HCNA安全学习笔记

主机防火墙与杀毒软件相关重点

1、Windows防火墙允许设置高级规则，通过高级规则实现对应端口、IP、应用等的网络访问。

2、Linux防火墙iptables的结构是iptables>表>链>规则。在iptables中有多张表，每一个表可以应用多个链，每个链上包含着具体的限制规则。限制规则一般包括一个五元组信息：源IP、源端口、目的端口、目的IP、相关协议。链中的规则是从上到下匹配的，匹配到一条则不再匹配下面的规则。

3、Linux防火墙iptables中通常含有4张表，分别是：Filter、NAT、Mangle、Raw。其中Filter的主要内容是是否允许某数据包通过，NAT表主要功能是是否对来源数据包中的IP进行地址转换，Mangle表的主要内容是是否修改指定数据包内容。Raw表决定数据包是否被状态跟踪机制处理。其中优先级分别时Raw>Mangle>NAT>Filter.

4、Linux防火墙iptables中通常包含5个链，分别时Prerouting链、Forword链、Input链、Output链、Postrouting链。当数据流入主机后，首先经过Prerouting链解析是否目的为本机，如果是则发送到Input链做一个规则的匹配，放行通过之后进行内部处理；如果解析目的不是本机则发送到Forwrod链进行匹配查询其规则是否允许放行，放行通过后则发往Postrouting链进行发送。、当内部数据流出主机时需要首先匹配Output链查看是否放行，如果放行则传输到Postrouting链进行下一步转发。

5、杀毒软件的组成一般是由扫描器、病毒库以及虚拟机组成。杀毒软件的关键技术包括：脱壳技术、自我保护技术、修复技术、实时更新技术、主动防御技术。

6、包过滤防火墙的缺点有无法关联包之间的关系、无法适应多通道协议、通常不检查应用层数据。代理防火墙存在转发复杂，效率低等问题。现在用的最多的则是状态检测防火墙。所谓状态检测防火墙就是当连接的首包允许通过防火墙后就可以建立一个会话表项，后续的数据包不用再检测就可以直接通过。

7、防火墙安全策略匹配流程，首先匹配对应的协议端口等信息，如果通过后将分别匹配：反病毒文件、入侵防御文件、URL过滤文件、文件过滤文件、内容过滤文件、应用行为控制文件、邮件过滤文件等多个配置文件相对应的安全策略。

8、ASPF（Application Specific Packet Filter）针对应用层实现包过滤，能够应对多通道协议的安全情景。当多通道协议协商开启新通道时，数据包内容会被防火墙设备解析，得到新开启的服务端口。然后会建立一个ServerMap表，类似于状态检测时建立的会话表项，允许协商的端口通过。

9、防火墙还需要拥有分片缓存功能，防止数据包被分片，后续报文先于首包到达导致丢弃。还包括长连接功能等。