信息安全工程师（38）防火墙类型与实现技术

news2024/10/10 2:14:45

一、防火墙类型

按软、硬件形式分类

软件防火墙：通过软件实现防火墙功能，通常安装在个人计算机或服务器上，用于保护单个设备或小型网络。
硬件防火墙：采用专门的硬件设备来实现防火墙功能，通常部署在企业网络边界或数据中心，提供更高的性能和可靠性。
芯片级防火墙：将防火墙功能集成到网络设备芯片中，实现硬件级别的加速和优化。

按所利用技术分类

网络层防火墙：主要工作在网络层，通过检查数据包的源地址、目标地址、端口号和协议类型来决定是否允许通过。
分组过滤型防火墙：类似于网络层防火墙，但更注重对数据包的细粒度控制。
电路级网关：在应用层以下工作，对传输层协议（如TCP、UDP）进行连接管理和控制。
规则检查防火墙：根据预设的规则集检查数据包，包括数据包的内容、上下文和状态等信息。
应用层防火墙（也称为代理防火墙）：在应用层工作，充当客户端与服务器之间的中介，对应用层协议进行解析和重新封装，提供更细致的流量过滤和安全控制。
复合型防火墙：结合多种防火墙技术，提供全面的安全防护。

按防火墙结构分类

单主机防火墙：防火墙功能集成在一台单独的计算机上。
路由器集成式防火墙：防火墙功能集成在路由器上，提供路由和防火墙的双重功能。
分布式防火墙：防火墙功能分布在网络的多个节点上，包括主机防火墙和网络防火墙，提供更全面的安全防护。

按防火墙的应用部署位置分类

边界防火墙：部署在企业网络边界，用于保护内部网络免受外部威胁。
个人防火墙：安装在个人计算机上，用于保护单个设备免受恶意软件和未经授权的访问。
混合防火墙：结合边界防火墙和个人防火墙的特点，提供多层次的安全防护。

按防火墙的性能分类

百兆级防火墙：适用于小型和中型企业网络，提供百兆级别的吞吐量。
千兆级防火墙：适用于大型企业网络和数据中心，提供千兆级别的吞吐量。

按防火墙使用范围分类

个人防火墙：主要用于个人计算机的保护。
网络防火墙：用于保护整个企业网络或数据中心。

二、防火墙实现技术

包过滤技术

定义：包过滤技术是最基础的防火墙实现技术，它在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，被称为访问控制列表。
工作原理：通过在网络间相互连接的设备上加载允许、禁止来自某些特定的源地址、目的地址、TCP端口号等规则，对通过设备的数据包进行检查，限制数据包进出内部网络。
优点：对用户透明，传输性能高。
缺点：安全控制层次在网络层、传输层，安全控制的力度也只限于源地址、目的地址和端口号，因而只能进行较为初步的安全控制，对于恶意的拥塞攻击、内存覆盖攻击或病毒等高层次的攻击手段，则无能为力。

代理服务技术（应用代理技术）

定义：代理防火墙工作在OSI的第七层，通过检查所有应用层的信息包，并将检查的内容信息放入决策过程，从而提高网络的安全性。
工作原理：一个完整的代理设备包含一个服务端和客户端，服务端接收来自用户的请求，调用自身的客户端模拟一个基于用户请求的连接到目标服务器，再把目标服务器返回的数据转发给用户，完成一次代理工作过程。
优点：能够提供更细致的安全控制，包括应用层协议的检查和过滤。
缺点：可能增加网络延迟和复杂性。

状态检测技术

定义：状态检测防火墙工作在OSI的第二至四层，采用状态检测包过滤的技术，是传统包过滤功能扩展而来。
工作原理：基于状态检测技术的防火墙通过一个在网关处执行网络安全策略的检测引擎而获得非常好的安全特性，检测引擎在不影响网络正常运行的前提下，采用抽取有关数据的方法对网络通信的各层实施检测，并将抽取的状态信息动态地保存起来作为以后执行安全策略的参考。状态检测防火墙监视和跟踪每一个有效连接的状态，并根据这些信息决定是否允许网络数据包通过防火墙。
优点：保持了简单包过滤防火墙的优点，性能比较好，同时对应用是透明的，安全性大幅提升。
缺点：相对于应用代理技术，对应用层的控制可能不够细致。

NAT技术（网络地址转换技术）

定义：NAT技术是一种在局域网内部网络中使用私有地址，而在外部网络中使用全局地址的技术。
工作原理：当内部网络中的设备需要访问外部网络时，NAT设备会将内部网络的私有地址转换为外部网络的全局地址，从而允许设备访问外部网络。同时，NAT设备还会跟踪每个连接的状态，以便将外部网络的响应正确地转发给内部网络的设备。
优点：可以节省IP地址资源，隐藏内部网络结构，提高网络安全性。
缺点：可能增加网络配置的复杂性，并可能导致一些网络协议和应用的兼容性问题。

完全内容检测技术（下一代防火墙技术）

定义：完全内容检测技术防火墙综合状态检测与应用代理技术，并在此基础上进一步基于多层检测架构，把防病毒、内容过滤、应用识别等功能整合到防火墙里，其中还包括IPS功能，多单元融为一体。
工作原理：在网络边界实施OSI第七层的内容扫描，实现了实时在网络边缘布署病毒防护、内容过滤等应用层服务措施。
优点：可以检查整个数据包内容，根据需要建立连接状态表，网络层保护强，应用层控制细等优点。
缺点：由于功能集成度高，对产品硬件的要求比较高。