防火墻系統(tǒng)基礎(chǔ)知識大全
防火墻系統(tǒng)基礎(chǔ)知識大全有哪些？您的防火墻是抵御安全威脅的第一道防線;但只是將防火墻設(shè)備添加到您的網(wǎng)絡(luò)并不能確保您的網(wǎng)絡(luò)安全。下面就讓小編帶你去看看防火墻系統(tǒng)基礎(chǔ)知識大全，希望對你有所幫助吧
干貨!!!如何配置防火墻以獲得最佳效果
1.記錄防火墻規(guī)則，并添加注釋以解釋特殊規(guī)則。
對于IT團(tuán)隊(duì)中的每個(gè)人來說，了解所有已編寫的規(guī)則至關(guān)重要。
雖然這可能是一項(xiàng)耗時(shí)的任務(wù)，但您只需要執(zhí)行一次，并且從長遠(yuǎn)來看審計(jì)和添加新規(guī)則時(shí)，最終會節(jié)省安全管理員的大量時(shí)間。
2.減少寬松的規(guī)則，并在頂部包括“拒絕所有”。
系統(tǒng)安全高于一切，開始使用“拒絕所有”規(guī)則編寫防火墻規(guī)則是一種很好的做法。這有助于保護(hù)網(wǎng)絡(luò)免受手動操作錯誤的影響。
允許規(guī)則為用戶提供了更多自由，這可以轉(zhuǎn)化為為用戶提供比執(zhí)行與業(yè)務(wù)相關(guān)的功能所需的更多資源。
3.定期檢查防火墻規(guī)則，并優(yōu)化防火墻性能。
隨著時(shí)間的推移，新策略由不同的安全管理員定義，規(guī)則的數(shù)量往往會增加。
定期清理未使用的規(guī)則有助于避免堵塞防火墻的處理器，因此定期審核規(guī)則以及刪除重復(fù)的規(guī)則，異常和不需要的策略非常重要。
4.組織防火墻規(guī)則以最大化速度。
將最常用的規(guī)則置于頂部并將較少使用的規(guī)則移至底部有助于提高防火墻的處理速度。
5.滲透測試以檢查規(guī)則的健康狀況。
滲透測試是針對您的計(jì)算機(jī)系統(tǒng)的模擬網(wǎng)絡(luò)攻擊，以檢查可利用的漏洞。
6.定期自動進(jìn)行安全審計(jì)。
安全審計(jì)是對防火墻的手動或系統(tǒng)可測量的技術(shù)評估。
鑒于它由手動和自動化任務(wù)組合而成，因此必須定期審核和記錄這些任務(wù)的結(jié)果。
7.擁有端到端的變更管理工具。
有效策略管理的關(guān)鍵是端到端的變更管理工具，可以從頭到尾跟蹤和記錄請求。
8.制定廣泛的實(shí)時(shí)警報(bào)管理計(jì)劃。
實(shí)時(shí)警報(bào)管理系統(tǒng)對于高效的防火墻管理至關(guān)重要。如果防火墻出現(xiàn)故障，備用防火墻需要立即啟動，以便暫時(shí)可以通過此防火墻路由所有流量。系統(tǒng)遇到攻擊時(shí)及時(shí)觸發(fā)警報(bào)，以便快速解決問題。
9.按照規(guī)定保留日志。
您需要在規(guī)定的時(shí)間內(nèi)保留日志，具體取決于您規(guī)定的規(guī)則。
10.定期檢查安全合規(guī)性。
定期內(nèi)部審核結(jié)合不同安全標(biāo)準(zhǔn)的合規(guī)性檢查是維護(hù)健康網(wǎng)絡(luò)的重要方面。
11.升級防火墻軟件和固件。
沒有網(wǎng)絡(luò)或防火墻是完美的，黑客正在晝夜不停地尋找漏洞。
防火墻的常規(guī)軟件和固件更新有助于消除系統(tǒng)中的已知漏洞。
如果尚未修補(bǔ)已知漏洞，即使是最好的防火墻規(guī)則也無法阻止攻擊。
以上這一系列操作有助于提高防火墻的性能，但您知道使優(yōu)化防火墻策略變得更加容易、便捷、高效的方法嗎?卓豪ManageEngine Firewall Analyzer可以自動處理數(shù)據(jù)并得出有關(guān)防火墻提高性能的建議。
ManageEngine Firewall Analyzer是一個(gè)安全日志監(jiān)控與審計(jì)平臺，能夠?qū)崟r(shí)將企業(yè)網(wǎng)絡(luò)安全設(shè)施(如防火墻、代理服務(wù)器、入侵檢測/防御系統(tǒng)和v__等)在運(yùn)行過程中產(chǎn)生的安全日志和事件以及配置日志匯集到審計(jì)中心，進(jìn)行全網(wǎng)綜合安全分析。幫助安全管理人員快速識別病毒攻擊、異常流量以及用戶非法行為等重要的安全信息，從而運(yùn)用合理的安全策略，保證網(wǎng)絡(luò)的安全。
Linu__ 防火墻入門教程 | Linu__ 中國
安裝防火墻
很多 Linu__ 發(fā)行版本已經(jīng)自帶了防火墻，通常是 iptables。它很強(qiáng)大并可以自定義，但配置起來有點(diǎn)復(fù)雜。幸運(yùn)的是，有開發(fā)者寫出了一些前端程序來幫助用戶控制防火墻，而不需要寫冗長的 iptables 規(guī)則。
在 Fedora、CentOS、Red Hat 和一些類似的發(fā)行版本上，默認(rèn)安裝的防火墻軟件是 firewalld，通過 firewall-cmd 命令來配置和控制。在 Debian 和大部分其他發(fā)行版上，可以從你的軟件倉庫安裝 firewalld。Ubuntu 自帶的是 簡單防火墻(Uncomplicated Firewall)(ufw)，所以要使用 firewalld，你必須啟用 universe 軟件倉庫：
$ sudo add-apt-repository universe
$ sudo apt install firewalld
你還需要停用 ufw：
$ sudo systemctl disable ufw
沒有理由不用 ufw。它是一個(gè)強(qiáng)大的防火墻前端。然而，本文重點(diǎn)講 firewalld，因?yàn)榇蟛糠职l(fā)行版都支持它而且它集成到了 systemd，systemd 是幾乎所有發(fā)行版都自帶的。
不管你的發(fā)行版是哪個(gè)，都要先激活防火墻才能讓它生效，而且需要在啟動時(shí)加載：
$ sudo systemctl enable --now firewalld
理解防火墻的域
Firewalld 旨在讓防火墻的配置工作盡可能簡單。它通過建立 域(zone)來實(shí)現(xiàn)這個(gè)目標(biāo)。一個(gè)域是一組的合理、通用的規(guī)則，這些規(guī)則適配大部分用戶的日常需求。默認(rèn)情況下有九個(gè)域。
trusted：接受所有的連接。這是最不偏執(zhí)的防火墻設(shè)置，只能用在一個(gè)完全信任的環(huán)境中，如測試實(shí)驗(yàn)室或網(wǎng)絡(luò)中相互都認(rèn)識的家庭網(wǎng)絡(luò)中。
home、work、internal：在這三個(gè)域中，接受大部分進(jìn)來的連接。它們各自排除了預(yù)期不活躍的端口進(jìn)來的流量。這三個(gè)都適合用于家庭環(huán)境中，因?yàn)樵诩彝キh(huán)境中不會出現(xiàn)端口不確定的網(wǎng)絡(luò)流量，在家庭網(wǎng)絡(luò)中你一般可以信任其他的用戶。
public：用于公共區(qū)域內(nèi)。這是個(gè)偏執(zhí)的設(shè)置，當(dāng)你不信任網(wǎng)絡(luò)中的其他計(jì)算機(jī)時(shí)使用。只能接收選定的常見和最安全的進(jìn)入連接。
dmz：DMZ 表示隔離區(qū)。這個(gè)域多用于可公開訪問的、位于機(jī)構(gòu)的外部網(wǎng)絡(luò)、對內(nèi)網(wǎng)訪問受限的計(jì)算機(jī)。對于個(gè)人計(jì)算機(jī)，它沒什么用，但是對某類服務(wù)器來說它是個(gè)很重要的選項(xiàng)。
e__ternal：用于外部網(wǎng)絡(luò)，會開啟偽裝(你的私有網(wǎng)絡(luò)的地址被映射到一個(gè)外網(wǎng) IP 地址，并隱藏起來)。跟 DMZ 類似，僅接受經(jīng)過選擇的傳入連接，包括 SSH。
block：僅接收在本系統(tǒng)中初始化的網(wǎng)絡(luò)連接。接收到的任何網(wǎng)絡(luò)連接都會被 icmp-host-prohibited 信息拒絕。這個(gè)一個(gè)極度偏執(zhí)的設(shè)置，對于某類服務(wù)器或處于不信任或不安全的環(huán)境中的個(gè)人計(jì)算機(jī)來說很重要。
drop：接收的所有網(wǎng)絡(luò)包都被丟棄，沒有任何回復(fù)。僅能有發(fā)送出去的網(wǎng)絡(luò)連接。比這個(gè)設(shè)置更極端的辦法，唯有關(guān)閉 WiFi 和拔掉網(wǎng)線。
你可以查看你發(fā)行版本的所有域，或通過配置文件 /usr/lib/firewalld/zones 來查看管理員設(shè)置。舉個(gè)例子：下面是 Fefora 31 自帶的 FedoraWorkstation 域：
$ cat /usr/lib/firewalld/zones/FedoraWorkstation.__ml
Fedora Workstation
Unsolicited incoming network packets are rejected from port 1 to 1024, e__cept for select network services. Incoming packets that are related to outgoing network connections are accepted. Outgoing network connections are allowed.
獲取當(dāng)前的域
任何時(shí)候你都可以通過 --get-active-zones 選項(xiàng)來查看你處于哪個(gè)域：
$ sudo firewall-cmd --get-active-zones
輸出結(jié)果中，會有當(dāng)前活躍的域的名字和分配給它的網(wǎng)絡(luò)接口。筆記本電腦上，在默認(rèn)域中通常意味著你有個(gè) WiFi 卡：
FedoraWorkstation
interfaces: wlp61s0
修改你當(dāng)前的域
要更改你的域，請將網(wǎng)絡(luò)接口重新分配到不同的域。例如，把例子中的 wlp61s0 卡修改為 public 域：
$ sudo firewall-cmd --change-interface=wlp61s0 --zone=public
你可以在任何時(shí)候、任何理由改變一個(gè)接口的活動域 —— 無論你是要去咖啡館，覺得需要增加筆記本的安全策略，還是要去上班，需要打開一些端口進(jìn)入內(nèi)網(wǎng)，或者其他原因。在你憑記憶學(xué)會 firewall-cmd 命令之前，你只要記住了關(guān)鍵詞 change 和 zone，就可以慢慢掌握，因?yàn)榘聪?Tab 時(shí)，它的選項(xiàng)會自動補(bǔ)全。
數(shù)據(jù)庫防火墻系統(tǒng)
產(chǎn)品概述
中安威士數(shù)據(jù)庫防火墻(簡稱VS-FW)，是由中安威士(北京)科技有限公司開發(fā)具有完全自主知識產(chǎn)權(quán)的安全防護(hù)產(chǎn)品。該產(chǎn)品通過實(shí)時(shí)分析用戶對數(shù)據(jù)庫的訪問行為，自動建立合法訪問數(shù)據(jù)庫的特征模型。同時(shí)，通過獨(dú)立的授權(quán)管理機(jī)制和虛擬補(bǔ)丁等防護(hù)手段，及時(shí)發(fā)現(xiàn)和阻斷SQL注入攻擊和違反企業(yè)規(guī)范的數(shù)據(jù)庫訪問請求。主要功能包括屏蔽真實(shí)數(shù)據(jù)庫、多因子認(rèn)證、自動建模、攻擊檢測、訪問控制和審計(jì)等。該產(chǎn)品具有高性能、大存儲和報(bào)表豐富等優(yōu)勢，幫助企業(yè)有效保護(hù)核心數(shù)據(jù)，保障業(yè)務(wù)運(yùn)營安全，并快速的滿足合規(guī)要求。
產(chǎn)品功能
屏蔽直接訪問數(shù)據(jù)庫的通道
數(shù)據(jù)庫防火墻部署于數(shù)據(jù)庫服務(wù)器和應(yīng)用服務(wù)器之間，屏蔽直接訪問數(shù)據(jù)庫的通道，防止數(shù)據(jù)庫隱通道對數(shù)據(jù)庫的攻擊，見下圖。
多因子認(rèn)證
基于IP地址、MAC地址、用戶、應(yīng)用程序、時(shí)間等因子對訪問者進(jìn)行身份認(rèn)證，形成多因子認(rèn)證，彌補(bǔ)單一口令認(rèn)證方式安全性的不足。應(yīng)用程序?qū)?shù)據(jù)庫的訪問，必須經(jīng)過數(shù)據(jù)庫防火墻和數(shù)據(jù)庫自身兩層身份認(rèn)證。
攻擊檢測和保護(hù)
實(shí)時(shí)檢測用戶對數(shù)據(jù)庫進(jìn)行SQL注入和緩沖區(qū)溢出的攻擊，并報(bào)警或者阻止攻擊行為，同時(shí)詳細(xì)記錄攻擊操作發(fā)生的時(shí)間、來源IP、用戶名、攻擊代碼等信息。
行為基線—自動建立訪問模型
系統(tǒng)將自動學(xué)習(xí)每一個(gè)應(yīng)用的訪問語句，進(jìn)行模式提取和分類，自動生成行為特征模型，并可以對學(xué)習(xí)結(jié)果進(jìn)行編輯。系統(tǒng)通過檢查訪問行為與基線的偏差來識別風(fēng)險(xiǎn)。
連接監(jiān)控
實(shí)時(shí)監(jiān)控?cái)?shù)據(jù)庫的連接信息、風(fēng)險(xiǎn)狀態(tài)等。
虛擬補(bǔ)丁
數(shù)據(jù)庫系統(tǒng)是個(gè)復(fù)雜的系統(tǒng)，自身存在很多漏洞，容易被攻擊者利用從而導(dǎo)致數(shù)據(jù)泄漏或致使系統(tǒng)癱瘓。由于需要保證業(yè)務(wù)連續(xù)性等多種原因，用戶通常不會及時(shí)對數(shù)據(jù)庫進(jìn)行補(bǔ)丁安裝。中安威士數(shù)據(jù)庫防火墻通過內(nèi)置的多種漏洞特征庫防止已知漏洞被利用，并有效降低數(shù)據(jù)庫被0day攻擊的風(fēng)險(xiǎn)。
安全審計(jì)
系統(tǒng)能夠記錄對數(shù)據(jù)庫服務(wù)器的訪問情況，包括用戶名、程序名、IP地址、請求的數(shù)據(jù)庫、連接斷開的時(shí)間、風(fēng)險(xiǎn)等信息，并提供靈活的查詢分析功能。
報(bào)表
提供豐富的報(bào)表模板，包括各種審計(jì)報(bào)表、安全趨勢等。
數(shù)據(jù)庫審計(jì)探針
本系統(tǒng)作為數(shù)據(jù)庫防火墻的同時(shí)，還可以作為數(shù)據(jù)庫審計(jì)系統(tǒng)的數(shù)據(jù)獲取設(shè)備，將通信內(nèi)容發(fā)送到數(shù)據(jù)庫審計(jì)系統(tǒng)中，在不影響防火墻性能的前提下，實(shí)現(xiàn)完整、專業(yè)的數(shù)據(jù)庫審計(jì)。
特性優(yōu)勢
1.技術(shù)優(yōu)勢
全自主技術(shù)體系：形成高技術(shù)壁壘
高速分析技術(shù)：特殊數(shù)據(jù)包分析和轉(zhuǎn)發(fā)技術(shù)，實(shí)現(xiàn)高效的網(wǎng)絡(luò)通信內(nèi)容過濾
多線程技術(shù)和緩存技術(shù)，支持高并發(fā)連接
基于BigTable和MapReduce的存儲：單機(jī)環(huán)境高效、海量存儲
基于倒排索引的檢索：高效、靈活日志檢索、報(bào)表生成
2.高性能
連續(xù)處理能力：7000~4萬SQL/s
索速度: <1分鐘，1億記錄，帶通配符的模糊檢索
日志存儲能力: 30億 ~100億SQL/TB
3.高可用性
基于硬件的Bypass功能，防止單點(diǎn)失敗
支持雙機(jī)熱備功能，保證連續(xù)服務(wù)能力
支持自動日志備份
支持SNMP、Syslog日志外發(fā)
支持時(shí)間同步
......
4.高安全性
典型部署
透明網(wǎng)橋模式
將數(shù)據(jù)庫防火墻直連在數(shù)據(jù)庫之前，所有對數(shù)據(jù)庫的訪問流量都流經(jīng)該設(shè)備進(jìn)行過濾和轉(zhuǎn)發(fā)，防火墻不設(shè)IP地址，客戶端看到的數(shù)據(jù)庫地址不變。
直路代理模式
將數(shù)據(jù)庫防火墻直連在數(shù)據(jù)庫之前，防火墻具有獨(dú)立IP地址，客戶端邏輯連接防火墻設(shè)備地址，所有對數(shù)據(jù)庫的訪問流量都流經(jīng)該設(shè)備進(jìn)行過濾和轉(zhuǎn)發(fā)。
單臂代理模式
將數(shù)據(jù)庫防火墻接入數(shù)據(jù)庫所在網(wǎng)絡(luò)，客戶端邏輯連接防火墻設(shè)備地址，所有對數(shù)據(jù)庫的訪問流量都流經(jīng)該設(shè)備進(jìn)行過濾和轉(zhuǎn)發(fā)。
數(shù)據(jù)庫審計(jì)和防火墻：混合部署
客戶價(jià)值
》保護(hù)核心數(shù)據(jù)資產(chǎn)，防止內(nèi)外部攻擊造成的數(shù)據(jù)泄密
防止外部黑客攻擊，竊取數(shù)據(jù)：SQL注入、緩沖區(qū)溢出、權(quán)限盜用等
防止內(nèi)部人員泄密，違規(guī)備份、權(quán)限濫用、誤操作等
防止運(yùn)維人員和第三方人員違規(guī)訪問敏感數(shù)據(jù)
》安全性與可用性的完美結(jié)合，對合法應(yīng)用和用戶透明
智能學(xué)習(xí)，自動生成安全基線，無需手動復(fù)雜配置規(guī)則
高穩(wěn)定性與高性能，支持雙機(jī)熱備，保障正常業(yè)務(wù)的連續(xù)性
不需要對應(yīng)用程序作任何修改，不改變應(yīng)用程序的使用環(huán)境
對于授權(quán)用戶的數(shù)據(jù)庫操作與管理等過程無需改變
客戶案例
案例1：數(shù)據(jù)庫防火墻防止社保信息泄露
背景介紹和需求
2015年5月，包括重慶、上海、山西在內(nèi)的三十多個(gè)省市衛(wèi)生和社保系統(tǒng)出現(xiàn)大量高危漏洞，數(shù)千萬用戶的社保信息可能因此被泄漏。補(bǔ)天漏洞響應(yīng)平臺安全專家表示，社保系統(tǒng)包括居民身份證、社保、薪酬等敏感信息。一旦這些信息泄露，不僅是個(gè)人隱私全無，還會被犯罪分子利用來復(fù)制身份證、盜辦信用卡、盜刷信用卡等刑事犯罪和經(jīng)濟(jì)犯罪。因此亟需相應(yīng)的解決方案對該信息進(jìn)行保護(hù)。
解決方案
在數(shù)據(jù)庫之前以透明網(wǎng)關(guān)模式部署中安威士數(shù)據(jù)庫防火墻，開啟學(xué)習(xí)模式，經(jīng)過1天左右時(shí)間的學(xué)習(xí)，建立其應(yīng)用對數(shù)據(jù)庫訪問的行為基線，進(jìn)而進(jìn)入工作模式，并開啟阻斷功能。所有對數(shù)據(jù)庫的SQL注入攻擊都會偏離基線，而被阻止，從而從根本上阻止了SQL注入。
有益結(jié)果
某省社保系統(tǒng)通過上述解決方案，有效地抵御了各類SQL注入攻擊，提高了系統(tǒng)整體的防御能力，維護(hù)和提升了社保機(jī)構(gòu)的形象和公信力。完善的日志還能協(xié)助安全事件取證及事后追溯，進(jìn)一步的防止敏感信息的丟失和泄漏。
案例2：數(shù)據(jù)庫防火墻保護(hù)互聯(lián)網(wǎng)金融數(shù)據(jù)庫免受攻擊
背景介紹和需求
互聯(lián)網(wǎng)金融企業(yè)面臨著嚴(yán)重的敏感數(shù)據(jù)安全問題。其客戶信息(姓名、身份證、地址、電話、郵件等)、交易信息(交易時(shí)間、額度、盈虧情況)等敏感數(shù)據(jù)具有很高的價(jià)值，常常成為黑客攻擊的目標(biāo)。另外，企業(yè)內(nèi)部數(shù)據(jù)分析人員也可能在利益的驅(qū)使下執(zhí)行各種偏離業(yè)務(wù)的非法查詢和分析語句。從而，亟需對數(shù)據(jù)庫的攻擊行為進(jìn)行發(fā)現(xiàn)和阻斷，并詳細(xì)記錄內(nèi)部人員的訪問行為，便于取證。
解決方案
經(jīng)過論證，在核心數(shù)據(jù)庫集群前部署了中安威士數(shù)據(jù)庫防火墻。采用直連代理方式，將系統(tǒng)正確的目標(biāo)數(shù)據(jù)庫地址修改為防火墻地址。開啟學(xué)習(xí)功能，學(xué)習(xí)到的語句模式經(jīng)過人工兩次鑒別后作為系統(tǒng)的白名單。對于前端網(wǎng)站系統(tǒng)產(chǎn)生的偏離白名單的訪問行為進(jìn)行阻斷，并產(chǎn)生報(bào)警。對于內(nèi)部的訪問偏離行為，進(jìn)行詳細(xì)記錄，由人工判斷是否屬于違規(guī)訪問。
有益結(jié)果
某P2P公司通過上述解決方案，有效抵御了各類SQL注入和權(quán)限濫用攻擊，顯著提升了數(shù)據(jù)安全防護(hù)水平。同時(shí)，能夠輕松滿足來自監(jiān)管部門的合規(guī)性檢查，也消除了客戶對隱私安全的顧慮，從而促進(jìn)了業(yè)務(wù)的開展。
防火墻系統(tǒng)基礎(chǔ)知識大全相關(guān)文章：
★ 網(wǎng)絡(luò)基礎(chǔ)知識匯總學(xué)習(xí)
★ 網(wǎng)絡(luò)安全基礎(chǔ)知識大全有哪些
★ 【網(wǎng)絡(luò)安全】:網(wǎng)絡(luò)安全基礎(chǔ)知識點(diǎn)匯總
防火墻系統(tǒng)基礎(chǔ)知識大全
上一篇：電腦防火墻基礎(chǔ)知識
