什么是防火墻?
防火墻是一種機制，用于控制和監(jiān)視網(wǎng)絡上來往的信息流，目的是保護網(wǎng)絡上的設備。流過的信息要與預定義的安全標準或政策進行比較，丟棄不符合政策要求的信息。實際上，它是一個過濾器，阻止了不必要的網(wǎng)絡流量，限制了受保護網(wǎng)絡與其它網(wǎng)絡(如因特網(wǎng)，或站點網(wǎng)絡的另一部分)之間通信的數(shù)量和類型。下圖顯示了一個簡單的防火墻，禁止來自因特網(wǎng)對個人計算機(PC)和可編程邏輯控制器(PLC)的訪問，但允許對企業(yè)Web服務器的訪問。
圖：一個簡化的防火墻舉例
防火墻類型
防火墻具有很多不同的設計和配置。它可以是一個連接到網(wǎng)絡的單獨物理硬件設備(如思科的PIX?或賽門鐵克的安全網(wǎng)關(guān)防火墻)，可以是一個帶有操作系統(tǒng)和防火墻功能(如運行在Linux?服務器上的“iptables”)的硬件/軟件單元，甚至可以是一個完全基于主機的軟件解決方案，即直接在工作站上安裝防火墻軟件(如諾頓的個人防火墻?或Sygate的個人防火墻)。
獨立的硬件或硬件/軟件單元通常被稱為網(wǎng)絡防火墻，通常是最安全的解決方案，把企業(yè)網(wǎng)絡與工業(yè)自動化控制網(wǎng)絡(IACN)分開。它們是專用的功能單元，除了個別例外，加固后可以抵擋一切攻擊。此外，網(wǎng)絡防火墻通常提供最佳的管理選項，因此通常允許對它們進行遠程管理。
基于主機的防火墻通常能夠接受某些妥協(xié)，因為主機的主要功能不是安保，通常要完成一些工作站或服務器的任務，例如數(shù)據(jù)庫訪問或Web服務。
同時，基于主機的防火墻解決方案目前僅適用于Windows或基于Unix的平臺，只能為網(wǎng)絡上的嵌入式控制設備(如PLC)做一定的流量管理。基于主機的防火墻可以放置在IACN / 監(jiān)控與數(shù)采(SCADA)網(wǎng)絡上，但它們通常在我們今天要考慮的范圍之外。因此，除少數(shù)情況外，本文假定IACN / SCADA防火墻是一個專用的硬件或硬件/軟件解決方案，通過一系列規(guī)則，對傳送到控制網(wǎng)絡信息流實施允許或拒絕。
防火墻分類
網(wǎng)絡使用離散的位組發(fā)送數(shù)據(jù)，通常把一定數(shù)量的位組稱為數(shù)據(jù)包。每個數(shù)據(jù)包通常包含若干個獨立的信息，包括(但不限于)的項目有：
?發(fā)件人的身份(源地址);
?收件人的身份(目的地址);
?包涉及的服務(端口號);
?網(wǎng)絡操作和狀態(tài)標志;
?把數(shù)據(jù)的有效載荷傳遞到該服務。
接收一個數(shù)據(jù)包時，防火墻對包的這些特征進行分析，并決定對這個包采取什么行動。可以選擇丟棄該包、允許立即通過、因帶寬限制而暫時緩存，或轉(zhuǎn)發(fā)給不同的收件人 – 應按照網(wǎng)絡安全策略采取適當?shù)男袆印?/font>
這些決定都基于一系列的規(guī)則，該規(guī)則通常被稱為訪問控制列表(ACL)。防火墻具有不同的類型，每種類型都具有復雜的分析和行動能力。下面給予分別介紹。
1.包過濾防火墻
最簡單一類的防火墻被稱為包過濾防火墻。它具有一系列的靜態(tài)規(guī)則，對收到的報文按規(guī)則采取行動。下面的示例表明了包過濾防火墻是如何按規(guī)則處理數(shù)據(jù)包的：
?在用戶數(shù)據(jù)報協(xié)議(UDP)端口53上接受域名服務(DNS)響應數(shù)據(jù)包;
?阻止因特網(wǎng)協(xié)議(IP)地址為24.116.25.21的任何數(shù)據(jù);
?通過阻斷傳輸訪問控制協(xié)議(TCP)端口80、443、3128、8000和8080傳出的數(shù)據(jù)包以阻止網(wǎng)上沖浪，除非他們指向企業(yè)內(nèi)部網(wǎng)Web服務器的IP地址;
?丟棄源路由包;
?接受來自特定IP地址范圍的工程操作站，通過TCP端口23遠程登錄(telnet)到一個特定的分布式控制系統(tǒng)(DCS)IP地址的數(shù)據(jù)。
不幸的是，包過濾防火墻缺乏理解一系列數(shù)據(jù)包之間關(guān)系的能力。例如，廣泛適用的規(guī)則“接受UDP端口53上的DNS響應數(shù)據(jù)包”包含一個嚴重的缺陷。如果DNS沒有發(fā)過查詢，而用一個偽造的DNS“響應”包來代替呢?這個簡單的防火墻會接受這個數(shù)據(jù)包，并提供給“請求”主機，這可能會帶來麻煩。比較狡猾的黑客會利用防火墻的這些弱點潛入內(nèi)部系統(tǒng)。
