首页 >> 电脑锈花

浅谈传统网络防火墙存在五大不足打桩机

打桩机    
2022年07月29日

浅谈传统网络防火墙存在五大不足

浅谈传统网络防火墙存在五大不足 2011年12月04日 来源: 网络防火墙在安全防护中,起到重要作用,但是我们,也应该看到它的不足之处。如今,知识渊博的黑客,均能利用网络防火墙开放的端口,巧妙躲过网络防火墙的监测,直接针对目标应用程序。他们想出复杂的攻击方法,能够绕过传统网络防火墙。据专家统计,目前70%的攻击是发生在应用层,而不是网络层。对于这类攻击,传统网络防火墙的防护效果,并不太理想。传统的网络防火墙,存在着以下不足之处:1、无法检测加密的Web流量如果你正在部署一个门户网站,希望所有的网络层和应用层的漏洞都被屏蔽在应用程序之外。这个需求,对于传统的网络防火墙而言,是个大问题。由于网络防火墙对于加密的SSL流中的数据是不可见的,防火墙无法迅速截获SSL数据流并对其解密,因此无法阻止应用程序的攻击,甚至有些网络防火墙,根本就不提供数据解密的功能。2、普通应用程序加密后,也能轻易躲过防火墙的检测网络防火墙无法看到的,不仅仅是SSL加密的数据。对于应用程序加密的数据,同样也不可见。在如今大多数网络防火墙中,依赖的是静态的特征库,与入侵监测系统(IDS,Intrusion Detect System)的原理类似。只有当应用层攻击行为的特征与防火墙中的数据库中已有的特征完全匹配时,防火墙才能识别和截获攻击数据。但如今,采用常见的编码技术,就能够地将恶意代码和其他攻击命令隐藏起来,转换成某种形式,既能欺骗前端的网络安全系统,又能够在后台服务器中执行。这种加密后的攻击代码,只要与防火墙规则库中的规则不一样,就能够躲过网络防火墙,成功避开特征匹配。3、对于Web应用程序,防范能力不足网络防火墙于1990年发明,而商用的Web服务器,则在一年以后才面世。基于状态检测的防火墙,其设计原理,是基于网络层TCP和IP地址,来设置与加强状态访问控制列表(ACLs,Access Control Lists)。在这一方面,网络防火墙表现确实十分出色。近年来,实际应用过程中,HTTP是主要的传输协议。主流的平台供应商和大的应用程序供应商,均已转移到基于Web的体系结构,安全防护的目标,不再只是重要的业务数据。网络防火墙的防护范围,发生了变化。对于常规的企业局域网的防范,通用的网络防火墙仍占有很高的市场份额,继续发挥重要作用,但对于新近出现的上层协议,如XML和SOAP等应用的防范,网络防火墙就显得有些力不从心。由于体系结构的原因,即使是最先进的网络防火墙,在防范Web应用程序时,由于无法全面控制网络、应用程序和数据流,也无法截获应用层的攻击。由于对于整体的应用数据流,缺乏完整的、基于会话(Session)级别的监控能力,因此很难预防新的未知的攻击。 4、应用防护特性,只适用于简单情况目前的数据中心服务器,时常会发生变动,比如:★ 定期需要部署新的应用程序;★ 经常需要增加或更新软件模块;★ QA们经常会发现代码中的bug,已部署的系统需要定期打补丁。在这样动态复杂的环境中,安全专家们需要采用灵活的、粗粒度的方法,实施有效的防护策略。虽然一些先进的网络防火墙供应商,提出了应用防护的特性,但只适用于简单的环境中。细看就会发现,对于实际的企业应用来说,这些特征存在着局限性。在多数情况下,弹性概念(proof-of-concept)的特征无法应用于现实生活中的数据中心上。比如,有些防火墙供应商,曾经声称能够阻止缓存溢出:当黑客在浏览器的URL中输入太长数据,试图使后台服务崩溃或使试图非法访问的时候,网络防火墙能够检测并制止这种情况。细看就会发现,这些供应商采用对80端口数据流中,针对URL长度进行控制的方法,来实现这个功能的。如果使用这个规则,将对所有的应用程序生效。如果一个程序或者是一个简单的Web网页,确实需要涉及到很长的URL时,就要屏蔽该规则。网络防火墙的体系结构,决定了网络防火墙是针对网络端口和网络层进行操作的,因此很难对应用层进行防护,除非是一些很简单的应用程序。5、无法扩展带深度检测功能基于状态检测的网络防火墙,如果希望只扩展深度检测(deep inspection)功能,而没有相应增加网络性能,这是不行的。真正的针对所有网络和应用程序流量的深度检测功能,需要空前的处理能力,来完成大量的计算任务,包括以下几个方面:★ SSL加密/解密功能;★ 完全的双向有效负载检测;★ 确保所有合法流量的正常化;★ 广泛的协议性能;这些任务,在基于标准PC硬件上,是无法高效运行的,虽然一些网络防火墙供应商采用的是基于ASIC的平台,但进一步研究,就能发现:旧的基于网络的ASIC平台对于新的深度检测功能是无法支持的。6、小结应用层受到攻击的概率越来越大,而传统网络防火墙在这方面有存在着不足之处。对此,少数防火墙供应商也开始意识到应用层的威胁,在防火墙产品上增加了一些弹性概念(Proof-Of-Concept)的特征,试图防范这些威胁。传统的网络防火墙对于应用安全的防范上效果不佳,对于上述列出的五大不足之处,将来需要在网络层和应用层加强防范。

四川男性白癜风选择哪一家医院治

天津哪里医院治疗牛皮癣

就医直通淮安儿童语言障碍训练机构

早期牛皮癣有什么症状一开始的牛皮癣是什么样的

昆明哪个医院能治好卵巢疾病

相关阅读
最火23日天津市场钢绞线价格行情薄膜生产线分切机紧线钳青铜轴承线控器Rra

23日天津市场钢绞线价格行情您当前位置:首页 价格行情23日天津市场钢绞线...

2024-03-22
最火新疆若羌县森隆铜铅锌冶炼项目开工电炉丝回流焊木工刨刀贴片二极管制氮机Rra

新疆若羌县森隆铜铅锌冶炼项目开工【铝道】新疆若羌县举行靠前批重点项目...

2024-03-22
最火深圳中央空调安装轻奢新体验安达翻斗车接料钳砌块成型机武汉Rra

深圳中央空调安装轻奢新体验您当前位置:首页 企业深圳中央空调安装轻奢...

2024-03-22
最火铝合金电缆标准预计明年初发布裁剪机钢镐可调激光器瑞丽雪刷Rra

铝合金电缆标准预计明年初发布【铝道】一位业内权威例如人士向大智慧通讯...

2024-03-22
最火中铝下半年铝价将维持在1800美元到23变压器行业蜂窝煤机聚丙烯薄膜热保护器心率计Rra

中铝:下半年铝价将维持在1800美元到2300美元据本了解 中国铝业公薄膜电容司...

2024-03-22
最火2月22日福建炼钢生铁最新价格行情齿轮轴承功率表冷裱机石英振荡器液压站Rra

2月22日福建炼钢生铁最新价格行情所丈量取得的扭矩为真实的胶料本身交联赤...

2024-03-22
友情链接