什(shén)麽是防火牆？ 社會(huì)工(gōng)程攻擊（例如，有人竊取密碼并進行欺詐）。 内部威脅（例如，内網中的某人故意更改防火牆設置）。 人爲錯誤（例如，員工(gōng)忘記打開(kāi)防火牆或忽略更新通知(zhī)）。 有效負載（實際内容）。 标頭（有關數據的信息，例如誰發送了(le)數據，發給了(le)誰）。 源IP和(hé)目的IP 地址。 有效負載中的内容。 數據包協議(yì)（例如，連接是否使用(yòng) TCP/IP 協議(yì)）。 應用(yòng)協議(yì)（HTTP、Telnet、FTP、DNS、SSH 等）。 表明(míng)特定網絡攻擊的數據模式。 默默地放(fàng)棄請(qǐng)求。 向發件人發送error信息。 根據部署方式，可以将防火牆分爲三種類型：硬件防火牆、軟件防火牆和(hé)基于雲的防火牆。 軟件防火牆 爲指定設備提供出色的保護。 将各個網絡端點彼此隔離。 高(gāo)精度的安全性，管理(lǐ)員可以完全控制允許的程序。 随時(shí)可用(yòng)。 消耗設備的 CPU、RAM 和(hé)存儲空(kōng)間。 需要爲每個主機設備配置。 日常維護既困難又耗時(shí)。 并非所有設備都與每個防火牆兼容，因此可能(néng)必須在同一網絡中使用(yòng)不同的解決方案。 硬件防火牆 使用(yòng)一種解決方案保護多台設備。 頂級邊界安全性，因爲惡意流量永遠不會(huì)到(dào)達主機設備。 不消耗主機設備資源。 管理(lǐ)員隻需爲整個網絡管理(lǐ)一個防火牆。 比軟件防火牆更昂貴。 内部威脅是一個相當大(dà)的弱點。 與基于軟件的防火牆相比，配置和(hé)管理(lǐ)需要更多的技能(néng)。 基于雲的防火牆 高(gāo)度分散的業務。 在安全資源方面存在缺口的團隊。 不具備必要的内部專業知(zhī)識的公司。 服務提供商處理(lǐ)所有管理(lǐ)任務（安裝、部署、修補、故障排除等）。 用(yòng)戶可以自(zì)由擴展雲資源以滿足流量負載。 無需任何内部硬件。 高(gāo)可用(yòng)性。 供應商究竟如何運行防火牆缺乏透明(míng)度。 與其他(tā)基于雲的服務一樣，這(zhè)些(xiē)防火牆很(hěn)難遷移到(dào)新的提供商。 流量流經第三方可能(néng)會(huì)增加延遲和(hé)隐私問題。 由于高(gāo)昂的運營成本，從(cóng)長遠來(lái)看(kàn)是比較貴的。 包過濾防火牆 目的地址和(hé)源 IP 地址。 數據包類型。 端口号。 網絡協議(yì)。 低(dī)成本。 快(kuài)速包過濾和(hé)處理(lǐ)。 擅長篩選内部部門(mén)之間的流量。 低(dī)資源消耗。 對(duì)網絡速度和(hé)最終用(yòng)戶體驗的影響最小(xiǎo)。 多層防火牆策略中出色的第一道(dào)防線。 不檢查數據包有效負載（實際數據）。 對(duì)于有經驗的黑客來(lái)說很(hěn)容易繞過。 無法在應用(yòng)層進行過濾。 容易受到(dào) IP 欺騙攻擊，因爲它單獨處理(lǐ)每個數據包。 沒有用(yòng)戶身份驗證或日志記錄功能(néng)。 訪問控制列表的設置和(hé)管理(lǐ)具有挑戰性。 電路級網關 僅處理(lǐ)請(qǐng)求的事(shì)務，并拒絕所有其他(tā)流量。 易于設置和(hé)管理(lǐ)。 資源和(hé)成本效益。 強大(dà)的地址暴露保護。 對(duì)最終用(yòng)戶體驗的影響最小(xiǎo)。 不是一個獨立的解決方案，因爲沒有内容過濾。 通常需要對(duì)軟件和(hé)網絡協議(yì)進行調整。 狀态檢測防火牆 源IP。 源端口。 目的 IP。 每個連接的目标端口。 過濾流量時(shí)會(huì)自(zì)動通過以前檢查過的數據包。 在阻止利用(yòng)協議(yì)缺陷的攻擊方面表現(xiàn)出色。 無需打開(kāi)大(dà)量端口來(lái)讓流量進出，這(zhè)可以縮小(xiǎo)攻擊面。 詳細的日志記錄功能(néng)，有助于數字取證。 減少對(duì)端口掃描器的暴露。 比包過濾防火牆更昂貴。 需要高(gāo)水(shuǐ)平的技能(néng)才能(néng)正确設置。 通常會(huì)影響性能(néng)并導緻網絡延遲。 不支持驗證欺騙流量源的身份驗證。 容易受到(dào)利用(yòng)預先建立連接的 TCP Flood攻擊。 代理(lǐ)防火牆 客戶端和(hé)防火牆後面的設備之間的先前通信（如果有的話(huà)）。 标頭信息。 内容本身。 DPI檢查數據包标頭和(hé)有效負載 。 在客戶端和(hé)網絡之間添加了(le)一個額外(wài)的隔離層。 對(duì)潛在威脅行爲者隐藏内部 IP 地址。 檢測并阻止網絡層不可見的攻擊。 對(duì)網絡流量進行細粒度的安全控制。 解除地理(lǐ)位置限制。 由于徹底的數據包檢查和(hé)額外(wài)的通信步驟，會(huì)導緻延遲增加。 由于處理(lǐ)開(kāi)銷高(gāo)，不如其他(tā)類型的防火牆成本低(dī)。 設置和(hé)管理(lǐ)具有挑戰性。 不兼容所有網絡協議(yì)。 下(xià)一代防火牆 分析流量内容的深度數據包檢測（DPI）。 TCP 握手檢查。 表層數據包檢測。 IDS 和(hé) IPS。 惡意軟件掃描和(hé)過濾。 高(gāo)級威脅情報(bào)（模式匹配、基于協議(yì)的檢測、基于異常的檢測等） 防病毒程序。 網絡地址轉換 (NAT)。 服務質量 (QoS)功能(néng)。 SSH檢查。 将傳統防火牆功能(néng)與高(gāo)級網絡安全功能(néng)相結合。 檢查從(cóng)數據鏈路層到(dào)應用(yòng)層的網絡流量。 日志記錄功能(néng)。 比其他(tā)防火牆更昂貴。 存在單點故障。 部署時(shí)間緩慢。 需要高(gāo)度的專業知(zhī)識才能(néng)設置和(hé)運行。 影響網絡性能(néng)。
