防火墙如何防止黑客攻击？

防火墙防止黑客攻击主要体现在以下方面（以WSG安全网关为例）：

1) 屏蔽一些容易被攻击的端口，如3389、136、137等。

2) 开启入侵防御功能，对到内网的访问数据进行入侵检测，并且阻止来自互联网的攻击行为。

3) 开启木马检测功能，检测内网被感染的电脑终端，使网管可以第一时间发现内网的不安全主机。

防火墙是什么，它有那些功能
所谓“防火墙”，是指一种将内部网和公众访问网(Internet)分开的方法，实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、拷贝、毁坏你的重要信息。
防火墙主要有硬件防火墙和软件防火墙。硬件防火墙由路由器构成。软件防火墙则由各类软件实现。通常应用防火墙的目的有以下几方面：限制他人进入内部网络；过滤掉不安全的服务和非法用户；防止入侵者接近你的防御设施；限定人们访问特殊站点；为监视局域网安全提供方便。
安全规则就是对计算机所使用局域网、互联网的内制协议设置，从而达到系统的最佳安全状态。 在个人防火墙软件中的安全规则方式可分为两种：一种是定义好的安全规则，就是把安全规则定义成几种方案，一般分为低、中、高三种。这样不懂网络协议的用户，就可以根据自己的需要灵活的设置不同的安全方案。还有一种用户可以自定义安全规则，也就是说，在非常了解网络协议的情况下，你就可以根据自已所需的安全状态，单独设置某个协议。
个人防火墙软件所涉及到的主要以下协议有：
ICMP消息类型、包的进入接口和出接口如果有匹配并且规则允许该数据包；
TCP:传输控制协议；
IP:网际协议，它负责把数据从合式的地方，以及用合式的方法传输；
UDP:用户数据报文协议，UDP和TCP协议封装在IP数据包里；
NETBUEI:网络基本输入/输出系统；
IPX/SPX:以太网所用的协议；
这些协议有它们不同的用处，具体的使用根据用户的需要来设置。

---------------------------------------------------------------

一个防火墙在一个被认为是安全和可信的内部网络和一个被认为是不
那么安全和可信的外部网络(通常是Internet)之间提供一个封锁工具。
在使用防火墙的决定背后, 潜藏着这样的推理: 假如没有防火墙, 一个网
络就暴露在不那么安全的Internet诸协议和设施面前, 面临来自
Internet其他主机的探测和攻击的危险。在一个没有防火墙的环境里,
网络的安全性只能体现为每一个主机的功能, 在某种意义上, 所有主机必
须通力合作, 才能达到较高程度的安全性。网络越大, 这种较高程度的安
全性越难管理。随着安全性问题上的失误和缺陷越来越普遍, 对网络的入
侵不仅来自高超的攻击手段, 也有可能来自配置上的低级错误或不合适的
口令选择。因此, 防火墙的作用是防止不希望的、未授权的通信进出被保
护的网络, 迫使单位强化自己的网络安全政策。 一个防火墙系统通常由
屏蔽路由器和代理服务器组成。屏蔽路由器是一个多端口的IP路由器, 它
通过对每一个到来的IP包依据一组规则进行检查来判断是否对之进行转
发。屏蔽路由器从包头取得信息, 例如协议号、收发报文的IP地址和端口
号, 连接标志以至另外一些IP选项, 对IP包进行过滤。 代理服务器是
防火墙系统中的一个服务器进程, 它能够代替网络用户完成特定的TCP/IP
功能。一个代理服务器本质上是一个应用层的网关, 一个为特定网络应用
而连接两个网络的网关。用户就一项TCP/IP应用, 比如Telnet或者ftp,
同代理服务器打交道, 代理服务器要求用户提供其要访问的远程主机名。
当用户答复并提供了正确的用户身份及认证信息后, 代理服务器连通远程
主机, 为两个通信点充当中继。整个过程可以对用户完全透明。用户提供
的用户身份及认证信息可用于用户级的认证。最简单的情况是: 它只由用
户标识和口令构成。但是, 如果防火墙是通过Internet可访问的, 我们
推荐使用更强的认证机制,比如一次性口令或挑战-回应式系统。 屏蔽路
由器的优点是简单和低(硬件)成本。其缺点关系到正确建立包过滤规则比
较困难、屏蔽路由器的管理成本、还有用户级身份认证的缺乏。路由器生
产商们正在着手解决这些问题。特别值得注意的是, 它们正在开发编辑包
过滤规则的图形用户界面。他们也在制订标准的用户级身份认证协议, 来
提供远程身份认证拨入用户服务(REDIUS)。 代理服务器的优点是用户级
的身份认证、日志记录和帐号管理。其缺点关系到这样一个事实: 要想提
供全面的安全保证, 就要对每一项服务都建立对应的应用层网关。这个事
实严重地限制了新应用的采纳。最近, 一个名叫SOCKS的包罗万象的代理
服务器问世了。SOCKS主要由一个运行在防火墙系统上的代理服务器软件
包和一个链接到各种网络应用程序的库函数包组成。这样的结构有利于新
应用的挂接。 屏蔽路由器和代理服务器通常组合在一起构成混合系统,
其中屏蔽路由器主要用来防止IP欺骗攻击。目前最广泛采用的配置是
Dual-homed防火墙, 被屏蔽主机型防火墙, 以及被屏蔽子网型防火墙。
尽管防火墙已经在Internet业界得到了广泛的应用, 关于防火墙的话
题仍然十分敏感。防火墙的拥护者们把防火墙看成是一种重要的新型安全
措施, 因为它把诸多安全功能集中到一点上, 大大简化了安装、配置和管
理的手续。许多公司把防火墙当做自己单位驻Internet的大使馆, 当做
关于其项目、产品、服务等公共信息的仓库。从美国生产厂家的观点来
看, 防火墙技术是很有意义的, 因为它不用加密, 因而在出口上不受限
制。但是, 目前提供的大多数防火墙产品确实支持这种或那种的IP层加密
功能, 从而在这方面受到美国出口政策的控制。防火墙的另一个特色是它
不限于TCP/IP协议, 从而不只适用于Internet。 确实, 类似的技术完全
可以用在任何分组交换网络当中, 例如X25或ATM都可以。防火墙的批评
者们一般关注的是防火墙的使用不便之处, 例如: 需要多次登录及其他不
受约束的机制, 影响Internet的使用甚至影响Internet的生存。他们声
称: 防火墙给人制造一种虚假的安全感, 导致在防火墙内部放松安全警
惕。 他们也注意到, 许多攻击是内部犯罪, 这是任何基于隔离的防范
措施都无能为力的。同样, 防火墙也不能解决进入防火墙的数据带来的所
有安全问题。如果用户抓来一个程序在本地运行, 那个程序很可能就包含
一段恶意的代码, 或泄露敏感信息, 或对之进行破坏。随着Java、
JavaScript和Active X控件及其相应浏览器的大量持续推广, 这一问题
变得更加突出和尖锐。防火墙的另一个缺点是很少有防火墙制造商推出简
便易用的 \"监狱看守 \"型的防火墙, 大多数的产品还停留在需要网络管
理员手工建立的水平上。当然, 这一方面马上会出现重大的变化。 尽管
存在这些争议, 防火墙的拥护者和批评者都承认, 防火墙不能替代墙内的
谨慎的安全措施。防火墙在当今Internet世界中的存在是有生命力的。它
是一些对高级别的安全性有迫切要求的机构出于实用的原因建造起来的,
因此, 它不是解决所有网络安全问题的万能药方, 而只是网络安全政策和
策略中的一个组成部分。

·定义防火墙 防火墙的技术分析
据公安部的资料，1998年中国共破获电脑黑客案件近百起，利用计算机网络进行的各类违法行为在中国以每年30％的速度递增。有媒介报道，中国95％的与Internet相连的网络管理中心都遭到过黑客的攻击或侵入，其中银行、金融和证券机构是黑客攻击的重点。

随着网络犯罪的递增，网络防火墙开始受人关注。在此，笔着向大家介绍一下“防火墙”的基本知识。

防火墙是什么

所谓“防火墙”，是指一种将内部网和公众访问网(Internet)分开的方法，实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、拷贝、毁坏你的重要信息。

防火墙的安全技术分析

防火墙对网络的安全起到了一定的保护作用，但并非万无一失。通过对防火墙的基本原理和实现方式进行分析和研究，笔者对防火墙的安全性有如下几点认识。

1、正确选用、合理配置防火墙非常不容易

防火墙作为网络安全的一种防护手段，有多种实现方式。建立合理的防护系统，配置有效的防火墙应遵循这样四个基本步骤：(1)风险分析；(2)需求分析；(3)确立安全政策；(4)选择准确的防护手段，并使之与安全政策保持一致。然而，多数防火墙的设立没有或很少进行充分的风险分析和需求分析，而只是根据不很完备的安全政策选择了一种似乎能“满足”需要的防火墙，这样的防火墙能否“防火”还是个问题。

2、需要正确评估防火墙的失效状态

评价防火墙性能如何及能否起到安全防护作用，不仅要看它工作是否正常，能否阻挡或捕捉到恶意攻击和非法访问的蛛丝马迹，而且要看到一旦防火墙被攻破，它的状态如何 按级别来分，有四种状态：(1)未受伤害能够继续正常工作；(2)关闭并重新启动，同时恢复到正常工作状态；(3)关闭并禁止所有的数据通行；(4)关闭并允许所有的数据通行。前两种状态比较理想，而第四种最不安全。但是许多防火墙由于没有条件进行失效状态测试和验证，无法确定其失效状态等级，因此网络必然存在安全隐患。

3、防火墙必须进行动态维护

防火墙安装和投入使用后，并非万事大吉。要想充分发挥它的安全防护作用，必须对它进行跟踪和维护，要与商家保持密切的联系，时刻注视商家的动态。因为商家一旦发现其产品存在安全漏洞，就会尽快发布补救(Patch) 产品，此时应尽快确认真伪(防止特洛伊木马等病毒)，并对防火墙进行更新。

4、目前很难对防火墙进行测试验证

防火墙能否起到防护作用，最根本、最有效的证明方法是对其进行测试，甚至站在“黑客”的角度采用各种手段对防火墙进行攻击。然而具体执行时难度较大：

(1)防火墙性能测试目前还是一种很新的技术，尚无正式出版刊物，可用的工具和软件更是寥寥无几。目前只有美国ISS公司提供防火墙性能测试的工具软件。

(2)防火墙测试技术尚不先进，与防火墙设计并非完全吻合，使得测试工作难以达到既定的效果。

(3)选择“谁”进行公正的测试也是一个问题。

可见，防火墙的性能测试决不是一件简单的事情，但这种测试又相当必要。

5、非法攻击防火墙的基本“招数”

(1)通常情况下，有效的攻击都是从相关的子网进行的。因为这些网址得到了防火墙的信赖，虽说成功与否尚取决于机遇等因素，但对攻击者而言很值得一试。

(2)破坏防火墙的另一种方式是攻击与干扰相结合。也就是在攻击期间使防火墙始终处于繁忙的状态。防火墙过分的繁忙有时会导致它忘记履行安全防护的职能，处于失效状态。

(3)需要特别注意的是，防火墙也可能被内部攻击。因为安装了防火墙后，随意访问被严格禁止了， 这样内部人员无法在闲暇的时间通过Telnet浏览邮件或使用FTP向外发送信息，个别人会对防火墙不满进而可能攻击它、破坏它，期望回到从前的状态。这里，攻击的目标常常是防火墙或防火墙运行的 *** 作系统，因此不仅涉及网络安全，还涉及主机安全问题。

以上分析表明，防火墙的安全防护性能依赖的因素很多，防火墙并非万能。

目前大多数防火墙都是基于路由器的数据包分组过滤类型，防护能力差，存在各种网络外部或网络内部攻击防火墙的技术手段。
·防火墙的基本类型
实现防火墙的技术包括四大类：

1、网络级防火墙

一般是基于源地址和目的地址、应用或协议以及每个IP包的端口来作出通过与否的判断。一个路由器便是一个“传统”的网络级防火墙，大多数的路由器都能通过检查这些信息来决定是否将所收到的包转发，但它不能判断出一个IP包来自何方，去向何处。

先进的网络级防火墙可以判断这一点，它可以提供内部信息以说明所通过的连接状态和一些数据流的内容，把判断的信息同规则表进行比较，在规则表中定义了各种规则来表明是否同意或拒绝包的通过。包过滤防火墙检查每一条规则直至发现包中的信息与某规则相符。如果没有一条规则能符合，防火墙就会使用默认规则，一般情况下，默认规则就是要求防火墙丢弃该包。其次，通过定义基于TCP或UDP数据包的端口号，防火墙能够判断是否允许建立特定的连接，如Telnet、FTP连接。

下面是某一网络级防火墙的访问控制规则：

(1)允许网络12310使用FTP(21口)访问主机150001；

(2) 允许IP地址为202103118和202103114的用户Telnet (23口) 到主机150002上；

(3)允许任何地址的E－mail(25口)进入主机150003；

(4)允许任何> 常用的应用级防火墙已有了相应的代理服务器， 例如： >

1、打开控制面板，点击“系统和安全”。

2、这里就能看到“Windows Defender 防火墙”了，点击打开它。

3、点击打开左侧的“启用或关闭Windows Defender 防火墙”。

4、这里就能设置防火墙的开启或关闭。

5、回到上一个页面，点击左侧的“允许应用或功能通过Windows Defender 防火墙”。

6、这里就能对防火墙允许放通的应用进行设置。

---