最新蠕虫病毒蒙面客现形 可致用户隐私泄漏

防火墙技术的发展

防火墙技术经过近几年的快速发展，产品概念和应用已经深入人心，这主要是由于防火墙作为网关设备，直接保护着内部网络免受外部非法访问的侵害，因此，用户需求急剧上升，从而促进了防火墙产品和技术的快速增长。从CCID对防火墙市场的统计来看，在2003年中国网络安全产品市场中防火墙占据了41.1%的市场份额，市场销售总额9.68亿元，2004年，防火墙产品占据中国网络安全产品市场43.7%的份额，市场销售总额达到15.25亿元，销售总额比2003年增长近58%。而在防火墙的市场份额中，大型企业又占据防火墙市场51.9%。
　　防火墙产品和技术中，将包过滤技术和多种应用技术融合到一起构成复合型防火墙是目前国内防火墙产品的一个特点，也是防火墙最近几年来发展的主流技术，作为一种技术，该类产品在今后许多年还会得到更为完善的发展。
　　在防火墙的发展过程中，现有的X86普通工控机架构仍然占据了国内大部分的百兆防火墙市场，其主要原因是技术成熟、成本相对较低，至强服务器架构的防火墙由于其本身硬件具有较高的性能，因此已经被众多的厂商用作千兆防火墙的平台。而NP架构一直被业界认为是防火墙架构的最佳选择，从2003年使用的Intel 1200到现在主流的Intel 2800（当然Inter 1200现在已经停产），虽然性能是提高了不少，但其仍然采用了国外技术，因此采用这种架构只能使用于电信、银行、企业等政府、军队行业，这从一定程度上对其产品的销售有一些冲击，当然，从产品的多元化来看无疑也是一条生路。至于其他防火墙技术，如分布式防火墙虽然在未来有发展的迹象，但未形成成熟的产品。
　　以用户为导向，产品向高性能、多端口、高细粒度控制是防火墙未来发展的主要方向。一方面，在用户对高性能需求的驱使下，百兆防火墙的性能将会得到进一步的提高；另一方面，千兆流量的防火墙已经得到较快发展，它已成为高端市场防火墙系统中添加网络硬件加速器，将能有效提高其处理能力；而多端口的防火墙能为用户提供更好的安全解决方案，这种多端口技术也是防火墙技术发展的主要方向；当然高细粒度的控制无疑能够增加防火墙访问控制的作用。
　　从目前防火墙技术来看，以下几方面将在今后得到进一步的发展。
　　1、应用状态检测技术
　　安全领域中长期依赖发挥最大作用的无非是状态防火墙，通过协议状态检测技术实现数据访问单向流动，从而有效地保护内部网络不受攻击。而对服务器，采取暴露端口的形式。随着应用的增多和对安全性要求的提高，对这种开放端口的服务器同样需要保护，在网络层状态检查的检查基础上需要扩展到应用层的状态检查，从而对暴露在网路中的服务器进行保护。这种趋势会带给产品一系列的应用层安全网关，比如Web安全网关，主意语音安全网关等专用协议网关。当然，其网络位置不必是整个网络的出口，只要在保护资源的通路上即可。目前的专有过滤网关就是这一趋势的一个表现。
　　2、细粒度数据控制技术
　　目前的数据控制是非常粗糙的，基于协议的简单过滤和复杂QoS，说简单一点是基于IP的。但是，借用传统电信的观点，所有的控制都是基于用户的。固网电话号码可以代表固定网的用户，移动网号码可以代表移动用户，而IP地址绝对不能代表IP网络的用户。虽然目前很多产品都是这样做的，但是总存在不能解决的问题。通过对用户认证功能的融合，网络设备，包括防火墙可以具备标识用户的能力；已经通过使用FPGA（目前这种方式在国内更加普及和现实）和NP，可以对用户数据进行细粒度控制。比如，可以实现针对哪些用户可以用QQ，哪些不能；一部分用户可以使用BT下载达到20K的速度，而一些用户可以达到5K的速度。传统的基于ACL的访问控制，流量控制等功能将被新技术逐渐所取代。
　　3、分析产品整合
　　在防火墙功能中，安全审计、IDS、安全探测、流量分析等进一步进行整合，通过统一的用户接口，界面的友好化和操作的自动化，不需要人工干预的自动定期分析等功能是防火墙发展的另一特征，通过整合后的这种产品，将会为管理员提供更明确的网络诊断报告，让网管的安全工作变得简单而有效。
　　4、安全技术融合
　　传统的网络层安全技术，如NAT，状态防火墙，VPN将不再作为热点的专有设备，网络中路由器，交换机性能的提升和硬件构架的换代将直接提供网络层的安全功能，传统意义上的防火墙功能将集成在路由器中。而另一方面，随着协议和接口的统一，原来防火墙完全也可以占据路由器或者交换机的位置。例如思科把原来一款支持硬件安全插卡的交换机全部插上安全模块，这就是思科的高端防火墙。交换、路由、安全的融合是近两年以通信厂商为主提出的技术融合。但是，从这种安全技术的特点来看，网络设备厂商将变为安全厂商，而安全厂商通常不会变为网络设备厂商，如华为和思科就是目前最具代表性的厂商。那么传统的安全厂商到底如何发展呢？从目前状况来看，以NetScreen为代表的把自己融合进网络设备厂商是一种发展状况；以Fortinet为代表的向安全的新领域――业务安全（而不是网络安全）进军的是另一个状况；而第三种就是组建安全联盟，形成一个大的安全体系，自己是其中一个基石，这种例子不用再列举。因此也可以说安全技术的融合必然会引起防火墙产品的新一轮竞争。
　

通过防火墙事件日志看网络安全

防火墙防火墙事件日志是所有防火墙当前正在通过的信息，其中会保存系统收到的各种不安全信息的时间、类型等等。通过分析这些日志，可以发现曾经发生过或正在进行的系统入侵行为。

防火墙日志并不复杂，但要看懂它还是需要了解一些基础概念（如端口、协议等）。尽管这种防火墙日志不一样，但在记录方式上大同小异，主要包括：时间、允许或拦截（Accept或Block）、通讯类型、源IP地址、源端口、目的地址和目的端口等。本文将以东软防火墙事件日志为例，让大家了解如何分析防火墙日志，进而找出系统漏洞和可能存在的攻击行为。
　　东软防火墙事件日志会把所有不合规则的数据包拦截并记录到日志中，通过对防火墙事件日志的分析可以有针对性的防范网络的攻击。

1.139、445端口攻击
　　来自于局域网内的某台电脑正大量的访问外部网络的139、445端口时，或未经允许的外部某IP试图连接内部某电脑的139、445端口时，但该操作未能成功执行。表明内网可能有蠕虫病毒或外网有攻击企图。
　　139、端口是NetBIOS协议所使用的端口，在windows NT以后的版本中新增加了445端口的开放。在安装TCP\IP协议的同时，NetBIOS也会被作为默认设置安装到系统中。139端口的开放意味着硬盘可能会在网络中共享；网上黑客也可通过NetBIOS知道你的电脑中的一切！

解释：“NetBIOS”是网络的输入输出系统，尽管现在TCP\IP协议成为广泛使用的传输协议,但是NetBIOS提供的NetBEUI协议在局域网中还在被广泛使用.

尽管在东软防火墙的监控下，此隐患并没有被利用。但我们不能无动于衷，应想办法把这个漏洞补上。对于连接仅到互联网上的机器，NetBIOS完全没有用处，可以将它去掉。
　　那么如何知晓这个来源地址的行为呢？如果是一个远程地址，有可能是对方在用软件进行扫描或是病毒的攻击，如果是在局域网内向外的连接，且上机人员未用软件攻击，则可能是电脑中了蠕虫病毒。要对相应电脑做杀毒处理。

2.80端口FIN攻击
　　在东软防火墙事件日志中，如果你收到从某IP到某IP的80端口TCP的FIN攻击时，通常有两种情况。第一种情况：如果防火墙作为网桥模式置于路由器与外部网络之间，且路由器做了内到外的NAT转换，源IP为内网IP目标IP为外网IP时，则可能为正常情况。因为大量内网IP经过NAT转换为相同IP地址对外网访问时，由于防火墙的内核检测规则同一IP在1秒内最大连接不能超过50个，超过50个则会被视为攻击行为。第二种情况：除了上一种情况外，其他情况大多数都可能为攻击行为。

3.ping探测攻击
　　在东软防火墙的事件日志中还会记录某些用户持续进行ping攻击。在排除了人为进行的ping之外，要注意可能是来自于源地址机器中有类似于“冲击波”等病毒在作怪。因此，对于源地址机器来讲，刻不容缓的事情就是要安装微软的“冲击波”补丁。
　　最后要特别说明的是，不是所有被拦截的数据包都意味着有人在进行攻击，病毒或一些极端情况中防火墙也会对某些数据包进行拦截并报警。

   　　　　　工程师信箱：service@ultratech.com.cn   欢迎大家与我一起交流技术方面的问题。