保護脆弱的服務
通過過濾不安全的服務，Firewall可以極大地提高網絡安全和減少子網中主機的風險。
例如，Firewall可以禁止NIS、NFS服務通過，Firewall同時可以拒絕源路由和ICMP重定向封包。
控制對系統的訪問
Firewall可以提供對系統的訪問控制。如允許從外部訪問某些主機，同時禁止訪問另外的主機。例如，Firewall允許外部訪問特定的Mail Server和Web Server。
集中的安全管理
Firewall對企業內部網實現集中的安全管理，在Firewall定義的安全規則可以運用於整個內部網絡系統，而無須在內部網每臺機器上分別設立安全策略。如在Firewall可以定義不同的認證方法，而不需在每臺機器上分別安裝特定的認證軟件。外部用戶也只需要經過—次認證即可訪問內部網。
增強的保密性
使用Firewall可以阻止攻擊者獲取攻擊網絡系統的有用信息，如Finger和DNS。
記錄和統計網絡利用數據以及非法使用數據
Firewall可以記錄和統計通過Firewall的網絡通訊，提供關於網絡使用的統計數據，並且，Firewall可以提供統計數據，來判斷可能的攻擊和探測。
策略執行
Firewall提供了制定和執行網絡安全策略的手段。未設置Firewall時，網絡安全取決於每臺主機的用戶。 網絡策略
影響Firewall系統設計、安裝和使用的網絡策略可分為兩級，高級的網絡策略定義允許和禁止的服務以及如何使用服務，低級的網絡策略描述Firewall如何限制和過濾在高級策略中定義的服務。
服務訪問策略
服務訪問策略集中在Internet訪問服務以及外部網絡訪問（如撥入策略、SLIP/PPP連接等）。
服務訪問策略必須是可行的和合理的。可行的策略必須在阻止己知的網絡風險和提供用戶服務之間獲得平衡。典型的服務訪問策略是：允許通過增強認證的用戶在必要的情況下從Internet訪問某些內部主機和服務；允許內部用戶訪問指定的Internet主機和服務。
Firewall設計策略
Firewall設計策略基於特定的firewall，定義完成服務訪問策略的規則。通常有兩種基本的設計策略：
允許任何服務除非被明確禁止；
禁止任何服務除非被明確允許。
通常采用第二種類型的設計策略。 虛擬補丁
虛擬補丁也成VPatch，旨在通過控制受影響的應用程序的輸入或輸出，來改變或消除漏洞。這些漏洞給入侵者敞開了大門，數據庫廠商會定期推出數據庫漏洞補丁，由於數據庫打補丁工作的復雜性和對應用穩定性的考慮，大多數企業無法及時更新補丁。數據庫防火墻提供了虛擬補丁功能，在數據庫外的網絡層創建了壹個安全層，在用戶在無需補丁情況下，完成數據庫漏洞防護。DBFirewall支持22類，460個以上虛擬補丁。
包過濾型
包過濾型產品是防火墻的初級產品,其技術依據是網絡中的分包傳輸技術.網絡上的數據都是以包為單位進行傳輸的,數據被分割成為壹定大小的數據包,每壹個數據包中都會包含壹些特定信息,如數據的源地址,目標地址,TCP/UDP源端口和目標端口等.防火墻通過讀取數據包中的地址信息來判斷這些包是否來自可信任的安全站點 ,壹旦發現來自危險站點的數據包,防火墻便會將這些數據拒之門外.系統管理員也可以根據實際情況靈活制訂判斷規則.
包過濾技術的優點是簡單實用,實現成本較低,在應用環境比較簡單的情況下,能夠以較小的代價在壹定程度上保證系統的安全.
但包過濾技術的缺陷也是明顯的.包過濾技術是壹種完全基於網絡層的安全技術,只能根據數據包的來源,目標和端口等網絡信息進行判斷,無法識別基於應用層的惡意侵入,如惡意的Java小程序以及電子郵件中附帶的病毒.有經驗的黑客很容易偽造IP地址,騙過包過濾型防火墻.
網絡地址轉換(NAT)
是壹種用於把IP地址轉換成臨時的,外部的,註冊的IP地址標準.它允許具有私有IP地址的內部網絡訪問因特網.它還意味著用戶不需要為其網絡中每壹臺機器取得註冊的IP地址.
在內部網絡通過安全網卡訪問外部網絡時,將產生壹個映射記錄.系統將外出的源地址和源端口映射為壹個偽裝的地址和端口,讓這個偽裝的地址和端口通過非安全網卡與外部網絡連接,這樣對外就隱藏了真實的內部網絡地址.在外部網絡通過非安全網卡訪問內部網絡時,它並不知道內部網絡的連接情況,而只是通過壹個開放的IP地址和端口來請求訪問.OLM防火墻根據預先定義好的映射規則來判斷這個訪問是否安全.當符合規則時,防火墻認為訪問是安全的,可以接受訪問請求,也可以將連接請求映射到不同的內部計算機中.當不符合規則時,防火墻認為該訪問是不安全的,不能被接受,防火墻將屏蔽外部的連接請求.網絡地址轉換的過程對於用戶來說是透明的,不需要用戶進行設置,用戶只要進行常規操作即可.
代理型
代理型防火墻也可以被稱為代理服務器,它的安全性要高於包過濾型產品,並已經開始向應用層發展.代理服務器位於客戶機與服務器之間,完全阻擋了二者間的數據交流.從客戶機來看,代理服務器相當於壹臺真正的服務器;而從服務器來看,代理服務器又是壹臺真正的客戶機.當客戶機需要使用服務器上的數據時,首先將數據請求發給代理服務器,代理服務器再根據這壹請求向服務器索取數據,然後再由代理服務器將數據傳輸給客戶機.由於外部系統與內部服務器之間沒有直接的數據通道,外部的惡意侵害也就很難傷害到企業內部網絡系統.
代理型防火墻的優點是安全性較高,可以針對應用層進行偵測和掃描,對付基於應用層的侵入和病毒都十分有效.其缺點是對系統的整體性能有較大的影響,而且代理服務器必須針對客戶機可能產生的所有應用類型逐壹進行設置,大大增加了系統管理的復雜性。
監測型
防火墻是新壹代的產品,這壹技術實際已經超越了最初的防火墻定義.監測型防火墻能夠對各層的數據進行主動的,實時的監測,在對這些數據加以分析的基礎上,監測型防火墻能夠有效地判斷出各層中的非法侵入.同時,這種檢測型防火墻產品壹般還帶有分布式探測器,這些探測器安置在各種應用服務器和其他網絡的節點之中,不僅能夠檢測來自網絡外部的攻擊,同時對來自內部的惡意破壞也有極強的防範作用.據權威機構統計,在針對網絡系統的攻擊中,有相當比例的攻擊來自網絡內部.因此,監測型防火墻不僅超越了傳統防火墻的定義,而且在安全性上也超越了前兩代產品
雖然監測型防火墻安全性上已超越了包過濾型和代理服務器型防火墻,但由於監測型防火墻技術的實現成本較高,也不易管理,所以在實用中的防火墻產品仍然以第二代代理型產品為主,但在某些方面也已經開始使用監測型防火墻.基於對系統成本與安全技術成本的綜合考慮,用戶可以選擇性地使用某些監測型技術.這樣既能夠保證網絡系統的安全性需求,同時也能有效地控制安全系統的總擁有成本.
實際上,作為當前防火墻產品的主流趨勢,大多數代理服務器(也稱應用網關)也集成了包過濾技術,這兩種技術的混合應用顯然比單獨使用具有更大的優勢.由於這種產品是基於應用的,應用網關能提供對協議的過濾.例如,它可以過濾掉FTP連接中的PUT命令,而且通過代理應用,應用網關能夠有效地避免內部網絡的信息外泄.正是由於應用網關的這些特點,使得應用過程中的矛盾主要集中在對多種網絡應用協議的有效支持和對網絡整體性能的影響上。 分析安全和服務需求
以下問題有助於分析安全和服務需求：
√ 計劃使用哪些Internet服務(如服務(本地網，撥號，遠程辦公室)。
√ 增加的需要，如加密或拔號接入支持。
√ 提供以上服務和訪問的風險。
√ 提供網絡安全控制的同時，對系統應用服務犧牲的代價。
策略的靈活性
Internet相關的網絡安全策略總的來說，應該保持壹定的靈活性，主要有以下原因：
√ Internet自身發展非常快，機構可能需要不斷使用Internet提供的新服務開展業務。新的協議和服務大量湧現帶來新的安全問題，安全策略必須能反應和處理這些問題。
√ 機構面臨的風險並非是靜態的，機構職能轉變、網絡設置改變都有可能改變風險。
遠程用戶認證策略
√ 遠程用戶不能通過放置於Firewall後的未經認證的Modem訪問系統。
√ PPP/SLIP連接必須通過Firewall認證。
√ 對遠程用戶進行認證方法培訓。
撥入/撥出策略
√ 撥入/撥出能力必須在設計Firewall時進行考慮和集成。
√ 外部撥入用戶必須通過Firewall的認證。
Information Server策略
√公***信息服務器的安全必須集成到Firewall中。
√ 必須對公***信息服務器進行嚴格的安全控制，否則將成為系統安全的缺口。
√ 為Information server定義折中的安全策略允許提供公***服務。
√ 對公***信息服務和商業信息(如email)講行安全策略區分。
Firewall系統的基本特征
√ Firewall必須支持．“禁止任何服務除非被明確允許”的設計策略。
√ Firewall必須支持實際的安全政策，而非改變安全策略適應Firewall。
√ Firewall必須是靈活的，以適應新的服務和機構智能改變帶來的安全策略的改變。
√ Firewall必須支持增強的認證機制。
√ Firewall應該使用過濾技術以允許或拒絕對特定主機的訪問。
√ IP過濾描述語言應該靈活，界面友好，並支持源IP和目的IP，協議類型，源和目的TCP/UDP口，以及到達和離開界面。
√ Firewall應該為FTP、TELNET提供代理服務，以提供增強和集中的認證管理機制。如果提供其它的服務(如NNTP，、rlogin等，但由於此種認證方式過程不加密，即password容易被監聽和解密。
使用摘要算法的認證
Radius(撥號認證協議)、路由協議(OSPF)、SNMP Security Protocol等均使用***享的Security Key，加上摘要算法(MD5)進行認證，由於摘要算法是壹個不可逆的過程，因此，在認證過程中，由摘要信息不能計算出***享的security key，敏感信息不在網絡上傳輸。市場上主要采用的摘要算法有MD5和SHA-1。
基於PKI的認證
使用公開密鑰體系進行認證和加密。該種方法安全程度較高，綜合采用了摘要算法、不對稱加密、對稱加密、數字簽名等技術，很好地將安全性和高效率結合起來。後面描述了基於PKI認證的基本原理。這種認證方法應用在電子郵件、應用服務器訪問、客戶認證、防火墻驗證等領域。
該種認證方法安全程度很高，但是涉及到比較繁重的證書管理任務。 1、 企業對VPN 技術的需求
企業總部和各分支機構之間采用internet網絡進行連接，由於internet是公用網絡，因此，必須保證其安全性。我們將利用公***網絡實現的私用網絡稱為虛擬私用網(VPN)。
因為VPN利用了公***網絡，所以其最大的弱點在於缺乏足夠的安全性。企業網絡接入到internet，暴露出兩個主要危險：
來自internet的未經授權的對企業內部網的存取。
當企業通過INTERNET進行通訊時，信息可能受到竊聽和非法修改。
完整的集成化的企業範圍的VPN安全解決方案，提供在INTERNET上安全的雙向通訊，以及透明的加密方案以保證數據的完整性和保密性。
企業網絡的全面安全要求保證：
保密-通訊過程不被竊聽。
通訊主體真實性確認-網絡上的計算機不被假冒。
2、數字簽名
數字簽名作為驗證發送者身份和消息完整性的根據。公***密鑰系統(如RSA)基於私有/公***密鑰對，作為驗證發送者身份和消息完整性的根據。CA使用私有密鑰計算其數字簽名，利用CA提供的公***密鑰，任何人均可驗證簽名的真實性。偽造數字簽名從計算能力上是不可行的。
並且，如果消息隨數字簽名壹同發送，對消息的任何修改在驗證數字簽名時都將會被發現。
通訊雙方通過Diffie-Hellman密鑰系統安全地獲取***享的保密密鑰，並使用該密鑰對消息加密。Diffie-Hellman密鑰由CA進行驗證。
類 型 技 術 用 途
基本會話密鑰 DES 加密通訊
加密密鑰 Deff-Hellman 生成會話密鑰
認證密鑰 RSA 驗證加密密鑰
基於此種加密模式，需要管理的密鑰數目與通訊者的數量為線性關系。而其它的加密模式需要管理的密鑰數目與通訊者數目的平方成正比。
3、IPSEC
IPSec作為在IP v4及IP v6上的加密通訊框架，已為大多數廠商所支持，預計在1998年將確定為IETF標準，是VPN實現的Internet標準。
IPSec主要提供IP網絡層上的加密通訊能力。該標準為每個IP包增加了新的包頭格式，Authentication Header(AH)及encapsualting security payload(ESP)。IPsec使用ISAKMP/Oakley及SKIP進行密鑰交換、管理及加密通訊協商(Security Association)。
Ipsec包含兩個部分：
(1) IP security Protocol proper，定義Ipsec報文格式。
(2) ISAKMP/Oakley，負責加密通訊協商。
Ipsec提供了兩種加密通訊手段：
Ipsec Tunnel：整個IP封裝在Ipsec報文。提供Ipsec-gateway之間的通訊。
Ipsec transport：對IP包內的數據進行加密，使用原來的源地址和目的地址。
Ipsec Tunnel不要求修改已配備好的設備和應用，網絡黑客戶不能看到實際的的通訊源地址和目的地址，並且能夠提供專用網絡通過Internet加密傳輸的通道，因此，絕大多數均使用該模式。
ISAKMP/Oakley使用X.509數字證書，因此，使VPN能夠容易地擴大到企業級。(易於管理)。
在為遠程撥號服務的Client端，也能夠實現Ipsec的客戶端，為撥號用戶提供加密網絡通訊。
由於Ipsec即將成為Internet標準，因此不同廠家提供的防火墻(VPN)產品可以實現互通。 由於應用系統的復雜性，有關應用平臺的安全問題是整個安全體系中最復雜的部分。下面的幾個部分列出了在Internet/Intranet中主要的應用平臺服務的安全問題及相關技術。
1、域名服務
Internet域名服務為Internet/Intranet應用提供了極大的靈活性。幾乎所有的網絡應用均利用域名服務。
但是，域名服務通常為hacker提供了入侵網絡的有用信息，如服務器的IP、操作系統信息、推導出可能的網絡結構等。
同時，新發現的針對BIND-NDS實現的安全漏洞也開始發現，而絕大多數的域名系統均存在類似的問題。如由於DNS查詢使用無連接的UDP協議，利用可預測的查詢ID可欺騙域名服務器給出錯誤的主機名-IP對應關系。
因此，在利用域名服務時，應該註意到以上的安全問題。主要的措施有：
(1) 內部網和外部網使用不同的域名服務器，隱藏內部網絡信息。
(2) 域名服務器及域名查找應用安裝相應的安全補丁。
(3) 對付Denial-of-Service攻擊，應設計備份域名服務器。
2、Web Server應用安全
Web Server是企業對外宣傳、開展業務的重要基地。由於其重要性，成為Hacker攻擊的首選目標之壹。
Web Server經常成為Internet用戶訪問公司內部資源的通道之壹，如Web server通過中間件訪問主機系統，通過數據庫連接部件訪問數據庫，利用CGI訪問本地文件系統或網絡系統中其它資源。
但Web服務器越來越復雜，其被發現的安全漏洞越來越多。為了防止Web服務器成為攻擊的犧牲品或成為進入內部網絡的跳板，我們需要給予更多的關心：
(1) Web服務器置於防火墻保護之下。
(2) 在Web服務器上安裝實時安全監控軟件。
(3) 在通往Web服務器的網絡路徑上安裝基於網絡的實時入侵監控系統。
(4) 經常審查Web服務器配置情況及運行日誌。
(5) 運行新的應用前，先進行安全測試。如新的CGI應用。
(6) 認證過程采用加密通訊或使用X.509證書模式。
(7) 小心設置Web服務器的訪問控制表。
3、電子郵件系統安全
電子郵件系統也是網絡與外部必須開放的服務系統。由於電子郵件系統的復雜性，其被發現的安全漏洞非常多，並且危害很大。
加強電子郵件系統的安全性，通常有如下辦法：
(1) 設置壹臺位於停火區的電子郵件服務器作為內外電子郵件通訊的中轉站(或利用防火墻的電子郵件中轉功能)。所有出入的電子郵件均通過該中轉站中轉。
(2) 同樣為該服務器安裝實施監控系統。
(3) 該郵件服務器作為專門的應用服務器，不運行任何其它業務(切斷與內部網的通訊)。
(4) 升級到最新的安全版本。
4、 操作系統安全
市場上幾乎所有的操作系統均已發現有安全漏洞，並且越流行的操作系統發現的問題越多。對操作系統的安全，除了不斷地增加安全補丁外，還需要：
(1) 檢查系統設置(敏感數據的存放方式，訪問控制，口令選擇/更新)。
(2) 基於系統的安全監控系統。