看好萊塢大片 品味防火牆的真正魅力[圖]

     日益猖獗的電腦黑客會想方設法盜取銀行的資產，他們喜歡向銀行的高科技防火牆下手，只要出現一個漏洞，就能乘虛而入，發筆大財。美國好萊塢當然不能放過這麼好的題材，就在昨天，由奧斯卡影帝哈裡森·福特主演的大片《防火牆》開始在國內上映，一個關於打劫銀行的普通故事，如果換上黑客繞過網絡保安防火牆，神不知鬼不覺地偷走一億美元的包裝，就會打動很多與網絡信息安全密切相關的IT人士。

好萊塢大片《防火牆》

    顧名思義，《防火牆》是一部關於網絡安全的動作片，男主角因設計了銀行業內最有效的電腦防盜系統而一舉成名，這套復雜的安全系統利用網絡追蹤，通行密碼及防火牆等手段來保護銀行財產免受網絡黑客襲擊。既然防火牆是貫穿整個影片的主線，那筆者就帶大家簡要了解一下關於防火牆（firewall）的方方面面。

    什麼是防火牆

    如果說殺毒軟件是計算機安全的『內科』，那防火牆就是『外科』，它是各種安全防范措施的總稱，可以控制外網訪問和屏蔽安全入侵，流入流出的所有網絡通信數據均要經過這道牆。防火牆簡單的可以只用路由器實現，復雜的可以用主機甚至一個子網來實現。設置防火牆目的都是為了在內部網與外部網之間設立唯一的通道，簡化網絡的管理。

    防火牆的功能

    防火牆對流經它的網絡通信進行掃描，這樣能夠過濾掉一些攻擊，以免其在目標計算機上被執行。防火牆還可以關閉不使用的端口。而且它還能禁止特定端口的流出通信，封鎖特洛伊木馬。最後，它可以禁止來自特殊站點的訪問，從而防止來自不明入侵者的所有通信。

    防火牆的分類

    防火牆主要分為兩大類，硬件防火牆和軟件防火牆。

    軟件防火牆是一種安裝在負責內外網絡轉換的網關服務器或者獨立的個人計算機上的特殊程序，它是以邏輯形式存在的，防火牆程序跟隨系統啟動，形成一種邏輯上的防御體系。軟件防火牆工作於系統接口與NDIS（網絡驅動器接口規范）之間，用於檢查過濾由NDIS發送過來的數據，在無需改動硬件的前提下便能實現一定強度的安全保障。

    硬件防火牆是一種以物理形式存在的專用設備，通常架設於兩個網絡的駁接處，直接從網絡設備上檢查過濾有害的數據報文，位於防火牆設備後端的網絡或者服務器接收到的是經過防火牆處理的相對安全的數據，不必另外分出CPU資源去進行基於軟件架構的NDIS數據檢測，可以大大提高工作效率。

    防火牆還可以從技術上分為『包過濾型』、『應用代理型』和『狀態監視』三類；從結構上又分為單一主機防火牆、路由集成式防火牆和分布式防火牆三種；按工作位置分為邊界防火牆、個人防火牆和混合防火牆；按防火牆性能分為百兆級防火牆和千兆級防火牆兩類……。

    如何評價防火牆

    管理很重要：用戶要使用一個安全的防火牆系統，就需要實行一套安全的防火牆策略，這就對防火牆的實際操作人員提出較高要求。

    功能是基本：防火牆所具有的功能越來越多，但防火牆是否具有信息內容過濾、NAT技術和狀態檢測功能是選購防火牆時需要著重考察的功能點。

    性能是條件：吞吐量和並發連接數是體現網絡性能兩個重要的參數。

    抗攻擊力是保證：目前，在『黑客』的攻擊行為中，使用最多、最有效的是DDoS攻擊，它造成的結果是服務器拒絕服務。防火牆作為網絡的單一通道，要保證受保護網絡的安全，它本身應具有抗攻擊能力。也是用戶購買防火牆的重要參考指標。

    小結：防火牆在目前采用的網絡安全的防范體系中，佔據著舉足輕重的位置，其發展的前提是要確保網絡的運行效率和高強的性能。隨著來自外網的惡意攻擊日益猖獗，防火牆還需要與殺毒軟件和入侵檢測結合起來，纔能共同成為網絡安全的堅固盾牌。