資源，而且代理服務(wù)器只允許被代理的服務(wù)通過。代理服務(wù)安全性高，還可以過濾協(xié)議，通常認為它是最安全的防火墻技術(shù)。其不足主要是不能完全透明地支持各種服務(wù)、應(yīng)用，它將消耗大量的CPU資源，導(dǎo)致低性能。
狀態(tài)檢測型防火墻? 它將動態(tài)記錄、維護各個連接的協(xié)議狀態(tài)，并在網(wǎng)絡(luò)層對通信的各個層次進行分析、檢測，以決定是否允許通過防火墻。因此它兼?zhèn)淞溯^高的效率和安全性，可以支持多種網(wǎng)絡(luò)協(xié)議和應(yīng)用，且可以方便地擴展實現(xiàn)對各種非標準服務(wù)的支持。
自適應(yīng)代理型防火墻? 它可以根據(jù)用戶定義的安全策略，動態(tài)適應(yīng)傳送中的分組流量。如果安全要求較高，則最初的安全檢查仍在應(yīng)用層完成。而一旦代理明確了會話的所有細節(jié)，那么其后的數(shù)據(jù)包就可以直接經(jīng)過速度快得多的網(wǎng)絡(luò)層。因而它兼?zhèn)淞舜砑夹g(shù)的安全性和狀態(tài)檢測技術(shù)的高效率。
3 新型防火墻系統(tǒng)
3.1 傳統(tǒng)防火墻的缺點
傳統(tǒng)防火墻結(jié)構(gòu)在其技術(shù)原理上對來自內(nèi)部的安全威脅不具備防范能力，且具有以下不足：
· 高成本：內(nèi)部網(wǎng)中需要保護的主機或者資源越多，就要設(shè)置更多的安全檢查點，即需要更高的設(shè)備成本及系統(tǒng)維護開銷。
·高管理負擔：IT管理人員將面臨極大的挑戰(zhàn)來管理，維護更多的防火墻設(shè)備。
· 存在盲點：由于傳統(tǒng)防火墻將檢查點設(shè)立在一個“可信子網(wǎng)”的入口處，來自子網(wǎng)內(nèi)部任何主機的攻擊都將成為該防火墻的盲點。
· 低性能：由于大量的安全檢查點被安置于企業(yè)內(nèi)的各種路由設(shè)備上，內(nèi)部網(wǎng)中所有的通信都將不可避免地經(jīng)過若干個安全檢查點，以至于造成相應(yīng)的傳輸延遲，使網(wǎng)絡(luò)性能降低了。
3.2 嵌入式防火墻系統(tǒng)概述
為了有效地解決日益突出的內(nèi)部網(wǎng)安全問題，作者提出了一種新型的防火墻系統(tǒng)—嵌入式防火墻系統(tǒng)(EFS)。它不僅是一種單純的提供訪問控制手段的防火墻設(shè)備，還集成了一整套解決網(wǎng)絡(luò)安全問題的各種應(yīng)用，為大量的網(wǎng)絡(luò)用戶及需要保護的網(wǎng)絡(luò)資源提供了一個可管理的、分布式的、安全的計算環(huán)境。它使用了一種簡化的，基于公鑰的Kerberos協(xié)議以實現(xiàn)透明的認證，并綜合了其它一些網(wǎng)絡(luò)安全技術(shù)，包括授權(quán)、安全數(shù)據(jù)傳輸、審計等，并提供了一種集中式的管理機制。
3.2.1 系統(tǒng)結(jié)構(gòu)和實現(xiàn)機制
EFS核心系統(tǒng)一般可以包括四個主要部件：客戶認證代理，嵌入式防火墻代理，票據(jù)授予服務(wù)器(TGS)和認證服務(wù)器(AS)如圖1所示。
EFS的實現(xiàn)機制如下：
(1)客戶登錄EFS系統(tǒng)時，客戶認證代理將提示并獲取相應(yīng)的用戶名和口令。僅當客戶同時具有正確的口令和含有私有密鑰的設(shè)備，客戶代理才能夠進行身份認證。在用戶登錄完成后，客戶代理將自動向AS發(fā)送請求AS_REQ，以申請TGT。
(2)認證服務(wù)器AS收到客戶的AS_REQ后，發(fā)回應(yīng)答消息AS_REP。
(3)客戶認證代理得到AS發(fā)回的AS_REP后，進行解密，獲取并保存與TGS通信的會話密鑰及提交給TGS的票據(jù)。
(4)當客戶需要使用某一服務(wù)時，客戶認證代理將首先截獲請求TCP連接的IP包，并根據(jù)Socket匹配以判斷是否已具有獲取該服務(wù)的票據(jù)。如有，則直接將此票附加于該IP包，形成AP_REQ，發(fā)往服務(wù)器(執(zhí)行步驟7)。否則，客戶認證代理必須首先向TGS申請相應(yīng)的應(yīng)用票據(jù)。
(5)TGS在收到客戶認證代理發(fā)來的TGS_REQ后，進行解密，以獲取客戶與其會話密鑰，用它來解密認證算子，將算得的檢驗和與自己生成的HASH函數(shù)結(jié)果相比較，以檢查客戶身份的合法性和消息的完整性。在授權(quán)通過后，TGS生成TGS_REP，并發(fā)回用戶。
(6)客戶認證代理得到TGS發(fā)回的TGS_REP后，首先確定所申請的服務(wù)是否需要認證。若無需認證，客戶代理將恢復(fù)連接請求。否則，從TGS_REP中獲取服務(wù)的票據(jù)和與應(yīng)用服務(wù)器之間的會話密鑰，將它們放入原來的連接請求包中，形成AP_REQ，發(fā)往應(yīng)用服務(wù)器。
(7)駐留于應(yīng)用服務(wù)器上的嵌入式防火墻代理收到AP_REQ后，解開票據(jù)，獲取會話密鑰，以驗證用戶身份。如合法，則將該IP包遞交上層處理，否則予以丟棄。
3.2.2 外部網(wǎng)訪問控制及狀態(tài)檢測機制
EFS可以實現(xiàn)對外部網(wǎng)的訪問控制，首先在所有與外部網(wǎng)相連的路由器或網(wǎng)關(guān)設(shè)備上安裝嵌入式防火墻代理。然后再將各種外部網(wǎng)絡(luò)服務(wù)在TGS上注冊，并安裝相應(yīng)的通過邊界路由器或網(wǎng)關(guān)設(shè)備所需的票據(jù)。最后，根據(jù)用戶身份制定外部網(wǎng)訪問控制安全策略?；镜腅FS實現(xiàn)了嚴格的身份認證及訪問控制，客戶認證代理一旦與嵌入式防火墻代理完成三次握手，創(chuàng)建了TCP連接，通信將直接在客戶機與服務(wù)器間進行，不再接受任何形式的安全檢查，這種機制雖然大大地提高了訪問效率，但它不能實現(xiàn)基于特定協(xié)議命令的過濾和內(nèi)容安全檢查。為了實現(xiàn)高級安全檢查，可以在EFS中增加狀態(tài)檢測防火墻，由它來檢查一些標準的網(wǎng)絡(luò)服務(wù)(如Http，F(xiàn)tp，Telnet，F(xiàn)inger等)，或基于內(nèi)容的檢查。
3.2.3 嵌入式防火墻的優(yōu)點
與傳統(tǒng)防火墻相比，EFS具有如下優(yōu)點：
·同時防止來自于內(nèi)、外部網(wǎng)絡(luò)的攻擊。由于嵌入式防火墻代理部件直接安裝在所有需要安全保護的應(yīng)用服務(wù)器上，來自于裝載嵌入式防火墻代理的機器之外的任何通信，都需經(jīng)過嵌入式防火墻代理的檢查和過濾。
·透明認證。由于EFS在低層即IP層上實現(xiàn)了Kerberos認證協(xié)議，它能夠支持任何基于IP協(xié)議的應(yīng)用。用戶無需親自與防火墻連接以獲取認證，而是由駐留在客戶機上的認證代理自動與AS、TGS等連接，交換相應(yīng)的票據(jù)，實現(xiàn)整個認證過程，即EFS是完全透明于用戶的。EFS中，即使應(yīng)用程序本身從未考慮過實現(xiàn)任何認證機制，EFS仍可使其支持嚴格的身份認證過程，從而實現(xiàn)了認證與應(yīng)用的完全獨立。
·安全會話。由于Kerberos協(xié)議為每個會話均提供了一個隨機的會話密鑰，從而實現(xiàn)了安全的會話傳輸。此外，通過與公開密鑰技術(shù)的結(jié)合，EFS提供了四種數(shù)據(jù)傳輸?shù)陌踩墑e，從而在兩臺通信主機之間形成了一條私有通道。
·一次簽放。用戶只需在登錄系統(tǒng)時進行一次認證，便可以使用所有的安全服務(wù)。而管理員只需維護一套EFS帳號，并精確定義用戶訪問各種服務(wù)的權(quán)限即可，這也有助于管理員將各個服務(wù)的安全性作為一個整體集中起來綜合考慮，從而極大地增加了系統(tǒng)的安全系數(shù)。
·低成本、高性能。EFS中，檢查點被直接設(shè)置于需保護的應(yīng)用服務(wù)器上，內(nèi)部網(wǎng)中無需為了安全而使用額外的路由器以劃分安全子網(wǎng)，沒有多余的通信檢查和硬件投資。
·統(tǒng)籌規(guī)劃、集中管理。由于EFS在每臺需保護的主機上安裝了嵌入式防火墻代理，而該代理的主要工作是驗證Kerberos票據(jù)，所有的安全策略都將統(tǒng)一保存在TGS上，因此形成了一個負責整個企業(yè)訪問控制及授權(quán)的集中式控制臺。
3.2.4 嵌入式防火墻的發(fā)展
目前，整個系統(tǒng)模型已在Linux操作系統(tǒng)上得以實現(xiàn)。在不久的將來，系統(tǒng)還將實現(xiàn)運行于Windows系統(tǒng)平臺上的客戶認證代理及運行于NT和UNIX上的嵌入式防火墻代理。屆時，一個完整的、跨平臺的安全解決方案將會形成。
4 前景展望
防火墻作為一種防護手段，對維護網(wǎng)絡(luò)安全起到了一定的作用，但并非萬無一失，它只能防護經(jīng)過自身的非法訪問和攻擊；它雖然能夠針對所有服務(wù)進行安全檢查，過濾其是否合法，但不能有效地杜絕所有惡意數(shù)據(jù)包，利用合法的連接傳輸非法數(shù)據(jù)確實存在。
防火墻只是整個網(wǎng)絡(luò)安全防護的一部分，它需要其他的防護措施和技術(shù)，如密碼技術(shù)、訪問控制、權(quán)限管理、病毒防治等。也只有運用先進認證技術(shù)，并在網(wǎng)絡(luò)層上實施統(tǒng)一的用戶端對端的數(shù)據(jù)流加密技術(shù)，再結(jié)合目前的防火墻技術(shù)以進行必要的內(nèi)容檢測、攻擊檢測及其他一些手段，才能解決內(nèi)部網(wǎng)安全問題，并最終提供一套一體化的解決途徑。
參考文獻
1 張華、劉玉莎、陳福民.防火墻技術(shù)的研究與探討.計算機應(yīng)用研究，1999;(11)
2 張華、劉玉莎、陳福民.構(gòu)筑安全的內(nèi)部網(wǎng).計算機應(yīng)用研究，1999;(9)
3 林靜、魯艷玲，趙玉梅.防火墻.計算機與網(wǎng)絡(luò)、1999
4 張超、王錦田. Internet/Intranet系統(tǒng)上的安全技術(shù)及安全性建設(shè)原則.計算機應(yīng)用與軟件、1999;(6)
5 王艷華、韋遠明.基于互聯(lián)網(wǎng)絡(luò)的信息安全措施的探討.電腦與信息技術(shù)、1999;(2)