防火墻系統基礎知識大全
防火墻系統基礎知識大全有哪些？您的防火墻是抵御安全威脅的第一道防線;但只是將防火墻設備添加到您的網絡并不能確保您的網絡安全。下面就讓小編帶你去看看防火墻系統基礎知識大全，希望對你有所幫助吧
干貨!!!如何配置防火墻以獲得最佳效果
1.記錄防火墻規(guī)則，并添加注釋以解釋特殊規(guī)則。
對于IT團隊中的每個人來說，了解所有已編寫的規(guī)則至關重要。
雖然這可能是一項耗時的任務，但您只需要執(zhí)行一次，并且從長遠來看審計和添加新規(guī)則時，最終會節(jié)省安全管理員的大量時間。
2.減少寬松的規(guī)則，并在頂部包括“拒絕所有”。
系統安全高于一切，開始使用“拒絕所有”規(guī)則編寫防火墻規(guī)則是一種很好的做法。這有助于保護網絡免受手動操作錯誤的影響。
允許規(guī)則為用戶提供了更多自由，這可以轉化為為用戶提供比執(zhí)行與業(yè)務相關的功能所需的更多資源。
3.定期檢查防火墻規(guī)則，并優(yōu)化防火墻性能。
隨著時間的推移，新策略由不同的安全管理員定義，規(guī)則的數量往往會增加。
定期清理未使用的規(guī)則有助于避免堵塞防火墻的處理器，因此定期審核規(guī)則以及刪除重復的規(guī)則，異常和不需要的策略非常重要。
4.組織防火墻規(guī)則以最大化速度。
將最常用的規(guī)則置于頂部并將較少使用的規(guī)則移至底部有助于提高防火墻的處理速度。
5.滲透測試以檢查規(guī)則的健康狀況。
滲透測試是針對您的計算機系統的模擬網絡攻擊，以檢查可利用的漏洞。
6.定期自動進行安全審計。
安全審計是對防火墻的手動或系統可測量的技術評估。
鑒于它由手動和自動化任務組合而成，因此必須定期審核和記錄這些任務的結果。
7.擁有端到端的變更管理工具。
有效策略管理的關鍵是端到端的變更管理工具，可以從頭到尾跟蹤和記錄請求。
8.制定廣泛的實時警報管理計劃。
實時警報管理系統對于高效的防火墻管理至關重要。如果防火墻出現故障，備用防火墻需要立即啟動，以便暫時可以通過此防火墻路由所有流量。系統遇到攻擊時及時觸發(fā)警報，以便快速解決問題。
9.按照規(guī)定保留日志。
您需要在規(guī)定的時間內保留日志，具體取決于您規(guī)定的規(guī)則。
10.定期檢查安全合規(guī)性。
定期內部審核結合不同安全標準的合規(guī)性檢查是維護健康網絡的重要方面。
11.升級防火墻軟件和固件。
沒有網絡或防火墻是完美的，黑客正在晝夜不停地尋找漏洞。
防火墻的常規(guī)軟件和固件更新有助于消除系統中的已知漏洞。
如果尚未修補已知漏洞，即使是最好的防火墻規(guī)則也無法阻止攻擊。
以上這一系列操作有助于提高防火墻的性能，但您知道使優(yōu)化防火墻策略變得更加容易、便捷、高效的方法嗎?卓豪ManageEngine Firewall Analyzer可以自動處理數據并得出有關防火墻提高性能的建議。
ManageEngine Firewall Analyzer是一個安全日志監(jiān)控與審計平臺，能夠實時將企業(yè)網絡安全設施(如防火墻、代理服務器、入侵檢測/防御系統和v__等)在運行過程中產生的安全日志和事件以及配置日志匯集到審計中心，進行全網綜合安全分析。幫助安全管理人員快速識別病毒攻擊、異常流量以及用戶非法行為等重要的安全信息，從而運用合理的安全策略，保證網絡的安全。
Linu__ 防火墻入門教程 | Linu__ 中國
安裝防火墻
很多 Linu__ 發(fā)行版本已經自帶了防火墻，通常是 iptables。它很強大并可以自定義，但配置起來有點復雜。幸運的是，有開發(fā)者寫出了一些前端程序來幫助用戶控制防火墻，而不需要寫冗長的 iptables 規(guī)則。
在 Fedora、CentOS、Red Hat 和一些類似的發(fā)行版本上，默認安裝的防火墻軟件是 firewalld，通過 firewall-cmd 命令來配置和控制。在 Debian 和大部分其他發(fā)行版上，可以從你的軟件倉庫安裝 firewalld。Ubuntu 自帶的是 簡單防火墻(Uncomplicated Firewall)(ufw)，所以要使用 firewalld，你必須啟用 universe 軟件倉庫：
$ sudo add-apt-repository universe
$ sudo apt install firewalld
你還需要停用 ufw：
$ sudo systemctl disable ufw
沒有理由不用 ufw。它是一個強大的防火墻前端。然而，本文重點講 firewalld，因為大部分發(fā)行版都支持它而且它集成到了 systemd，systemd 是幾乎所有發(fā)行版都自帶的。
不管你的發(fā)行版是哪個，都要先激活防火墻才能讓它生效，而且需要在啟動時加載：
$ sudo systemctl enable --now firewalld
理解防火墻的域
Firewalld 旨在讓防火墻的配置工作盡可能簡單。它通過建立 域(zone)來實現這個目標。一個域是一組的合理、通用的規(guī)則，這些規(guī)則適配大部分用戶的日常需求。默認情況下有九個域。
trusted：接受所有的連接。這是最不偏執(zhí)的防火墻設置，只能用在一個完全信任的環(huán)境中，如測試實驗室或網絡中相互都認識的家庭網絡中。
home、work、internal：在這三個域中，接受大部分進來的連接。它們各自排除了預期不活躍的端口進來的流量。這三個都適合用于家庭環(huán)境中，因為在家庭環(huán)境中不會出現端口不確定的網絡流量，在家庭網絡中你一般可以信任其他的用戶。
public：用于公共區(qū)域內。這是個偏執(zhí)的設置，當你不信任網絡中的其他計算機時使用。只能接收選定的常見和最安全的進入連接。
dmz：DMZ 表示隔離區(qū)。這個域多用于可公開訪問的、位于機構的外部網絡、對內網訪問受限的計算機。對于個人計算機，它沒什么用，但是對某類服務器來說它是個很重要的選項。
e__ternal：用于外部網絡，會開啟偽裝(你的私有網絡的地址被映射到一個外網 IP 地址，并隱藏起來)。跟 DMZ 類似，僅接受經過選擇的傳入連接，包括 SSH。
block：僅接收在本系統中初始化的網絡連接。接收到的任何網絡連接都會被 icmp-host-prohibited 信息拒絕。這個一個極度偏執(zhí)的設置，對于某類服務器或處于不信任或不安全的環(huán)境中的個人計算機來說很重要。
drop：接收的所有網絡包都被丟棄，沒有任何回復。僅能有發(fā)送出去的網絡連接。比這個設置更極端的辦法，唯有關閉 WiFi 和拔掉網線。
你可以查看你發(fā)行版本的所有域，或通過配置文件 /usr/lib/firewalld/zones 來查看管理員設置。舉個例子：下面是 Fefora 31 自帶的 FedoraWorkstation 域：
$ cat /usr/lib/firewalld/zones/FedoraWorkstation.__ml
Fedora Workstation
Unsolicited incoming network packets are rejected from port 1 to 1024, e__cept for select network services. Incoming packets that are related to outgoing network connections are accepted. Outgoing network connections are allowed.
獲取當前的域
任何時候你都可以通過 --get-active-zones 選項來查看你處于哪個域：
$ sudo firewall-cmd --get-active-zones
輸出結果中，會有當前活躍的域的名字和分配給它的網絡接口。筆記本電腦上，在默認域中通常意味著你有個 WiFi 卡：
FedoraWorkstation
interfaces: wlp61s0
修改你當前的域
要更改你的域，請將網絡接口重新分配到不同的域。例如，把例子中的 wlp61s0 卡修改為 public 域：
$ sudo firewall-cmd --change-interface=wlp61s0 --zone=public
你可以在任何時候、任何理由改變一個接口的活動域 —— 無論你是要去咖啡館，覺得需要增加筆記本的安全策略，還是要去上班，需要打開一些端口進入內網，或者其他原因。在你憑記憶學會 firewall-cmd 命令之前，你只要記住了關鍵詞 change 和 zone，就可以慢慢掌握，因為按下 Tab 時，它的選項會自動補全。
數據庫防火墻系統
產品概述
中安威士數據庫防火墻(簡稱VS-FW)，是由中安威士(北京)科技有限公司開發(fā)具有完全自主知識產權的安全防護產品。該產品通過實時分析用戶對數據庫的訪問行為，自動建立合法訪問數據庫的特征模型。同時，通過獨立的授權管理機制和虛擬補丁等防護手段，及時發(fā)現和阻斷SQL注入攻擊和違反企業(yè)規(guī)范的數據庫訪問請求。主要功能包括屏蔽真實數據庫、多因子認證、自動建模、攻擊檢測、訪問控制和審計等。該產品具有高性能、大存儲和報表豐富等優(yōu)勢，幫助企業(yè)有效保護核心數據，保障業(yè)務運營安全，并快速的滿足合規(guī)要求。
產品功能
屏蔽直接訪問數據庫的通道
數據庫防火墻部署于數據庫服務器和應用服務器之間，屏蔽直接訪問數據庫的通道，防止數據庫隱通道對數據庫的攻擊，見下圖。
多因子認證
基于IP地址、MAC地址、用戶、應用程序、時間等因子對訪問者進行身份認證，形成多因子認證，彌補單一口令認證方式安全性的不足。應用程序對數據庫的訪問，必須經過數據庫防火墻和數據庫自身兩層身份認證。
攻擊檢測和保護
實時檢測用戶對數據庫進行SQL注入和緩沖區(qū)溢出的攻擊，并報警或者阻止攻擊行為，同時詳細記錄攻擊操作發(fā)生的時間、來源IP、用戶名、攻擊代碼等信息。
行為基線—自動建立訪問模型
系統將自動學習每一個應用的訪問語句，進行模式提取和分類，自動生成行為特征模型，并可以對學習結果進行編輯。系統通過檢查訪問行為與基線的偏差來識別風險。
連接監(jiān)控
實時監(jiān)控數據庫的連接信息、風險狀態(tài)等。
虛擬補丁
數據庫系統是個復雜的系統，自身存在很多漏洞，容易被攻擊者利用從而導致數據泄漏或致使系統癱瘓。由于需要保證業(yè)務連續(xù)性等多種原因，用戶通常不會及時對數據庫進行補丁安裝。中安威士數據庫防火墻通過內置的多種漏洞特征庫防止已知漏洞被利用，并有效降低數據庫被0day攻擊的風險。
安全審計
系統能夠記錄對數據庫服務器的訪問情況，包括用戶名、程序名、IP地址、請求的數據庫、連接斷開的時間、風險等信息，并提供靈活的查詢分析功能。
報表
提供豐富的報表模板，包括各種審計報表、安全趨勢等。
數據庫審計探針
本系統作為數據庫防火墻的同時，還可以作為數據庫審計系統的數據獲取設備，將通信內容發(fā)送到數據庫審計系統中，在不影響防火墻性能的前提下，實現完整、專業(yè)的數據庫審計。
特性優(yōu)勢
1.技術優(yōu)勢
全自主技術體系：形成高技術壁壘
高速分析技術：特殊數據包分析和轉發(fā)技術，實現高效的網絡通信內容過濾
多線程技術和緩存技術，支持高并發(fā)連接
基于BigTable和MapReduce的存儲：單機環(huán)境高效、海量存儲
基于倒排索引的檢索：高效、靈活日志檢索、報表生成
2.高性能
連續(xù)處理能力：7000~4萬SQL/s
索速度: <1分鐘，1億記錄，帶通配符的模糊檢索
日志存儲能力: 30億 ~100億SQL/TB
3.高可用性
基于硬件的Bypass功能，防止單點失敗
支持雙機熱備功能，保證連續(xù)服務能力
支持自動日志備份
支持SNMP、Syslog日志外發(fā)
支持時間同步
......
4.高安全性
典型部署
透明網橋模式
將數據庫防火墻直連在數據庫之前，所有對數據庫的訪問流量都流經該設備進行過濾和轉發(fā)，防火墻不設IP地址，客戶端看到的數據庫地址不變。
直路代理模式
將數據庫防火墻直連在數據庫之前，防火墻具有獨立IP地址，客戶端邏輯連接防火墻設備地址，所有對數據庫的訪問流量都流經該設備進行過濾和轉發(fā)。
單臂代理模式
將數據庫防火墻接入數據庫所在網絡，客戶端邏輯連接防火墻設備地址，所有對數據庫的訪問流量都流經該設備進行過濾和轉發(fā)。
數據庫審計和防火墻：混合部署
客戶價值
》保護核心數據資產，防止內外部攻擊造成的數據泄密
防止外部黑客攻擊，竊取數據：SQL注入、緩沖區(qū)溢出、權限盜用等
防止內部人員泄密，違規(guī)備份、權限濫用、誤操作等
防止運維人員和第三方人員違規(guī)訪問敏感數據
》安全性與可用性的完美結合，對合法應用和用戶透明
智能學習，自動生成安全基線，無需手動復雜配置規(guī)則
高穩(wěn)定性與高性能，支持雙機熱備，保障正常業(yè)務的連續(xù)性
不需要對應用程序作任何修改，不改變應用程序的使用環(huán)境
對于授權用戶的數據庫操作與管理等過程無需改變
客戶案例
案例1：數據庫防火墻防止社保信息泄露
背景介紹和需求
2015年5月，包括重慶、上海、山西在內的三十多個省市衛(wèi)生和社保系統出現大量高危漏洞，數千萬用戶的社保信息可能因此被泄漏。補天漏洞響應平臺安全專家表示，社保系統包括居民身份證、社保、薪酬等敏感信息。一旦這些信息泄露，不僅是個人隱私全無，還會被犯罪分子利用來復制身份證、盜辦信用卡、盜刷信用卡等刑事犯罪和經濟犯罪。因此亟需相應的解決方案對該信息進行保護。
解決方案
在數據庫之前以透明網關模式部署中安威士數據庫防火墻，開啟學習模式，經過1天左右時間的學習，建立其應用對數據庫訪問的行為基線，進而進入工作模式，并開啟阻斷功能。所有對數據庫的SQL注入攻擊都會偏離基線，而被阻止，從而從根本上阻止了SQL注入。
有益結果
某省社保系統通過上述解決方案，有效地抵御了各類SQL注入攻擊，提高了系統整體的防御能力，維護和提升了社保機構的形象和公信力。完善的日志還能協助安全事件取證及事后追溯，進一步的防止敏感信息的丟失和泄漏。
案例2：數據庫防火墻保護互聯網金融數據庫免受攻擊
背景介紹和需求
互聯網金融企業(yè)面臨著嚴重的敏感數據安全問題。其客戶信息(姓名、身份證、地址、電話、郵件等)、交易信息(交易時間、額度、盈虧情況)等敏感數據具有很高的價值，常常成為黑客攻擊的目標。另外，企業(yè)內部數據分析人員也可能在利益的驅使下執(zhí)行各種偏離業(yè)務的非法查詢和分析語句。從而，亟需對數據庫的攻擊行為進行發(fā)現和阻斷，并詳細記錄內部人員的訪問行為，便于取證。
解決方案
經過論證，在核心數據庫集群前部署了中安威士數據庫防火墻。采用直連代理方式，將系統正確的目標數據庫地址修改為防火墻地址。開啟學習功能，學習到的語句模式經過人工兩次鑒別后作為系統的白名單。對于前端網站系統產生的偏離白名單的訪問行為進行阻斷，并產生報警。對于內部的訪問偏離行為，進行詳細記錄，由人工判斷是否屬于違規(guī)訪問。
有益結果
某P2P公司通過上述解決方案，有效抵御了各類SQL注入和權限濫用攻擊，顯著提升了數據安全防護水平。同時，能夠輕松滿足來自監(jiān)管部門的合規(guī)性檢查，也消除了客戶對隱私安全的顧慮，從而促進了業(yè)務的開展。
防火墻系統基礎知識大全相關文章：
防火墻系統基礎知識大全
上一篇：電腦防火墻基礎知識
下一篇：防火墻技術基礎知識大全
