什麽是防火牆？ 社會工程攻擊（例如(rú)，有人竊取密碼并進行欺詐）。 內(nèi)部威脅（例如(rú)，內(nèi)網中的(de)某人故意更改防火牆設置）。 人為(wèi)錯誤（例如(rú)，員工忘記打開防火牆或忽略更新通知）。 有效負載（實際內(nèi)容）。 标頭（有關數據的(de)信息，例如(rú)誰發送了數據，發給了誰）。 源IP和(hé)目的(de)IP 地(dì)址。 有效負載中的(de)內(nèi)容。 數據包協議（例如(rú)，連接是否使用 TCP/IP 協議）。 應用協議（HTTP、Telnet、FTP、DNS、SSH 等）。 表明特定網絡攻擊的(de)數據模式。 默默地(dì)放棄請求。 向發件人發送error信息。 根據部署方式，可(kě)以将防火牆分為(wèi)三種類型：硬件防火牆、軟件防火牆和(hé)基于雲的(de)防火牆。 軟件防火牆 為(wèi)指定設備提供出色的(de)保護。 将各個網絡端點彼此隔離(lí)。 高(gāo)精度的(de)安全性，管理(lǐ)員可(kě)以完全控制允許的(de)程序。 随時可(kě)用。 消耗設備的(de) CPU、RAM 和(hé)存儲空間。 需要為(wèi)每個主機設備配置。 日常維護既困難又耗時。 并非所有設備都與每個防火牆兼容，因此可(kě)能必須在同一(yī)網絡中使用不同的(de)解決方案。 硬件防火牆 使用一(yī)種解決方案保護多台設備。 頂級邊界安全性，因為(wèi)惡意流量永遠不會到達主機設備。 不消耗主機設備資源。 管理(lǐ)員隻需為(wèi)整個網絡管理(lǐ)一(yī)個防火牆。 比軟件防火牆更昂貴。 內(nèi)部威脅是一(yī)個相當大的(de)弱點。 與基于軟件的(de)防火牆相比，配置和(hé)管理(lǐ)需要更多的(de)技能。 基于雲的(de)防火牆 高(gāo)度分散的(de)業務。 在安全資源方面存在缺口的(de)團隊。 不具備必要的(de)內(nèi)部專業知識的(de)公司。 服務提供商處理(lǐ)所有管理(lǐ)任務（安裝、部署、修補、故障排除等）。 用戶可(kě)以自(zì)由擴展雲資源以滿足流量負載。 無需任何內(nèi)部硬件。 高(gāo)可(kě)用性。 供應商究竟如(rú)何運行防火牆缺乏透明度。 與其他基于雲的(de)服務一(yī)樣，這些防火牆很難遷移到新的(de)提供商。 流量流經第三方可(kě)能會增加延遲和(hé)隐私問題。 由于高(gāo)昂的(de)運營成本，從長(cháng)遠來看是比較貴的(de)。 包過濾防火牆 目的(de)地(dì)址和(hé)源 IP 地(dì)址。 數據包類型。 端口号。 網絡協議。 低(dī)成本。 快速包過濾和(hé)處理(lǐ)。 擅長(cháng)篩選內(nèi)部部門之間的(de)流量。 低(dī)資源消耗。 對網絡速度和(hé)最終用戶體驗的(de)影響最小。 多層防火牆策略中出色的(de)第一(yī)道(dào)防線。 不檢查數據包有效負載（實際數據）。 對于有經驗的(de)黑客來說很容易繞過。 無法在應用層進行過濾。 容易受到 IP 欺騙攻擊，因為(wèi)它單獨處理(lǐ)每個數據包。 沒有用戶身份驗證或日志記錄功能。 訪問控制列表的(de)設置和(hé)管理(lǐ)具有挑戰性。 電路級網關 僅處理(lǐ)請求的(de)事務，并拒絕所有其他流量。 易于設置和(hé)管理(lǐ)。 資源和(hé)成本效益。 強大的(de)地(dì)址暴露保護。 對最終用戶體驗的(de)影響最小。 不是一(yī)個獨立的(de)解決方案，因為(wèi)沒有內(nèi)容過濾。 通常需要對軟件和(hé)網絡協議進行調整。 狀态檢測防火牆 源IP。 源端口。 目的(de) IP。 每個連接的(de)目标端口。 過濾流量時會自(zì)動通過以前檢查過的(de)數據包。 在阻止利用協議缺陷的(de)攻擊方面表現出色。 無需打開大量端口來讓流量進出，這可(kě)以縮小攻擊面。 詳細的(de)日志記錄功能，有助于數字取證。 減少對端口掃描器的(de)暴露。 比包過濾防火牆更昂貴。 需要高(gāo)水平的(de)技能才能正确設置。 通常會影響性能并導緻網絡延遲。 不支持驗證欺騙流量源的(de)身份驗證。 容易受到利用預先建立連接的(de) TCP Flood攻擊。 代理(lǐ)防火牆 客戶端和(hé)防火牆後面的(de)設備之間的(de)先前通信（如(rú)果有的(de)話）。 标頭信息。 內(nèi)容本身。 DPI檢查數據包标頭和(hé)有效負載 。 在客戶端和(hé)網絡之間添加了一(yī)個額外的(de)隔離(lí)層。 對潛在威脅行為(wèi)者隐藏內(nèi)部 IP 地(dì)址。 檢測并阻止網絡層不可(kě)見的(de)攻擊。 對網絡流量進行細粒度的(de)安全控制。 解除地(dì)理(lǐ)位置限制。 由于徹底的(de)數據包檢查和(hé)額外的(de)通信步驟，會導緻延遲增加。 由于處理(lǐ)開銷高(gāo)，不如(rú)其他類型的(de)防火牆成本低(dī)。 設置和(hé)管理(lǐ)具有挑戰性。 不兼容所有網絡協議。 下一(yī)代防火牆 分析流量內(nèi)容的(de)深度數據包檢測（DPI）。 TCP 握手檢查。 表層數據包檢測。 IDS 和(hé) IPS。 惡意軟件掃描和(hé)過濾。 高(gāo)級威脅情報（模式匹配、基于協議的(de)檢測、基于異常的(de)檢測等） 防病毒程序。 網絡地(dì)址轉換 (NAT)。 服務質量 (QoS)功能。 SSH檢查。 将傳統防火牆功能與高(gāo)級網絡安全功能相結合。 檢查從數據鏈路層到應用層的(de)網絡流量。 日志記錄功能。 比其他防火牆更昂貴。 存在單點故障。 部署時間緩慢。 需要高(gāo)度的(de)專業知識才能設置和(hé)運行。 影響網絡性能。
