首页
外语
计算机
考研
公务员
职业资格
财经
工程
司法
医学
专升本
自考
实用职业技能
登录
计算机
为什么一般处理“震荡波”病毒时,首先要把被侵入的计算机系统从网络上断开? 目前防火墙主要分为哪3种类型?根据防火墙的实现原理,该防火墙属于哪一类?
为什么一般处理“震荡波”病毒时,首先要把被侵入的计算机系统从网络上断开? 目前防火墙主要分为哪3种类型?根据防火墙的实现原理,该防火墙属于哪一类?
admin
2008-01-03
84
问题
为什么一般处理“震荡波”病毒时,首先要把被侵入的计算机系统从网络上断开?
目前防火墙主要分为哪3种类型?根据防火墙的实现原理,该防火墙属于哪一类?
选项
答案
包过滤防火墙、应用层网关防火墙和状态检测防火墙3种。该防火墙属于包过滤防火墙。
解析
根据防火墙实现原理的不同,通常将防火墙分为包过滤防火墙、应用层网关防火墙和状态检测防火墙3类。
(1)包过滤防火墙
包过滤防火墙是在网络的入口对通过的数据包进行选择,只有满足条件的数据包才能通过,否则被抛弃。包过滤防火墙如下页图所示。
本质上说,包过滤防火墙是多址的,表明它有两个或两个以上网络适配器或接口。例如,作为防火墙的设备可能有3块网卡,一块连到内部网络,一块连到公共的Internet,另外一块连接到DMZ。防火墙的任务,就是作为“网络警察”,指引包和截住那些有危害的包。包过滤防火墙检查每一个传入包,查看包中可用的基本信息,包括源地址、目的地址、TCP/UDP端口号、传输协议(TCP、UDP、ICMP等)。然后,将这些信息与设
立的规则相比较。如果已经设立了拒绝Telnet连接,而包的目的端口是23,那么该包就会被丢弃。如果允许传入Web连接,而目的端口为80,则包就会被放行。
包过滤防火墙中每个IP包的字段都会被检查,例如,源地址、目的地址、协议、端口等。防火墙将基于这些信息应用过滤规则,与规则不匹配的包就被丢弃,如果有理由让该包通过,就要建立规则来处理它。包过滤防火墙是通过规则的组合来完成复杂策略的。例如,一个规则可以包括;“允许Web连接”、“但只针对指定的服务器”、“只针对指定的目的端口和目的地址”这样3个子规则。
包过滤技术的优点是简单实用,实现成本较低,在应用环境比较简单的情况下,能够以较小的代价在一定程度上保证系统的安全。但包过滤技术的缺陷也是明显的。包过滤技术是一种完全基于网络层的安全技术,只能根据数据包的来源、目标和端口等网络信息进行判断,无法识别基于应用层的恶意侵入,如恶意的Java小程序以及电子邮件中附带的病毒。有经验的黑客很容易伪造IP地址,骗过包过滤型防火墙。
(2)应用层网关防火墙,又称代理(Proxy)
应用层网关防火墙实际上并不允许在它连接的网络之间直接通信。相反,它是接受来自内部网络特定用户应用程序的通信,然后建立与公共网络服务器单独的连接,如下页图所示。
网络内部的用户不直接与外部的服务器通信,所以服务器不能直接访问内部网的任何一部分。另外,如果不为特定的应用程序安装代理程序代码,这种服务是不会被支持的,不能建立任何连接。这种建立方式拒绝任何没有明确配置的连接,从而提供了额外的安全性和控制性。
例如,一个用户的Web浏览器可能在80端口,但也经常可能是在1080端口,连接到了内部网络的HTTP代理防火墙。防火墙接受连接请求后,把它转到所请求的Web服务器。这种连接和转移对该用户来说是透明的,因为它完全是由代理防火墙自动处理的。代理防火墙通常支持的一些常见的应用程序有HTTP、HTTPS/SSL、SMTP、POP3、IMAP、NNTP、TELNET、FTP、IRC等,目前国内很多厂家在硬件防火墙里集成这些模块。
应用程序代理防火墙可以配置成允许来自内部网络的任何连接,它也可以配置成要求用户认证后才建立连接,为安全性提供了额外的保证。如果网络受到危害,这个特征使得从内部发动攻击的可能性减少。
代理型防火墙的优点是安全性较高,可以针对应用层进行侦测和扫描,对付基于应用层的侵入和病毒都十分有效。其缺点是对系统的整体性能有较大的影响,而且代理服务器必须针对客户机可能产生的所有应用类型逐一进行设置,大大增加了系统管理的复杂性。
(3)状态检测防火墙
状态检测防火墙又称动态包过滤防火墙,是在传统包过滤上的功能扩展,现在已经成为防火墙的主流技术。状态检测防火墙如下页图所示。
有人将状态检测防火墙称为第三代防火墙,可见其应用的广泛性。相对于状态检测包过滤,我们将传统的包过滤称为静态包过滤,静态包过滤将每个数据包进行单独分析,固定地根据其包头信息进行匹配,这种方法在遇到利用动态端口应用协议时会发生困难。
状态检测防火墙,试图跟踪通过防火墙的网络连接和数据包,这样防火墙就可以使用一组附加的标准,以确定是允许还是拒绝通信。它是在使用了基本包过滤防火墙的通信上应用一些技术来做到这点的。
状态检测防火墙是新一代的产品,这一技术实际已经超越了最初的防火墙定义。状态检测防火墙能够对多层的数据进行主动的、实时的监测,在对这些数据加以分析的基础上,检测型防火墙能够有效地判断出各层中的非法侵入。同时,这种检测型防火墙产品一般还带有分布式探测器,这些探测器安置在各种应用服务器和其他网络的节点之中,不仅能够检测来自网络外部的攻击,同时对来自内部的恶意破坏也有极强的防范作用。据权威机构统计,在针对网络系统的攻击中,有相当比例的攻击来自网络内部。因此,状态检测防火墙不仅超越了传统防火墙的定义,而且在安全性上也超越了前两代产品。
转载请注明原文地址:https://kaotiyun.com/show/xM3Z777K
本试题收录于:
网络管理员下午应用技术考试题库软考初级分类
0
网络管理员下午应用技术考试
软考初级
相关试题推荐
CMM模型将软件过程的成熟度分为5个等级。从(34)级别开始,建立了基本的项目管理过程来跟踪成本、进度和机能,制定了必要的过程纪律,并基于以往的项目的经验来计划与管理新的项目。
设有规则:W(a,b,c,d)→R(a,b,x)∧S(c,d,y)∧x>y与上述规则头部等价的关系表达式是(35)。
瀑布模型把软件生命周期划分为三个阶段,它们分别是:计划阶段、开发阶段和______。
某软件开发从详细设计到集成测试各阶段所需的工作量估计(按软件工程师人月数估计)如表5-1所示,这几个阶段分配的软件工程师和程序员人数如表5-2所示。假设编码与单元测试阶段,软件工程师的生产率是程序员的2倍。若在该项目的这几个阶段都增加一名软件工程师,并假定
yacc是一个生成编译程序的工具,它的输入是文法G的产生式规则,它的输出是文法G的(29)。
内存按字节编址,地址从0B4000H~0DBFFFH。若用存储容量为32K×8bit的存储器芯片构成该内存,至少需要(1)。
有m个进程(P0,P1,…,Pm-1)通过n个缓冲区(B0,B1,…Bn-1)向1个进程(Q)发送数据包,每个数据包大小与缓冲区一样。要求:进程Q接收数据包的次序与发送次序一样。为保证发送进程与接收进程正确地并行工作,需要设置(23)。
在(48)存储结构中,数据结构中元素的存储地址与其关键字之间存在某种映射关系。
数据流图如图1-9(住宅安全系统顶层图)所示中的A和B分别是什么?请说明逻辑数据流图(LogicalDataFlowDiagram)和物理数据流图(PhysicalDataFlowDiagram)之间的主要差别。
编制一个好的程序,首先要确保它的正确性和可靠性,除此以外,通常更注重源程序的(66)。还应强调良好的编程风格,例如,选择标识符的名字时应考虑(67);在书写语句时应考虑(68);在书写功能性注解时应考虑(69)。源程序中应包含
随机试题
灌注药液的步骤包括
脾脏的功能包括
下列关于咖啡因英文名正确的是
住宅外部空间生理环境的三个重要方面是()。
我国《商业银行法》规定,设立全国性商业银行的注册资本最低限额为()亿元人民币。
在领导层架构中,处理人力资源架构的顶端的是()。
给定资料1.在某大学生创业大赛现场,5名女孩准备筹集40万元资金,到武汉近邻去承包50亩地,种植有机蔬菜。台上陈述的女孩充满激情和自信,台下观众也不时报以阵阵掌声。当评委问到“你们种过蔬菜吗?”“你们的创业资金从哪里来?”“农民凭什么把土地转包给
Fromhis______eyes,wecanseethatheis______.
Areyoufacingasituationthatlooksimpossibletofix?In1969,thepollutionwasterriblealongtheCuyahogaRivernearC
TheCommitteepronouncedfourmembersexpelledforfailuretoprovideinformationinthe______ofinvestigations.(2002年中国科学院考博试题)
最新回复
(
0
)