当前位置：首页 > java >正文

信息安全导论第七章网络边界防御技术

java 2025/5/4 7:35:17

一、网络边界防御概述

1.1 网络边界定义

1.2 边界防御技术对比（补充）

二、防火墙技术

2.1 防火墙基础

2.2 防火墙分类*

2.3 防火墙关键技术对比

2.4 防火墙体系结构

2.5 防火墙局限性

三、虚拟专用网（VPN）技术

3.1 VPN核心特性

3.2 VPN分类

3.3 VPN关键技术

四、安全网关技术

4.1 网关类型与功能

4.2 UTM网关的优缺点

一、网络边界防御概述

核心概念：
- 区域边界：信息系统与外部网络交互的逻辑/物理门户（IATF定义），是安全控制的第一道防线。
- 网络边界：连接不同安全级别网络的交界点（如企业内网与互联网）。
典型边界场景：
- 企业内部网络 ↔ 外部网络
- 部门间网络隔离（如财务部与普通部门）
- 分支机构与总部互联
等保2.0要求：
- 强制通过受控接口通信，禁止非授权设备接入，限制无线网络接入。

技术	核心功能	典型产品	适用场景
防火墙	基础访问控制（网络/传输层）	深信服、华为、天融信	企业网络出入口
UTM网关	多功能集成（防火墙+IPS+防病毒）	奇安信、网御星云	中小企业综合防护
网闸	物理隔离+协议摆渡	天融信网闸	高敏感环境（如军工、政府）
VPN	加密通信隧道	深信服VPN、IPSec VPN	远程办公、分支机构互联

核心定义：
- 访问控制：基于安全策略（ACL）的“允许/拒绝”机制，是网络边界的核心访问控制设备。
- 等保2.0要求：必须部署防火墙实现区域隔离，记录流量日志并支持集中管理（如SIEM集成）。
关键特性补充：
- 透明模式：无需修改网络拓扑，但可能引入延迟（微秒级）。
- 隐身性：防火墙自身不响应探测请求（如ICMP），防止暴露网络结构。

分类维度	类型	典型场景	代表产品
部署形态	硬件防火墙	企业网络边界	华为USG、思科ASA
	软件防火墙	个人终端/云环境	Windows Defender防火墙
	虚拟防火墙（NFV）	云平台（如AWS Security Group）	VMware NSX
功能定位	传统防火墙	基础包过滤	iptables（Linux）
	下一代防火墙（NGFW）	应用识别+威胁防护	Palo Alto PA系列、FortiGate

注：NGFW已成为主流，集成IPS、沙箱、DLP等功能，支持应用层协议（如HTTP/SQL）深度解析。

技术	工作层次	优势	缺陷	适用场景
包过滤	网络层	高性能（线速转发）	无法处理FTP动态端口、无用户认证	基础网络隔离
状态检测	传输层	动态跟踪TCP状态（防伪造会话）	不识别HTTP恶意内容（如SQL注入）	企业内外网边界
应用代理	应用层	细粒度控制（如阻断微信文件传输）	性能低（需拆包检查）、不支持所有应用协议	高安全需求场景（如政府）

演进趋势：

双宿主主机：
- 风险：若主机被攻破，攻击者直接访问内网。需禁用IP转发并强化主机安全。
屏蔽子网（DMZ）：
- 最佳实践：
  - 将Web服务器、邮件服务器置于DMZ，仅开放必要端口（如80/443）。
  - 内外路由器策略：外路由器阻断私有IP（RFC 1918），内路由器仅允许DMZ到内网的指定流量。

绕过攻击：
- 案例：攻击者利用VPN或4G热点绕过企业防火墙，需搭配终端DLP和网络准入控制（NAC）。
高级威胁：
- 文件病毒：防火墙无法检测压缩包内恶意代码，需结合沙箱或EDR。
- 零日漏洞：如Log4j RCE，依赖NGFW的漏洞特征库紧急更新。
内部威胁：
- 防御方案：分布式防火墙（如主机防火墙）+ 网络微隔离（如Cisco TrustSec）。

分类依据	类型	应用场景
协议	PPTP、L2TP、IPSec、TLS	不同加密需求（如IPSec适合企业级加密）。
应用	Access VPN、Intranet VPN、Extranet VPN	远程办公、分支机构互联、跨企业合作。