下一代防火墙解决方案.docx
《下一代防火墙解决方案.docx》由会员分享,可在线阅读,更多相关《下一代防火墙解决方案.docx(20页珍藏版)》请在第一文库网上搜索。
1、下一代防火墙解决方案1网络现状32解决方案81.1 1网络设备部署图81.2 部署说明81.3 解决方案详述82.3.1流量管理82.3.2应用控制92.3.3网络安全93报价21随着网络技术的快速发展,现在我们对网络安全的关注越来越重视。近几年来,计算机和网络攻击的复杂性不断上升,使用传统的防火墙和入侵检测系统(IDS)越来越难以检测和阻挡。漏洞的发现和黑客利用漏洞之间的时间差也变得越来越短,使得IT和安全人员得不到充分的时间去测试漏洞和更新系统。随着病毒、蠕虫、木马、后门和混合威胁的泛滥,内容层和网络层的安全威胁正变得司空见惯。复杂的蠕虫和邮件病毒诸如S1ammerB1asterSasse
2、rSoberMyDoom等在过去几年经常成为头条新闻,它们也向我们展示了这类攻击会如何快速的传播一一通常在几个小时之内就能席卷全世界。许多黑客正监视着软件提供商的补丁公告,并对补丁进行简单的逆向工程,由此来发现漏洞。下图举例说明了一个已知漏洞及相应补丁的公布到该漏洞被利用之间的天数。需要注意的是,对于最近的一些攻击,这一时间已经大大缩短了。IT和安全人员不仅需要担心已知安全威胁,他们还不得不集中精力来防止各种被称之为零小时”(Zero-hour)或“零日,(zero-day)的新的未知的威胁。为了对抗这种新的威胁,安全技术也在不断进化,包括深度包检测防火墙、应用网关防火墙、内容过滤、反垃圾邮件
3、、SS1VPN、基于网络的防病毒和入侵防御系统(IPS)等新技术不断被应用。但是黑客的动机正在从引起他人注意向着获取经济利益转移,我们可以看到一些更加狡猾的攻击方式正被不断开发出来,以绕过传统的安全设备,而社会工程(SOCiaIengineering)陷阱也成为新型攻击的一大重点。图:系统漏洞被黑客利用的速度越来越快带有社会工程陷阱元素的攻击包括间谍软件、网络欺诈、基于邮件的攻击和恶意Web站点等。这些攻击设计为欺骗用户暴露敏感信息,下载和安装恶意程序、跟踪软件或运行恶意代码。很多这类攻击设计为使用传统的浏览器或Emai1技术(如ActiveXXM1.SMTP等),并伪装为合法应用,因此传统的
4、安全设备很难加以阻挡。现在比以往任何时候都更需要先进的检测和安全技术。传统的防火墙系统状态检测防火墙原本是设计成一个可信任企业网络和不可信任的公共网络之间的安全隔离设备,用以保证企业的互联网安全。状态检测防火墙是通过跟踪会话的发起和状态来工作的。通过检查数据包头,状态检测防火墙分析和监视网络层(13)和协议层(14),基于一套用户自定义的防火墙策略来允许、拒绝或转发网络流量。传统防火墙的问题在于黑客已经研究出大量的方法来绕过防火墙策略。这些方法包括:利用端口扫描器的探测可以发现防火墙开放的端口。攻击和探测程序可以通过防火墙开放的端口穿越防火墙。如MSN、QQ等IM(即时通信)工具均可通过80端
5、口通信,BT、电驴、SkyPe等P2P软件的通信端口是随机变化的,使得传统防火墙的端口过滤功能对他们无能为力。SoftEther等软件更可以将所有TCP/IP通讯封装成HTTPS数据包发送,使用传统的状态检测防火墙简直防不胜防。SoftEther可以很轻易的穿越传统防火墙 PC上感染的木马程序可以从防火墙的可信任网络发起攻击。由于会话的发起方来自于内部,所有来自于不可信任网络的相关流量都会被防火墙放过。当前流行的从可信任网络发起攻击应用程序包括后门、木马、键盘记录工具等,它们产生非授权访问或将私密信息发送给攻击者。 较老式的防火墙对每一个数据包进行检查,但不具备检查包负载的能力。病毒、蠕虫、木
6、马和其它恶意应用程序能未经检查而通过。 当攻击者将攻击负载拆分到多个分段的数据包里,并将它们打乱顺序发出时,较新的深度包检测防火墙往往也会被愚弄。 使用笔记本电脑、PDA和便携邮件设备的移动用户会在他们离开办公室的时候被感染,并将威胁带回公司网络。边界防火墙对于从企业信任的内部网络发起的感染和攻击爱莫能助。图:被通过知名端口(80端口)攻击的网站数基于主机的防病毒软件基于主机的防病毒软件是部署得最广泛的安全应用,甚至超过了边界防火墙。基于主机的防病毒软件随着上世纪80年代中期基于文件的病毒开始流行而逐渐普及,如今已成为最受信任的安全措施之-O但是基于主机的防病毒软件也有它的缺点,包括: 需要安
7、装、维护和保持病毒特征库更新,这就导致了大量的维护开销。 很多用户并没有打开防病毒软件的自动更新功能,也没有经常的手动更新他们的病毒库,这就导致防病毒软件对最新的威胁或攻击无用。 用户有时可能会有意或无意的关闭他们的单机安全应用程序。 最新的复杂的木马程序能对流行的基于主机的防病毒软件进行扫描,并在它们加载以前就将它们关闭-这就导致即使有了最新的病毒特征码,事实上它们还是不能被检测出来。企业单纯依靠给予主机的防病毒软件和给操作系统和应用程序打补丁的方法会使它们的内部系统面临很高的安全风险。随着业务中使用了越来越多的面向全球且需要持续运行的关键应用,停机来更新操作系统补丁、病毒特征码和应用升级变
8、得越来越困难。而公司的Web.Emai1,电子商务、数据库、应用等服务器由于长时间不打补丁会很容易在新的攻击方式下暴露出它们的漏洞。仅仅依靠基于主机的防病毒软件的另一个缺点是,事实上有害代码在被每一个主机的安全软件检测和阻挡之前就已经进入了公司的网络,这就大大威胁了企业关键业务系统和网络应用。采用功能单一的产品的缺点要想构建一个立体的安全防护体系,必须要考虑多层次的防护,包括:1. 防火墙2. VPN网关3. 入侵防御系统(IPS)4. 网关防病毒5. 网页及UR1过滤6. 应用程序过滤及带宽控制采用功能单一的产品会带来成本增加,管理难度高的问题。如果想部署一个立体的安全防护体系,必须要将很多
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 下一代 防火墙 解决方案