《不花钱解决网络安全问题》摘记：第二章 保护网络边界

《不花钱解决网络安全问题》摘记

这一系列文章是阅读《Secure Your Network for Free: Using NMAP, WIRESHARK, SNORT, NESSUS, and MRTG》时的摘要记录，并非原文翻译，仅供学习者参考。如果对部分技术内容的细节感兴趣，可以查阅原书或其他相关技术讨论文章。

第二章 保护网络边界

防火墙是保护网络边界的首选和重要工具，但只有防火墙尚不足以实现足够坚固的防护体系。“深度防护”的原则，要求建立多层次的网络边界防护机制，因此需要考虑在各个层次上可选的免费或低成本防护工具。同时需要注意，虽然最常见的防火墙部署方式是在内外网之间的边缘位置，处于网络管理的要求，可以在网络的任何位置添加防火墙，以实现对其隔离的不同区域之间的流量管理。

防火墙类型

理论上讲，任何能实现网络流量限制的软硬件都可以被称为防火墙。防火墙的类别区分方法很多，一周方式是基于流量限制策略中的智能化水平程度进行区分。

1. 封包过滤防火墙：最简单的封包过滤防火墙可以根据IP协议的源地址/端口、目标地址/端口等信息决定是否过滤相应的包。
2. 状态检测防火墙：通过对连接进行检测和登记，避免对同一连接之间的大量包进行不必要的重复检测。
3. 应用层网关：为了解决网络协议层以上的攻击行为，应用层网关需要理解诸如 HTTP、FTP、SMTP 等更高层次的协议，以协助判断服务器之间的通信是否合法或存在安全风险。

封包过滤防火墙和状态检测防火墙存在免费解决方案，但应用层网关鲜有免费产品。在缺乏预算采购应用层网关的情况下，需要做好网络服务应用的漏洞检测和修复工作，及时安装应用补丁，可以一定程度上减少应用层攻击的