网络边界安全

防火墙:

防火墙的分类：

• 按物理特性划分

1. 软件防火墙
2. 硬件防火墙
3. 按性能划分
4. 百兆级防火墙
5. 千兆级防火墙

• 按防火墙结构划分

1. 单一主机防火墙
2. 路由集成防火墙
3. 分布式防火墙

• 按防火墙技术划分

1. 包过滤防火墙
2. 应用代理防火墙
3. 状态检测防火墙

• 防火墙功能

1. 访问控制
2. 地址转换
3. 网络环境支持
4. 带宽管理功能
5. 高可用性
6. 用户认证
7. 入侵检测和攻击防御

防火墙安全策略

• 定义

1. 安全策略是按一定规则，控制设备对流量转发以及对流量进行内容安全一体化检测的策略
2. 规则的本质是包过滤

• 主要应用

1. 对跨防火墙的网络互访进行控制
2. 对设备本身的访问进行控制

• 作用

1. 根据定义的规则对经过防火墙的流量进行过滤筛选，再进行下一步操作

安全策略分类

• 域间安全策略
• 域内安全策略
• 接口包过滤

入侵检测系统（IDS）——网络摄像头

部署方式：旁路部署，可多点部署

工作范围：2-7层

工作特点：根据部署位置监控到的流量进行攻击事件监控，属于一个事后呈现的系统，相当于网络上的监控摄像头

目的：传统防火墙只能基于规则执行”是“或”否“的策略，IDS主要是为了帮助管理员清晰的了解到网络环境中发生了什么事情。

分析方式：

• 基于规则入侵检测
• 基于异常清空检测
• 统计模型分析呈现

入侵防御系统（IPS）——抵御2-7层已知威胁

部署方式：串联部署

工作范围：2-7层

工作特点：根据已知的安全威胁生成对应的过滤器（规则），对于规则匹配成功的流量阻断，规则匹配失败的放通

目的：IDS只能对网络环境进行检测，但却无法进行防御，IPS主要是针对已知威胁进行防御

防病毒网关（AV）——基于网络侧识别病毒文件

判断信息：数据包

工作范围：2-7层

目的：防止病毒文件通过外网络进入到内网环境

 传统防火墙

传统防火墙（应用代理防火墙）——每个应用添加代理

• 判断信息：所有应用层的信息包
• 工作范围：应用层（7层）
• 和包过滤防火墙的区别：
• 包过滤防火墙工作基于3-4，通过检验报头进行规则表匹配。
• 应用代理防火墙工作7层，检查所有的应用层信息包，每个应用，需要添加对应的代理服务。
• 技术应用：应用代理技术
• 优势：检查了应用层的数据
• 劣势：检测效率低，配置运维难度极高，可伸缩性差

传统防火墙（状态检测防火墙）——首次检查建立会话表

• 部署方式：串联部署
• 工作范围：2-7层
• 工作特点：根据已知的安全威胁生成对应的过滤器（规则），对于规则匹配成功的流量阻断，规则匹配失败的放通
• 目的：IDS只能对网络环境进行检测，但却无法进行防御，IPS主要是针对已知威胁进行防御

 Web应用防火墙（WAF）——专门用来保护web应用

• 判断信息：http协议数据的request和response
• 工作范围：应用层（7层）
• 目的：防止基于应用层的攻击影响Web应用系统
• 主要技术原理：

1. 代理服务：会话双向代理，用户与服务器不产生直接链接，对于DDOS攻击可以抑制
2. 特征识别：通过正则表达式的特征库进行特征识别
3. 算法识别：针对攻击方式进行模式化识别，如SQL注入、DDOS、XSS等

统一威胁管理（UTM）——多合一安全网关

• 包含功能：FW、IDS、IPS、AV
• 工作范围：2-7层（但是不具备web应用防护能力）
• 目的：将多种安全问题通过一台设备解决
• 优点：功能多合一有效降低了硬件成本、人力成本、时间成本
• 缺点：模块串联检测效率低、性能消耗大

下一代防火墙（NGFW）——升级版的UTM

• 包含功能：FW、IDS、IPS、AV、WAF
• 工作范围：2-7层
• 和UTM的区别：
• 与UTM相比增加的web应用防护功能；
• UTM是串行处理机制，NGFW是并行处理机制；
• NGFW的性能更强，管理高效

防火墙的性能指标

吞吐量

• 吞吐量：防火墙能同时处理的最大数据量
• 有效吞吐量：除掉TCP因为丢包和超时重发的数据，实际的每秒传输有效速率
• 衡量标准：吞吐量越大，性能越高

时延

• 定义：数据包的第一个比特进入防火墙到最后一个比特输出防火墙的时间间隔指标用于测量防火墙处理数据的速度理想的情况，测试的是其存储转发的性能。
• 衡量标准：时延越小，性能越高

丢包率

• 定义：在连续负载的情况下，防火墙由于资源不足，应转发但是未转发的百分比。
• 衡量标准：丢包越小，防火墙的性能越高

版权声明：本文为CSDN博主「Piwrim丶」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/m0_60941423/article/details/122245276