安全技术防火墙与入侵检测

安全技术-防火墙与入侵检测2024/4/3安全技术防火墙与入侵检测安全技术-防火墙与入侵检测2024/4/2安全技术防火墙与入1第一节防火墙－主流安全防护技术安全技术防火墙与入侵检测第一节防火墙－主流安全防护技术安全技术防火墙与入侵检测2本节主要内容一、防火墙概述二、防火墙技术分析三、防火墙布置安全技术防火墙与入侵检测本节主要内容一、防火墙概述安全技术防火墙与入侵检测3什么是防火墙在网络安全领域中，防火墙用来指应用于内部网络（局域网）和外部网络（Internet）之间的，用来保护内部网络免受非法访问和破坏的网络安全系统。

安全技术防火墙与入侵检测什么是防火墙在网络安全领域中，防火墙用来指应用于内部网络（局4防火墙主要功能防止不安全的协议和服务；防止外部对内部网络信息的获取；提供与外部连接的集中管理；

安全技术防火墙与入侵检测防火墙主要功能防止不安全的协议和服务；安全技术防火墙与入侵检5防火墙不能防范的攻击来自内部的安全威胁各种操作系统和应用服务程序的漏洞特洛伊木马社会工程不当配置安全技术防火墙与入侵检测防火墙不能防范的攻击来自内部的安全威胁安全技术防火墙与入侵检6本节主要内容一、防火墙概述二、防火墙技术分析三、防火墙布置安全技术防火墙与入侵检测本节主要内容一、防火墙概述安全技术防火墙与入侵检测7常用防火墙技术包过滤应用代理安全技术防火墙与入侵检测常用防火墙技术包过滤安全技术防火墙与入侵检测8包过滤普通路由器当数据包到达时，查看路由表，来决定能否以及如何传送数据包

屏蔽路由器即在决定能否及如何传送数据包之外，查看其规则集，看是否应该传送该数据包

安全技术防火墙与入侵检测包过滤普通路由器安全技术防火墙与入侵检测9规则制定的策略允许任何访问，除非规则特别地禁止

拒绝任何访问，除非被规则特别允许

安全技术防火墙与入侵检测规则制定的策略允许任何访问，除非规则特别地禁止安全技术防火10包过滤所检查的内容接口和方向

源和目的的IP地址

IP选项

IP的上层协议类型（TCP/UDP/ICMP）

TCP和UDP的源及目的端口

ICMP的报文类型和代码

安全技术防火墙与入侵检测包过滤所检查的内容接口和方向安全技术防火墙与入侵检测11规则举例上述规则定义了局域网用户可以使用外部网络的发信（SMTP）服务器方向源IP目标IPIP选项上层协议源端口目标端口－>内部外部无TCP>102425<－外部内部无TCP25>1024安全技术防火墙与入侵检测规则举例上述规则定义了局域网用户可以使用外部网络的发信（SM12包过滤的优缺点优点：速度快价格低用户透明

缺点：难于配置能力有限

规则失效时成为无安全保护状态安全技术防火墙与入侵检测包过滤的优缺点优点：安全技术防火墙与入侵检测13应用代理WEB代理工作原理示意页面缓冲文件HTTP请求WEB页面HTTP请求WEB页面安全技术防火墙与入侵检测应用代理WEB代理工作原理示意页面缓冲文件HTTP请求WEB14应用代理防火墙可以防止攻击者对内部网络信息的探测实现基于内容的过滤安全技术防火墙与入侵检测应用代理防火墙可以防止攻击者对内部网络信息的探测安全技术防火15应用代理的优缺点优点：可以隐藏内部网络的信息；可以具有强大的日志审核；可以实现内容的过滤；缺点：价格高速度慢

失效时造成网络的瘫痪安全技术防火墙与入侵检测应用代理的优缺点优点：安全技术防火墙与入侵检测16本节主要内容一、防火墙概述二、防火墙技术分析三、防火墙布置安全技术防火墙与入侵检测本节主要内容一、防火墙概述安全技术防火墙与入侵检测17包过滤路由内部网络外部网络包过滤路由器安全技术防火墙与入侵检测包过滤路由内部网络外部网络包过滤路由器安全技术防火墙与入侵检18应用代理网关内部网络外部网络应用代理网关（双宿主主机）安全技术防火墙与入侵检测应用代理网关内部网络外部网络应用代理网关安全技术防火墙与入侵19屏蔽主机内部网络外部网络保护应用代理安全技术防火墙与入侵检测屏蔽主机内部网络外部网络保护应用代理安全技术防火墙与入侵检测20屏蔽子网内部网络外部网络保护内部网络安全技术防火墙与入侵检测屏蔽子网内部网络外部网络保护内部网络安全技术防火墙与入侵检测21常见防火墙产品比较知名的防火墙产品包括：CheckPoint公司的“FireWall-1”NetScreen公司的“Netscreen系列”天融信的“网络卫士”安全技术防火墙与入侵检测常见防火墙产品比较知名的防火墙产品包括：安全技术防火墙与入侵22第二节入侵检测－主流安全检测技术安全技术防火墙与入侵检测第二节入侵检测－主流安全检测技术安全技术防火墙与入侵检测23本节主要内容一、入侵检测概述二、入侵检测基本模型三、入侵检测结构安全技术防火墙与入侵检测本节主要内容一、入侵检测概述安全技术防火墙与入侵检测24什么是入侵检测入侵检测（IDS）指可以发现网络入侵行为并响应的安全系统。安全技术防火墙与入侵检测什么是入侵检测入侵检测（IDS）指可以发现网络入侵行为并响应25入侵检测的作用检测防护部分阻止不了的入侵

检测入侵的前兆

入侵事件的归档

网络受威胁程度的评估

帮助从入侵事件中恢复

安全技术防火墙与入侵检测入侵检测的作用检测防护部分阻止不了的入侵安全技术防火墙与入26本节主要内容一、入侵检测概述二、入侵检测基本模型三、入侵检测结构安全技术防火墙与入侵检测本节主要内容一、入侵检测概述安全技术防火墙与入侵检测27入侵检测原理入侵检测和其它的检测技术一样，其核心任务都是从一组数据中检测出符合某一特点的数据。

安全技术防火墙与入侵检测入侵检测原理入侵检测和其它的检测技术一样，其核心任务都是从一28入侵检测通用模型事件收集器事件分析器响应单元事件数据库安全技术防火墙与入侵检测入侵检测通用模型事件收集器安全技术防火墙与入侵检测29事件收集基于主机操作系统的审核日志以及应用程序日志基于网络网络传输的数据安全技术防火墙与入侵检测事件收集基于主机安全技术防火墙与入侵检测30事件分析模式匹配（误用检测）将收集的事件和数据与已知网络入侵和系统误用模式数据库进行比较，检测入侵准确率高，容易漏报统计分析（异常检测）统计正常状态网络和主机的各类数据，安全技术防火墙与入侵检测事件分析模式匹配（误用检测）安全技术防火墙与入侵检测31响应单元主动响应进一步收集入侵相关信息阻止入侵反击被动响应报警安全技术防火墙与入侵检测响应单元主动响应安全技术防火墙与入侵检测32事件数据库数据库保存事件信息，包括正常和入侵事件。安全技术防火墙与入侵检测事件数据库数据库保存事件信息，包括正常和入侵事件。安全技术防33本节主要内容一、入侵检测概述二、入侵检测基本模型三、入侵检测结构安全技术防火墙与入侵检测本节主要内容一、入侵检测概述安全技术防火墙与入侵检测34体系结构单型IDS主从型IDS对等型IDS安全技术防火墙与入侵检测体系结构单型IDS安全技术防火墙与入侵检测35单型IDS事件收集事件分析单型IDS设计简单，适合小型环境，但存在局部性检测的问题安全技术防火墙与入侵检测单型IDS事件收集单型IDS设计简单，适合小型环境，但存在局36主从型IDS事件收集信息中心事件分析主从型IDS克服了局部检测问题，但网络性能影响比较大安全技术防火墙与入侵检测主从型IDS事件收集信息中心主从型IDS克服了局部检测问题，37对等型IDS代理：事件