来自当知百科
跳转到: 导航搜索

目录

硬件防火墙的原理

  至于价格高,原因在于,软件防火墙只有包过滤的功能,硬件防火墙中可能还有除软件防火墙以外的其他功能,例如CF(内容过滤)IDS(入侵侦测)IPS(入侵防护)以及VPN等等的功能。

  也就是说硬件防火墙是指把防火墙程序做到芯片里面,由硬件执行这些功能,能减少CPU的负担,使路由更稳定。

  硬件防火墙是保障内部网络安全的一道重要屏障。它的安全和稳定,直接关系到整个内部网络的安全。因此,日常例行的检查对于保证硬件防火墙的安全是非常重要的。

  系统中存在的很多隐患和故障在暴发前都会出现这样或那样的苗头,例行检查的任务就是要发现这些安全隐患,并尽可能将问题定位,方便问题的解决。

对硬件防火墙的例行检查的内容

硬件防火墙的配置文件

  不管你在安装硬件防火墙的时候考虑得有多么的全面和严密,一旦硬件防火墙投入到实际使用环境中,情况却随时都在发生改变。硬件防火墙的规则总会不断地变化和调整着,配置参数也会时常有所改变。作为网络安全管理人员,最好能够编写一套修改防火墙配置和规则的安全策略,并严格实施。所涉及的硬件防火墙配置,最好能详细到类似哪些流量被允许,哪些服务要用到代理这样的细节。

  在安全策略中,要写明修改硬件防火墙配置的步骤,如哪些授权需要修改、谁能进行这样的修改、什么时候才能进行修改、如何记录这些修改等。安全策略还应该写明责任的划分,如某人具体做修改,另一人负责记录,第三个人来检查和测试修改后的设置是否正确。详尽的安全策略应该保证硬件防火墙配置的修改工作程序化,并能尽量避免因修改配置所造成的错误和安全漏洞。

硬件防火墙的磁盘使用情况

  如果在硬件防火墙上保留日志记录,那么检查硬件防火墙的磁盘使用情况是一件很重要的事情。如果不保留日志记录,那么检查硬件防火墙的磁盘使用情况就变得更加重要了。保留日志记录的情况下,磁盘占用量的异常增长很可能表明日志清除过程存在问题,这种情况相对来说还好处理一些。在不保留日志的情况下,如果磁盘占用量异常增长,则说明硬件防火墙有可能是被人安装了Rootkit工具,已经被人攻破。

  因此,网络安全管理人员首先需要了解在正常情况下,防火墙的磁盘占用情况,并以此为依据,设定一个检查基线。硬件防火墙的磁盘占用量一旦超过这个基线,就意味着系统遇到了安全或其他方面的问题,需要进一步的检查。

硬件防火墙的CPU负载

  和磁盘使用情况类似,CPU负载也是判断硬件防火墙系统运行是否正常的一个重要指标。作为安全管理人员,必须了解硬件防火墙系统CPU负载的正常值是多少,过低的负载值不一定表示一切正常,但出现过高的负载值则说明防火墙系统肯定出现问题了。过高的CPU负载很可能是硬件防火墙遭到DoS攻击或外部网络连接断开等问题造成的。

硬件防火墙系统的精灵程序

  每台防火墙在正常运行的情况下,都有一组精灵程序(Daemon),比如名字服务程序、系统日志程序、网络分发程序或认证程序等。在例行检查中必须检查这些程序是不是都在运行,如果发现某些精灵程序没有运行,则需要进一步检查是什么原因导致这些精灵程序不运行,还有哪些精灵程序还在运行中。

系统文件

  关键的系统文件的改变不外乎三种情况:管理人员有目的、有计划地进行的修改,比如计划中的系统升级所造成的修改;管理人员偶尔对系统文件进行的修改;攻击者对文件的修改。

  经常性地检查系统文件,并查对系统文件修改记录,可及时发现防火墙所遭到的攻击。此外,还应该强调一下,最好在硬件防火墙配置策略的修改中,包含对系统文件修改的记录。

异常日志

  硬件防火墙日志记录了所有允许或拒绝的通信的信息,是主要的硬件防火墙运行状况的信息来源。由于该日志的数据量庞大,所以,检查异常日志通常应该是一个自动进行的过程。当然,什么样的事件是异常事件,得由管理员来确定,只有管理员定义了异常事件并进行记录,硬件防火墙才会保留相应的日志备查。

  上述6个方面的例行检查也许并不能立刻检查到硬件防火墙可能遇到的所有问题和隐患,但持之以恒地检查对硬件防火墙稳定可靠地运行是非常重要的。如果有必要,管理员还可以用数据包扫描程序来确认硬件防火墙配置的正确与否,甚至可以更进一步地采用漏洞扫描程序来进行模拟攻击,以考核硬件防火墙的能力。

硬件防火墙和软件防火墙的比较

成本比较

  硬件防火墙是软硬件一体的,用户购买后不需要再投入其他费用。一般硬件防火墙的报价在1万到2万之间。

  软件防火墙有三方面的成本开销:软件的成本、安装软件的设备成本以及设备上操作系统的成本。Windows Server2003价格在4400-6000之间。

  备注:综合以上的成本,要配置一套软件防火墙按最小的网络要求,其成本在1.0万左右。

稳定性和安全性比较

  稳定性能的优劣主要来自于防火墙运行平台即操作系统上。

  硬件防火墙一般使用经过内核编译后的Linux,凭借Linux本身的高可靠性和稳定性保证了防火墙整体的稳定性,Linux永远都不会崩溃,其稳定性是由于它没有像其他操作系统一样内核庞大且漏洞百出。系统的稳定性主要取决于系统设计的结构。计算机硬件的结构自从1981设计开始就没有作特别大的改动,而连续向后兼容性使那些编程风格极差的应用软件勉强移植到Windows的最新版本,这种将就的软件开发模式极大地阻碍了系统稳定性的发展。最令人注目的Linux开放源代码的开发模式,它保证了任何系统的漏洞都能被及时发现和修正。Linux采取了许多安全技术措施,包括对读、写进行权限控制、带保护的子系统、审计跟踪、核心授权等,这为网络多用户环境中的用户提供了必要的安全保障。

  软件防火墙一般要安装在windows平台上,实现简单,但同时由于windows本身的漏洞和不稳定性带来了软件防火墙的安全性和稳定性的问题。虽然Microsoft也在努力的弥补这些问题,Windows2003 server本身的漏洞就比前期的WindowsNT少了很多,但与Linux比起来还是漏洞倍出。在病毒侵害方面,从linux发展到如今,Linux几乎不感染病毒。而作为Windows平台下的病毒我们就不必多说了,只要是使用过电脑的人都有感受。像近几个月以来在内网中广泛传播的ARP欺骗病毒,造成了内网不稳定、网络时断时序、经常掉线,无法开展正常的工作,使得很多的网络管理人员束手无策。

软硬件防火墙的吞吐量和包转发率比较

  吞吐量和报文转发率是关系防火墙应用的主要指标,硬件防火墙的硬件设备是经专业厂商定制的,在定制之初就充分考虑了吞吐量的问题,在这一点上远远胜于软件防火墙,因为软件防火墙的硬件是用户自己选择的很多情况下都没有考虑吞吐量的问题,况且windows系统本身就很耗费硬件资源,其吞吐量和处理大数据流的能力远不及硬件防火墙,这一点是不言而喻的。吞吐量太小的话,防火墙就是网络的瓶颈,会带来网络速度慢、上网带宽不够等等问题。

防火墙工作原理上的比较

  软件防火墙一般可以是包过滤机制。包过滤过滤规则简单,只能检查到第三层网络层,只对源或目的IP做检查,防火墙的能力远不及状态检测防火墙,连最基本的黑客攻击手法IP伪装都无法解决,并且要对所经过的所有数据包做检查,所以速度比较慢。硬件防火墙主要采用第四代状态检测机制。状态检测是在通信发起连接时就检查规则是否允许建立连接,然后在缓存的状态检测表中添加一条记录,以后就不必去检查规则了只要查看状态监测表就OK了,速度上有了很大的提升。因其工作的层次有了提高,其防黑功能比包过滤强了很多,状态检测防火墙跟踪的不仅是包中包含的信息。为了跟踪包的状态,防火墙还记录有用的信息以帮助识别包,例如已有的网络连接、数据的传出请求等。

  例如,如果传入的包包含视频数据流,而防火墙可能已经记录了有关信息,是关于位于特定IP地址的应用程序最近向发出包的源地址请求视频信号的信息。如果传入的包是要传给发出请求的相同系统,防火墙进行匹配,包就可以被允许通过。。

  硬件防火墙比软件防火墙在实现的机制上有很大的不同,也带来了软硬件防火墙在防黑能力上很大差异。

在对内网的控制方面比较

  软件防火墙由于本身的工作原理造成了它不具备内网具体化的控制管理,比如,不能控制BT、不能禁止QQ、不能很好的防止病毒侵入、不能针对具体的IP和MAC做上网控制等,其主要的功能在于对外。

  硬件防火墙在基于状态检测的机制上,安全厂商又可以根据市场的不同需求开发应用层过滤规则,来满足对内网的控制,能够在高层进行过滤,做到了软件防火墙不能做到的很多事。尤其是近期流行的ARP病毒,硬件防火墙针对其入侵的原理,做了相应的策略,彻底解除了ARP病毒的危害。

  现在的网络安全(防火墙)已经不仅仅局限于对外的防止黑客攻击上,更多的企业内部网络经常存在诸如上网速度慢、时断时序、邮件收发不正常等问题。我们分析其主要的原因,在于内网用户的使用问题,很多的用户上班时间使用BT下载、浏览一些不正规的网站。。。。。。这样都会引起内网的诸多问题,比如病毒,很多病毒传播都是使用者不良行为而造成的。所以说内网用户的控制和管理是非常必要的。

个人工具
名字空间

变换
查看
操作
导航
工具箱