防火墻讓網(wǎng)絡(luò)固若金湯?
防火墻作為網(wǎng)絡(luò)安全體系的基礎(chǔ)和核心控制設(shè)備，貫穿于受控網(wǎng)絡(luò)通信主干線，它對(duì)通過(guò)受控干線的任何通信行為進(jìn)行安全處理，同時(shí)也承擔(dān)著繁重的通信任務(wù)。可是傳統(tǒng)意義上的包過(guò)濾防火墻有很多弊?。涸谕ㄐ欧矫妫^(guò)濾防火墻只能訪問(wèn)部分?jǐn)?shù)據(jù)包的頭信息;在狀態(tài)監(jiān)管方面，包過(guò)濾防火墻是無(wú)狀態(tài)的，所以它不可能保存來(lái)自于通信和應(yīng)用的狀態(tài)信息;在信息處理方面的能力也是有限的。
比如Unicode攻擊，以及“代碼注入技術(shù)”，因?yàn)檫@種攻擊是選擇了防火墻所允許的80端口，而包過(guò)濾的防火墻無(wú)法對(duì)數(shù)據(jù)包內(nèi)容進(jìn)行核查，因此此時(shí)防火墻等同于虛設(shè)，即使在防火墻的屏障之后，也會(huì)被攻擊者輕松拿下超級(jí)用戶的權(quán)限。
1.防火墻是一個(gè)靜態(tài)的設(shè)備
隨著信息技術(shù)的發(fā)展與應(yīng)用，信息安全的內(nèi)涵在不斷的延伸，從最初的信息保密性發(fā)展到信息的完整性、可用性、可控性和不可否認(rèn)性，進(jìn)而又發(fā)展為“攻(攻擊)、防(防范)、測(cè)(檢測(cè))、控(控制)、管(管理)、評(píng)(評(píng)估)”等多方面的基礎(chǔ)理論和實(shí)施技術(shù)。傳統(tǒng)的信息安全技術(shù)都集中在系統(tǒng)本身的加固和防護(hù)上，如采用安全級(jí)別高的操作系統(tǒng)與數(shù)據(jù)庫(kù)，在網(wǎng)絡(luò)的出口處配置防火墻，在信息傳輸和存儲(chǔ)方面采用加密技術(shù)，使用集中的身份認(rèn)證產(chǎn)品等。傳統(tǒng)的信息系統(tǒng)安全模型是針對(duì)單機(jī)系統(tǒng)環(huán)境而制定的，對(duì)網(wǎng)絡(luò)環(huán)境安全并不能很好描述，并且對(duì)動(dòng)態(tài)的安全威脅、系統(tǒng)的脆弱性沒(méi)有應(yīng)對(duì)措施，傳統(tǒng)的安全模型是靜態(tài)安全模型。但隨著網(wǎng)絡(luò)的深入發(fā)展，它已無(wú)法完全反應(yīng)動(dòng)態(tài)變化的互聯(lián)網(wǎng)安全問(wèn)題。
傳統(tǒng)的計(jì)算機(jī)安全模型中，美國(guó)國(guó)防部NCSC國(guó)家計(jì)算機(jī)安全中心于1985年推出的TCSEC模型是靜態(tài)計(jì)算機(jī)安全模型的代表，也是目前被普遍采用的安全模型。如圖2所示。
PPDR模型包含四個(gè)主要部分：Policy(安全策略)、Protection(防護(hù))、Detection(檢測(cè))和Response (響應(yīng))。防護(hù)、檢測(cè)和響應(yīng)組成了一個(gè)所謂的“完整的、動(dòng)態(tài)”的安全循環(huán)，在安全策略的整體指導(dǎo)下保證信息系統(tǒng)的安全。
2.高頻詞“安全木桶”
網(wǎng)絡(luò)信息系統(tǒng)是一個(gè)復(fù)雜的計(jì)算機(jī)系統(tǒng)，它本身在物理上、操作上和管理上的種種漏洞構(gòu)成了系統(tǒng)的安全脆弱性，尤其是客戶端用戶系統(tǒng)自身的復(fù)雜性、和隨意性較強(qiáng)，即使使用一些技術(shù)保護(hù)也可以說(shuō)防不勝防。網(wǎng)絡(luò)信息安全的木桶原則是指對(duì)信息均衡、全面的進(jìn)行保護(hù)?！澳就暗淖畲笕莘e取決于最短的一塊木板”，“安全木桶”這個(gè)詞在網(wǎng)絡(luò)安全領(lǐng)域是出現(xiàn)頻率非常高的用詞。
但是，依然有相當(dāng)一部分人認(rèn)為黑客、病毒、系統(tǒng)加固等就已經(jīng)涵蓋了信息安全的一切威脅，似乎信息安全工作就是完全在與黑客與病毒打交道，全面系統(tǒng)的安全解決方案就是部署反病毒軟件、防火墻、入侵檢測(cè)系統(tǒng)。這種片面的看法對(duì)一個(gè)組織實(shí)施有效的信息安全保護(hù)帶來(lái)了不良影響，有許多例子都可以舉出來(lái)。
3.網(wǎng)絡(luò)安全是一種“補(bǔ)充”
多數(shù)的企業(yè)網(wǎng)絡(luò)建設(shè)中都會(huì)將有限資金放到網(wǎng)絡(luò)邊界和基礎(chǔ)設(shè)施上，但是對(duì)計(jì)算環(huán)境尤其是終端安全的資金投入和重視程度不高。這種資金投入的比例嚴(yán)重失調(diào)必然會(huì)造成“短板效應(yīng)”。
網(wǎng)絡(luò)安全是一個(gè)系統(tǒng)，它不是防火墻，不是入侵檢測(cè)系統(tǒng)，也不是我們虛擬專(zhuān)用網(wǎng)，當(dāng)然，也不是哪個(gè)網(wǎng)管員根據(jù)廠商或者網(wǎng)上的一些資料加固系統(tǒng)范例。
我們常說(shuō)的訪問(wèn)控制列表，它能夠基于主機(jī)防火墻、文件訪問(wèn)控制為您提供網(wǎng)絡(luò)層面和文件層面的控制，但它不是一個(gè)系統(tǒng)。對(duì)于一個(gè)真正的網(wǎng)絡(luò)安全系統(tǒng)，以需要應(yīng)用特定的威脅防御方法作為技術(shù)補(bǔ)充。例如在NTFS文件系統(tǒng)中，如果您針對(duì)了用戶設(shè)置“讀取訪問(wèn)權(quán)限”，那么這些訪問(wèn)文件的用戶真的就不能修改這些文件了嗎?答案是否定的。
我們?cè)O(shè)想一下，如果這個(gè)用戶將可讀取的文件存儲(chǔ)為副本，那么這個(gè)文件的從屬權(quán)是不是已經(jīng)丟失了。所以，在文件訪問(wèn)控制列表的基礎(chǔ)上增加數(shù)字證書(shū)或者水印功能，都是對(duì)訪問(wèn)控制列表的補(bǔ)充應(yīng)用。
建議
如此看來(lái)，僅有防火墻和加密顯然不夠。網(wǎng)絡(luò)管理員不僅要確保自己運(yùn)行的軟件版本最新、最安全，還要時(shí)時(shí)關(guān)注操作系統(tǒng)的漏洞報(bào)告，時(shí)時(shí)密切關(guān)注網(wǎng)絡(luò)，尋找可疑活動(dòng)的跡象。此外，他們還要對(duì)使用網(wǎng)絡(luò)的最終用戶給出明確的指導(dǎo)，勸他們不要安裝沒(méi)有經(jīng)過(guò)測(cè)試的新軟件，打開(kāi)電子郵件的可執(zhí)行附件，訪問(wèn)文件共享站點(diǎn)、運(yùn)行對(duì)等軟件，配置自己的遠(yuǎn)程訪問(wèn)程序和不安全的無(wú)線接入點(diǎn)，等等。
【編輯推薦】
