关于网络防火墙防范溢出策略分析 (关于网络防火墙说法错误的是)

1)对希望保护的主机实行“单独*端口”访问控制策略　　　　所谓“单独*端口”就是指只*需要提供的端口，对于不需要提供服务的端口实行过滤策略。打个比方，现在我们需要保护一台存在WebD**的WEB服务器，如何能令它不被骇客入侵呢？答案是：在这台WEB服务器的前端防火墙中加入一个“只允许其他机器访问此机的TCP端口”的*滤规则(至于阁下的防火墙能否实现这样的规则就另当别论了)。加上这个规则又会有怎样的效果呢？　　①使用*扫描器找到存在远程溢出漏洞的主机-》②确认其版本号(如果有需要的话)-》③使用exploit(攻击程序)发送shellcode-》④确认远程溢出成功后使用NC或TELNET等程序连接被溢出主机的端口-》⑤得到SHELL　　　　使用“单独*端口”策略的解决方案对整个远程溢出过程所发生的前三步都是*为力的，但来到第四步这个策略能有效地阻止骇客连上有*主机的被溢出端口，从而切断了骇客的恶意攻击手段。　　　　优点：*作简单，一般的网络/*管理员就能完成相关的*作。　　　　缺点：对溢出后使用端口复用进行控制的EXPLOITS就*为力了；对现实中的溢出后得到反向连接控制的EPLOITS也是*为力；不能阻止D.o.S方面的溢出攻击。　　　　2)使用应用层防火墙*　　　　这里所谓的应用层并不是想特别指明该防火墙工作在应用层，而是想指明它能在应用层对数据进行处理。由于应用层的协议/服务种类比较多，因此针对应用层形式的防火墙就有一定的市场局限性了。就楼上所提到的案例而言我们可以使用处理HTTP协议的应用层防火墙对存在WebD**的服务器订制保护规则，保证服务器不收此类攻击的影响。应用层中的HTTP协议防火墙*不多，其中比较出名的有EEYE公司的SecureI*，其使用方式就可谓是“弱智型”了，说说它的基本防御原理与特点吧。当服务端接受到一个发送至TCP端口的数据包时首先就会将该包转移至SecureI*，SecureI*就会对该包进行分析并*该包的应用层数据，将得到的数据与你本身定制的规则进行数据配对，一旦发现条件相符饿数值就会执行规则所指定的相应*作。　　　　优点：能有效地切断一些来自应用层的攻击(如溢出、SQL注入等)。　　　　缺点：因为需要安装在服务器上，所以会占用一定的*资源；(eeye公司本身并无开发该软件的中文版本，所以一旦它受到POST行为发出的中文数据时就会自动认为是高位攻击代码，自动将其隔离，并进行相关的处理*作)。　　　　3)使用IDS功能的防火墙*　　　　现在国内自主开发的防火墙*可谓是进入“白热化”了，什么百兆、千兆、2U、4U...性能参数的比较本已经日趋激烈了，再开始有不少厂商将技术重点转移在了“多功能”的方面上，在防火墙中继承IDS模块已经不是什么新鲜事了，使用这类产品可以达到监控应用层数据的效果。　　　　优点：便于管理。　　　　缺点：费用支出增大；长期需要人力资源对其进行管理与设施维护；防火墙上的IDS模块功能有限。