系統(tǒng)安全設(shè)計(jì)

1、一系統(tǒng)安全設(shè)計(jì)一系統(tǒng)安全設(shè)計(jì)1.11.1常用安全設(shè)備常用安全設(shè)備1.1.11.1.1防火墻防火墻主要是可實(shí)現(xiàn)基本包過(guò)濾策略的防火墻，這類是有硬件處理、軟件處理等，其主要功能實(shí)現(xiàn)是限制對(duì)IP:pt的訪問(wèn)?；旧系膶?shí)現(xiàn)都是默認(rèn)情況下關(guān)閉所有的通過(guò)型訪問(wèn)，只開(kāi)放允許訪問(wèn)的策略。1.1.21.1.2抗DDOSDDOS設(shè)備設(shè)備防火墻的補(bǔ)充，專用抗DDOS設(shè)備，具備很強(qiáng)的抗攻擊能力。1.1.31.1.3IPSIPS以在線模式為主，系統(tǒng)提供多個(gè)端口，

2、以透明模式工作。在一些傳統(tǒng)防火墻的新產(chǎn)品中也提供了類似功能，其特點(diǎn)是可以分析到數(shù)據(jù)包的內(nèi)容，解決傳統(tǒng)防火墻只能工作在4層以下的問(wèn)題。和IDS一樣，IPS也要像防病毒系統(tǒng)定義N種已知的攻擊模式，并主要通過(guò)模式匹配去阻斷非法訪問(wèn)。1.1.41.1.4SSLSSLVPNVPN它處在應(yīng)用層，SSL用公鑰加密通過(guò)SSL連接傳輸?shù)臄?shù)據(jù)來(lái)工作。SSL協(xié)議指定了在應(yīng)用程序協(xié)議和TCPIP之間進(jìn)行數(shù)據(jù)交換的安全機(jī)制，為TCPIP連接提供數(shù)據(jù)加密、服務(wù)器認(rèn)

3、證以及可選擇的客戶機(jī)認(rèn)證。1.1.51.1.5WAFWAF（WEBWEB應(yīng)用防火墻）應(yīng)用防火墻）Web應(yīng)用防護(hù)系統(tǒng)（WebApplicationFirewall簡(jiǎn)稱：WAF）代表了一類新興的信息安全技術(shù)，用以解決諸如防火墻一類傳統(tǒng)設(shè)備束手無(wú)策的Web應(yīng)用安全問(wèn)題。與傳統(tǒng)防火墻不同，WAF工作在應(yīng)用層，因此對(duì)Web應(yīng)用防護(hù)具有先天的技術(shù)優(yōu)勢(shì)?；趯?duì)Web應(yīng)用業(yè)務(wù)和邏輯的深刻理解，WAF對(duì)來(lái)自Web應(yīng)用程序客戶端的各類請(qǐng)求進(jìn)行內(nèi)容檢測(cè)和驗(yàn)證

4、，確保其安全性與合法性，對(duì)非法的請(qǐng)求予以實(shí)時(shí)阻斷，從而對(duì)各類網(wǎng)站站點(diǎn)進(jìn)行?狀態(tài)管理WAF能夠判斷用戶是否是第一次訪問(wèn)并且將請(qǐng)求重定向到默認(rèn)登錄頁(yè)面并且記錄事件。通過(guò)檢測(cè)用戶的整個(gè)操作行為我們可以更容易識(shí)別攻擊。狀態(tài)管理模式還能檢測(cè)出異常事件（比如登陸失?。?，并且在達(dá)到極限值時(shí)進(jìn)行處理。這對(duì)暴力攻擊的識(shí)別和響應(yīng)是十分有利的。?其他防護(hù)技術(shù)WAF還有一些安全增強(qiáng)的功能，可以用來(lái)解決WEB程序員過(guò)分信任輸入數(shù)據(jù)帶來(lái)的問(wèn)題。比如：隱藏表單域保護(hù)

5、、抗入侵規(guī)避技術(shù)、響應(yīng)監(jiān)視和信息泄露保護(hù)。1.21.2網(wǎng)絡(luò)安全設(shè)計(jì)網(wǎng)絡(luò)安全設(shè)計(jì)1.2.11.2.1訪問(wèn)控制設(shè)計(jì)訪問(wèn)控制設(shè)計(jì)防火墻通過(guò)制定嚴(yán)格的安全策略實(shí)現(xiàn)內(nèi)外網(wǎng)絡(luò)或內(nèi)部網(wǎng)絡(luò)不同信任域之間的隔離與訪問(wèn)控制。并且防火墻可以實(shí)現(xiàn)單向或雙向控制，對(duì)一些高層協(xié)議實(shí)現(xiàn)較細(xì)粒的訪問(wèn)控制。其中防火墻產(chǎn)品從網(wǎng)絡(luò)層到應(yīng)用層都實(shí)現(xiàn)了自由控制。屏蔽主機(jī)網(wǎng)關(guān)易于實(shí)現(xiàn)，安全性好，應(yīng)用廣泛。它又分為單宿堡壘主機(jī)和雙宿堡壘主機(jī)兩種類型。先來(lái)看單宿堡壘主機(jī)類型。一個(gè)包過(guò)

6、濾路由器連接外部網(wǎng)絡(luò)，同時(shí)一個(gè)堡壘主機(jī)安裝在內(nèi)部網(wǎng)絡(luò)上。堡壘主機(jī)只有一個(gè)網(wǎng)卡，與內(nèi)部網(wǎng)絡(luò)連接。通常在路由器上設(shè)立過(guò)濾規(guī)則，并使這個(gè)單宿堡壘主機(jī)成為從Inter惟一可以訪問(wèn)的主機(jī)，確保了內(nèi)部網(wǎng)絡(luò)不受未被授權(quán)的外部用戶的攻擊。而Intra內(nèi)部的客戶機(jī)，可以受控制地通過(guò)屏蔽主機(jī)和路由器訪問(wèn)Inter。1.2.21.2.2拒絕服務(wù)攻擊防護(hù)設(shè)計(jì)拒絕服務(wù)攻擊防護(hù)設(shè)計(jì)對(duì)某些域名服務(wù)器的大規(guī)模拒絕服務(wù)攻擊會(huì)造成互聯(lián)網(wǎng)速度普遍下降或停止運(yùn)行；以使得被攻擊