防火墻的局限性
大多數(shù)防火摘都側(cè)重于對外部數(shù)據(jù)包進行防范，而忽略了來自內(nèi)部的一錢安全隱患。例如.我們討論過包括碑防火崎常使用一條過滾策略是允許從外部進人的響應數(shù)據(jù)包，而拒絕自外而來的連接請求或服務請求。如果一個內(nèi)部主機首先向一個外部攻擊者發(fā)送一個請求包.而引人一個其有某種攻擊行為的響應敬據(jù)包，便會使這個攻擊包順利地通過防火墻。實施時某個服務器或網(wǎng)絡建設設備的攻擊行為.同時由內(nèi)部向外部發(fā)出的數(shù)據(jù)包有時也會倪帶一4相關(guān)的內(nèi)部敏s信息，因防火墉對于發(fā)出的教據(jù)包通常不作過多的限制.因此這共信息很容易被外部獲取.并成為對內(nèi)部網(wǎng)絡發(fā)起攻擊的關(guān)鍵信息。
防火堵本身是篆于TCP/IP協(xié)議基礎而實現(xiàn).因此也就很難完全消除因這殘協(xié)議翻潤所造成安全成脅。例如一種利用TCP的協(xié)議瀚洞向服務器發(fā)起的SYN攻擊.最終將導致被攻擊的服務器停止《拒絕)接受所有的脹務漪求.也稱為拒絕服務攻擊DoS( Denial-o(-Service) ,實現(xiàn)非常簡單。攻擊者向服務器提供某種服務的端u不停地發(fā)送大最的TCP連接請求SYN報文.在發(fā)送了SY、連接請求之后.并不再繼續(xù)與服務器完成接下來的握手信號交換，使得股務器陷入等待墉求者發(fā)送第三次握手信號的狀態(tài)。處于這個等待周期的連接狀態(tài)也稱為服務器的半連接狀態(tài)。服務器會保待為該連接所分配的所有資碑，直到定時移超時。如果服務器開啟大段的處于半連接狀態(tài)的TCP連接.最終會導致服務器的資源被耗盡而不能夠再接受新的TCP連接清求.即便是一個正常的請求.SYN攻擊通常針對內(nèi)網(wǎng)中向外提供公共股務的服務器發(fā)起.單從攻擊者發(fā)送的一個單獨的TCP請求連接的SYN數(shù)據(jù)包，防火墉無法分麟它是出自于一個正常的連接請求。還是一個SYN攻擊。一些具有狀態(tài)檢側(cè)功能的防火J. .通過跟蹤輸人愉出數(shù)據(jù)包的連接狀態(tài)變化等信息.檢側(cè)數(shù)據(jù)包的首部狀態(tài)信息(如TCP的SYN位和ACK位等)的變化是否符合相應的協(xié)議規(guī)則。形成的過此規(guī)則不僅越于數(shù)據(jù)包的首部字段.祠時還今考數(shù)據(jù)包的狀態(tài)變化等參數(shù)，以提離對內(nèi)部網(wǎng)絡系統(tǒng)的安全防御能力。但這種具有狀態(tài)檢洲功能的防火墉面臨的問題是，首先針對所有效據(jù)流徽的狀態(tài)檢側(cè)對防火姍的處理和計算能力都有較高的要求.并且狀態(tài)槍側(cè)會直接影響防火摘對每個數(shù)據(jù)包的處理速度;其次.對于上述SYN攻擊包來說.即便是具有狀態(tài)槍測功能的防火墉也很難準確地判斷出一個S丫N是否是攻擊包.特別是某些進行S丫N攻擊的攻擊村會采用地址哄毅.使甸次發(fā)送的SYN包用不間的派地址。
最后，防火強的安全防御能力與其處理速度是成反比的.防火墻的過a規(guī)則越復雜.對數(shù)據(jù)包檢查得越細.內(nèi)部網(wǎng)絡的安全性就越高.但相應地處理梅一個數(shù)據(jù)包的速度也就會越二使得鎮(zhèn)個網(wǎng)絡的性能也受到彭響。
上述防火墻局限性說明防火.井不可曲對網(wǎng)絡起到絕對的安全保護，實際兩絡系魄中通常會采用其他的安全控側(cè)指施作為防火堵的必要補充.例如.人倪位IDS(Intrusion DetectionSystem》可以作為防火幼之后的第二道叻找.在不影響網(wǎng)絡運行和性能的前扭下.從防火墉或網(wǎng)絡不墳中的其他關(guān)工節(jié)點收典相應的信息.并通過分析這些仿息到斷X中是否含有攻擊的企圖.當發(fā)現(xiàn)忍At行為時能夠及時向網(wǎng)絡，理員報，.作為叻火幼的補償技術(shù).人任槍側(cè)爪魄不但可以發(fā)硯從外娜進人的攻擊，也可以發(fā)硯來自內(nèi)部的惡t行為.對于叻止成減輕兩絡系吮所受到的各種安全減協(xié)具重要意義。
返回新聞列表
業(yè)務咨詢微信掃一掃