计算机安全状态检测和防Dos攻击防火墙.doc
《计算机安全状态检测和防Dos攻击防火墙.doc》由会员分享,可在线阅读,更多相关《计算机安全状态检测和防Dos攻击防火墙.doc(6页珍藏版)》请在咨信网上搜索。
1、状态检测和防Dos攻击防火墙摘要:针对DoS(DenialofService)拒绝服务攻击 ,在分析DoS的攻击原理和现有的检测、防范手段的基础上 ,提出了一种检测、防范DoS的分布式模型 ,并提出了利用简单网络管理协议 (SNMP)技术实现该模型的方案 ,分析了实现后的检测系统自身的安全性 .研究结果表明 ,分布式检测防范模型能在一定程度上对付DoS攻击 ,能在更高的层面处理分布式攻击 .利用类似的方法还可以检测其他的入侵攻击。关键词:状态检测,防Dos攻击,防火墙引言:互联网的发展,极大的推动了整个社会的发展,在社会、经济、教育和娱乐等各方面都产生了重大的影响。互联网与人们的生活越来越紧密
2、,人们通过网络互相交流,共享一些资源,互联网也缩小了人们地理上的距离,我们生活的这个星球也被称为“地球村”。与此同时,网络安全也成为了人们关注的焦点。病毒、网络攻击等术语也越来越经常出现在人们的面前。 政府或公司的机密数据被黑客盗取、个人计算机被病毒感染造成重要数据被删除等这些事件时常发生。网络安全已经成为政府、科研机构和公司关注的一个焦点。网络攻击手段的不断升级,其破坏性也越来越大,造成的损失也就越来越多。在这些网络攻击中,拒绝服务(DenialofService,DoS)攻击作为一种重要的网络攻击手段,该攻击主要利用了网络协议的缺陷。由于DoS攻击的原理简单,攻击的工具也能够很容易的得到,
3、因此利用它对受害主机进行攻击占了网络攻击中的近一半,其造成的损失也比较高。1防火墙的概念防火墙是一种用来加强网络之间访问控制的特殊网络设备,常常被安装在受保护的内部网络连接到Internet的结点上。它对传输的数据包和连接方式按照一定的安全策略进行检测,从而决定网络之间的通信是否允许。防火墙能有效控制内部网络和外部网络之间的访问及数据传输,从而达到保护内部网络信息不受外部非授权用户的访问和对不良信息的过滤。2状态检测防火墙状态检测防火墙又称动态报过滤,是传统包过滤上的功能扩展。状态检测防火墙在网络层有一个检查引擎截获数据包并抽取出与应用层状态有关的信息,并以此为依据决定对该连接是接受还是拒绝。
4、这种技术提供了高度安全的解决方案,同时具有较好的适应性和扩展性。状态检测防火墙一般也包括一些代理级的服务,它们提供附加的对特定应用程序数据内容的支持。状态检测技术最适合提供对UDP协议的有限支持。它将所有通过防火墙的UDP分组均视为一个虚连接,当反向应答分组送达时,就认为一个虚拟连接已经建立。状态检测防火墙克服了包过滤防火墙和应用代理服务器的局限性,不仅仅检测“to”和“from”的地址,而且不要求每个访问的应用都有代理。这是第三代防火墙技术,能对网络通信的各层实行检测。同包过滤技术一样,它能够检测通过IP地址、端口号以及TCP标记,过滤 进出的数据包。它允许受信任的客户机和不受信任的主机建立
5、直接连接,不依靠 与应用层有关的代理,而是依靠某种算法来识别进出的应用层数据,这些算法通 过己知合法数据包的模式来比较进出数据包,这样从理论上就能比应用级代理在过滤数据包上更有效。 状态监视器的监视模块支持多种协议和应用程序,可方便地实现应用和服务的扩充。此外,它还可监测RPC和UDP端口信息,而包过滤和代理都不支持此类端口。这样,通过对各层进行监测,状态监视器实现网络安全的目的。目前,多使用状态监测防火墙,它对用户透明,在OSI最高层上加密数据,而无需修改客户端程序,也无需对每个需在防火墙上运行的服务额外增加一个代理。2.1状态检测型防火墙工作原理状态检测防火墙基本保持了简单包过滤防火墙的优
6、点,性能比较好,同时对应用是透明的,在此基础上,对于安全性有了大幅提升。这种防火墙摒弃了简单包过滤防火墙仅仅考察进出网络的数据包,不关心数据包状态的缺点,在防火墙的核心部分建立状态连接表,维护了连接,将进出网络的数据当成一个个的事件来处理。可以这样说,状态检测包过滤防火墙规范了网络层和传输层行为,而应用代理型防火墙则是规范了特定的应用协议上的行为。2.2 状态检测型防火墙优点(1)安全性好 状态检测防火墙工作在数据链路层和网络层之间,它从这里截取数据包,因为数据链路层是网卡工作的真正位置,网络层是协议栈的第一层,这样防火墙确保了截取和检查所有通过网络的原始数据包。防火墙截取到数据包就处理它们,
7、首先根据安全策略从数据包中提取有用信息,保存在内存中;然后将相关信息组合起来,进行一些逻辑或数学运算,获得相应的结论,进行相应的操作,如允许数据包通过、拒绝数据包、认证连接、加密数据等。状态检测防火墙虽然工作在协议栈较低层,但它检测所有应用层的数据包,从中提取有用信息,如IP地址、端口号、数据内容等,这样安全性得到很大提高。 (2)性能高效 状态检测防火墙工作在协议栈的较低层,通过防火墙的所有的数据包都在低层处理,而不需要协议栈的上层处理任何数据包,这样减少了高层协议头的开销,执行效率提高很多;另外在这种防火墙中一旦一个连接建立起来,就不用再对这个连接做更多工作,系统可以去处理别的连接,执行效
8、率明显提高。 (3)扩展性好 状态检测防火墙不像应用网关式防火墙那样,每一个应用对应一个服务程序,这样所能提供的服务是有限的,而且当增加一个新的服务时,必须为新的服务开发相应的服务程序,这样系统的可扩展性降低。状态检测防火墙不区分每个具体的应用,只是根据从数据包中提取出的信息、对应的安全策略及过滤规则处理数据包,当有一个新的应用时,它能动态产生新的应用的新的规则,而不用另外写代码,所以具有很好的伸缩性和扩展性。 (4)配置方便,应用范围广 状态检测防火墙不仅支持基于TCP的应用,而且支持基于无连接协议的应用,如RPC、基于UDP的应用(DNS、WAIS、Archie等)等。对于无连接的协议,连
9、接请求和应答没有区别,包过滤防火墙和应用网关对此类应用要么不支持,要么开放一个大范围的UDP端口,这样暴露了内部网,降低了安全性。2.3状态防火墙的缺点包过滤防火墙得以进行正常工作的一切依据都在于过滤规则的实施,但又不能满足建立精细规则的要求,并不能分析高级协议中的数据。应用网络关防火墙的每个连接都必须建立在为之创建的有一套复杂的协议分析机制的代理程序进程上,这会导致数据延迟的现象。状态检测防火墙虽然继承了包过滤防火墙和应用网关防火墙的优点,克服了它们的缺点,但它仍只是检测数据包的第三层信息,无法彻底的识别数据包中大量的垃圾邮件、广告以及木马程序等等。包过滤防火墙和网关代理防火墙以及状态检测防
10、火墙都有固有的无法克服的缺陷,不能满足用户对于安全性的不断的要求,于是深度包检测防火墙技术被提出了。3防Dos攻击防火墙DoS(Denial of Service拒绝服务)和DoS(Distributed Denial of Service分布式拒绝服务)攻击是大型网站和网络服务器的安全威胁之一。3.1Dos攻击原因(1)软件弱点造成的漏洞。这包含在操作系统或应用程序中与安全相关的系统缺陷,这些缺陷大多是由于错误的程序编制,粗心的源代码审核,无心的副效应或一些不适当的绑定所造成的。由于使用的软件几乎完全依赖于开发商,所以对于由软件引起的漏洞只能依靠打补丁来弥补。 (2)错误配置也会成为系统的安
11、全隐患。这些错误配置通常发生在硬件装置、服务器系统或者应用程序中,大多是由于一些没经验、不负责任员工或者错误的理论所造成。因此我们必须保证对网络中的路由器、交换机等网络连接设备和服务器系统都进行正确的配置,这样才会减小这些错误发生的可能性。 (3)重复请求导致过载的拒绝服务攻击。当对资源的重复请求大大超过资源的支持能力时就会造成拒绝服务攻击3.2防Dos攻击首先是加固操作系统,即对各种操作系统参数进行配置以加强系统的稳固性。重新编译或设置Linux以及各种BSD系统、Solaris和Windows等操作系统内核中的某些参数,可提高系统的抗攻击能力。例如,DoS攻击的典型种类SYN Flood,
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 计算机 安全 状态 检测 Dos 攻击 防火墙
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【精***】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【精***】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。