网络安全作业3

得分:10/10

  1. 简述防火墙的定义 防火墙是位于两个(或多个)网络之间执行访问控制的软件和硬件系统,它根据访问控制规则对进出网络的数据流进行过滤。

  2. 防火墙对数据流的拒绝和丢弃有何区别?

    • 当数据流被拒绝时,防火墙要向发送者回复一条消息,用ICMP包告知数据源数据包被拒绝的原因,提示发送者该数据流已被拒绝。
    • 当数据流被丢弃时,防火墙不会对这些数据包进行任何处理,也不会向发送者发送任何提示信息。丢弃数据包的做法加长了网络扫描所花费的时间,发送者只能等待回应直至通信超时。
  3. 简述数据包过滤器和状态防火墙。

    • 数据包过滤器通过数据包的头部信息来判断是接受还是拒绝数据包,它并不查看数据包载荷中的应用数据。这种防火墙检查流经它的每个数据包,根据数据包本身所带的信息决定它的去留,而不用参考其他数据包的内容。
    • 状态防火墙会通过对流经的数据包的分析查找通信中的数据流,根据数据流的信息来帮助判断是否让数据包通行。数据流提供了数据包的上下文。状态防火墙有时还会检测一些常用协议的应用数据(虽然可以检测的数据量是有限的),通过这些数据来识别和跟踪相关的数据流。
  4. 与包过滤防火墙相比,应用代理防火墙有哪些特点?

    1. 在已有的安全模型中安全性较高。
    2. 具有强大的认证功能。
    3. 具有超强的日志功能。
    4. 应用级网关防火墙的规则配置比较简单
  5. 在防火墙的典型部署中,堡垒主机是一个组织机构网络安全的中心主机,它应该具备哪些主要特征?

    • 堡垒主机硬件平台运行较为安全的操作系统,成为可信任的系统。
    • 只有网络管理员认为必要的服务(代理和用户认证等)才会安装在堡垒主机上。
    • 当允许一个用户访问代理服务时,堡垒主机可能会要求进行额外认证。另外,每一个代理服务都可能需要相应的鉴别机制(Authentication)
    • 每一个代理都只能支持标准应用服务命令集中的一个子集。
    • 每一个代理只允许访问指定主机的通信,支持对通信进行详细的审计。
    • 每一个代理模块都是一个为网络安全设计的一个很小的软件包。
    • 代理之间相互独立。
    • 代理通常无需进行磁盘访问,不需要读取初始配置文件。这使得入侵者很难在主机上安装Trojan horse、sniffers或其他危险的文件。
    • 堡垒主机是一个组织机构网络安全的中心主机。