十五. Internet 防火墻

　　Internet防火墻是這樣的系統(tǒng)(或一組系統(tǒng))，它能增強機構(gòu)內(nèi)部網(wǎng)絡(luò)的安全性。 防火墻系統(tǒng)決定了哪些內(nèi)部服務(wù)可以被外界訪問;外界的哪些人可以訪問內(nèi)部的哪些服務(wù)，以及哪些外部服務(wù)可以被內(nèi)部人員訪問。要使一個防火墻有效，所有來自和去往Internet的信息都必須經(jīng)過防火墻，接受防火墻的檢查。防火墻只允許授權(quán)的數(shù)據(jù)通過，并且防火墻本身也必須能夠免于滲透。

　　1、 Internet防火墻與安全策略的關(guān)系

　　防火墻不僅僅是路由器、堡壘主機、或任何提供網(wǎng)絡(luò)安全的設(shè)備的組合，防火墻是安全策略的一個部分。

　　安全策略建立全方位的防御體系，甚至包括：告訴用戶應(yīng)有的責(zé)任，公司規(guī)定的網(wǎng)絡(luò)訪問、服務(wù)訪問、本地和遠(yuǎn)地的用戶認(rèn)證、撥入和撥出、磁盤和數(shù)據(jù)加密、病毒防護(hù)措施，以及雇員培訓(xùn)等。所有可能受到攻擊的地方都必須以

　　同樣安全級別加以保護(hù)。

　　僅設(shè)立防火墻系統(tǒng)，而沒有全面的安全策略，那么防火墻就形同虛設(shè)。

　　2、 防火墻的好處

　　Internet防火墻負(fù)責(zé)管理Internet和機構(gòu)內(nèi)部網(wǎng)絡(luò)之間的訪問。在沒有防火墻時，內(nèi)部網(wǎng)絡(luò)上的每個節(jié)點都暴露給Internet上的其它主機，極易受到攻擊。這就意味著內(nèi)部網(wǎng)絡(luò)的安全性要由每一個主機的堅固程度來決定，并且安全性等同于其中最弱的系統(tǒng)。

　　3、 Internet防火墻的作用

　　Internet防火墻允許網(wǎng)絡(luò)管理員定義一個中心“ 扼制點” 來防止非法用戶，比如防止黑客、網(wǎng)絡(luò)破壞者等進(jìn)入內(nèi)部網(wǎng)絡(luò)。禁止存在安全脆弱性的服務(wù)進(jìn)出網(wǎng)絡(luò)，并抗擊來自各種路線的攻擊。Internet防火墻能夠簡化安全管理，網(wǎng)絡(luò)的安全性是在防火墻系統(tǒng)上得到加固，而不是分布在內(nèi)部網(wǎng)絡(luò)的所有主機上。

　　在防火墻上可以很方便的監(jiān)視網(wǎng)絡(luò)的安全性，并產(chǎn)生報警。(注意：對一個與Internet相聯(lián)的內(nèi)部網(wǎng)絡(luò)來說，重要的問題并不是網(wǎng)絡(luò)是否會受到攻擊，而是何時受到攻擊?誰在攻擊?)網(wǎng)絡(luò)管理員必須審計并記錄所有通過防火墻的重要信息。如果網(wǎng)絡(luò)管理員不能及時響應(yīng)報警并審查常規(guī)記錄，防火墻就形同虛設(shè)。在這種情況下，網(wǎng)絡(luò)管理員永遠(yuǎn)不會知道防火墻是否受到攻擊。

　　Internet防火墻可以作為部署NAT(Network Address Translator，網(wǎng)絡(luò)地址變換)的邏輯地址。因此防火墻可以用來緩解地址空間短缺的問題，并消除機構(gòu)在變換ISP時帶來的重新編址的麻煩。

　　Internet防火墻是審計和記錄Internet使用量的一個最佳地方。網(wǎng)絡(luò)管理員可以在此向管理部門提供Internet連接的費用情況，查出潛在的帶寬瓶頸的位置，并根據(jù)機構(gòu)的核算模式提供部門級計費。

　　軟考系統(tǒng)分析師歷年真題匯總(2007年-2010年)

　　2011軟考系統(tǒng)分析師整理資料：面向?qū)ο髤R總

　　2010年下半年軟考成績查詢時間及方式匯總

　　2011軟考系統(tǒng)分析師整理資料：網(wǎng)絡(luò)安全匯總