如何選擇服務(wù)器防火墻？

      服務(wù)器防火墻www.idctx.com涉及服務(wù)器安全性的問(wèn)題，其種類繁多，經(jīng)常讓人在選擇時(shí)難以抉擇。不同應(yīng)用環(huán)境和不同的使用需求，對(duì)防火墻性能的要求各不一樣。所以要真正找到一款合適的服務(wù)器防火墻，重點(diǎn)便是在選擇服務(wù)器防火墻的時(shí)候，認(rèn)真分析自身的需求，綜合考慮各種不同類型的服務(wù)器防火墻的優(yōu)缺點(diǎn)。以下將為您介紹服務(wù)器防火墻的大致分類：

一、按照組成結(jié)構(gòu)劃分，服務(wù)器防火墻的種類可以分為硬件防火墻和軟件防火墻。 

      硬件防火墻，通過(guò)將防火墻程序植入芯片中，由硬件執(zhí)行服務(wù)器的防護(hù)功能。內(nèi)嵌結(jié)構(gòu)，因此比其他種類的防火墻速度更快，處理能力更強(qiáng)，性能更高。采用專門(mén)的操作系統(tǒng)平臺(tái)，從而避免通用操作系統(tǒng)的安全漏洞導(dǎo)致內(nèi)網(wǎng)安全受到威脅。

      軟件防火墻，通過(guò)安裝在服務(wù)器平臺(tái)上的軟件產(chǎn)品，在操作系統(tǒng)底層工作來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)管理和防御功能的優(yōu)化。

      硬件防火墻性能上優(yōu)于軟件防火墻，因?yàn)樗凶约旱膶Ｓ锰幚砥骱蛢?nèi)存，可以獨(dú)立完成防范網(wǎng)絡(luò)攻擊的功能，確定是價(jià)格較高，更改設(shè)置較麻煩。而軟件防火墻是在作為網(wǎng)關(guān)的服務(wù)器上安裝的，利用服務(wù)器的CPU和內(nèi)存來(lái)實(shí)現(xiàn)防攻擊的能力，在攻擊嚴(yán)重的情況下可能大量占用服務(wù)器的資源，但是相對(duì)而言便宜得多，設(shè)置起來(lái)也很方便。

二、從技術(shù)上分為“包過(guò)濾型”、“應(yīng)用代理型”和“狀態(tài)監(jiān)視”三類。

1. 包過(guò)濾型

      包過(guò)濾是最早使用的一種防火墻技術(shù)，它的第一代模型是靜態(tài)包過(guò)濾，工作在OSI模型中的網(wǎng)絡(luò)層上，之后發(fā)展出來(lái)的動(dòng)態(tài)包過(guò)濾則是工作在OSI模型的傳輸層上。包過(guò)濾防火墻工作的地方就是各種基于TCP/IP協(xié)議的數(shù)據(jù)報(bào)文進(jìn)出的通道，它把這網(wǎng)絡(luò)層和傳輸層作為數(shù)據(jù)監(jiān)控的對(duì)象，對(duì)每個(gè)數(shù)據(jù)包的頭部、協(xié)議、地址、端口、類型等信息進(jìn)行分析，并與預(yù)先設(shè)定好的防火墻過(guò)濾規(guī)則進(jìn)行核對(duì)，一旦發(fā)現(xiàn)某個(gè)包的某個(gè)或多個(gè)部分與過(guò)濾規(guī)則匹配并且條件為“阻止”的時(shí)候，這個(gè)包就會(huì)被丟棄。

       基于包過(guò)濾技術(shù)的防火墻的優(yōu)點(diǎn)是對(duì)于小型的、不太復(fù)雜的站點(diǎn)，比較容易實(shí)現(xiàn)。但是其缺點(diǎn)是很顯著的，首先面對(duì)大型的，復(fù)雜站點(diǎn)包過(guò)濾的規(guī)則表很快會(huì)變得很大而且復(fù)雜，規(guī)則很難測(cè)試。隨著表的增大和復(fù)雜性的增加，規(guī)則結(jié)構(gòu)出現(xiàn)漏洞的可能性也會(huì)增加。其次是這種防火墻依賴于一個(gè)單一的部件來(lái)保護(hù)系統(tǒng)。如果這個(gè)部件出現(xiàn)了問(wèn)題，或者外部用戶被允許訪問(wèn)內(nèi)部主機(jī)，則它就可以訪問(wèn)內(nèi)部網(wǎng)上的任何主機(jī)。

2. 應(yīng)用代理型

      應(yīng)用代理防火墻，實(shí)際上就是一臺(tái)小型的帶有數(shù)據(jù)檢測(cè)過(guò)濾功能的透明代理服務(wù)器，但是它并不是單純的在一個(gè)代理設(shè)備中嵌入包過(guò)濾技術(shù)，而是一種被稱為應(yīng)用協(xié)議分析的新技術(shù)。應(yīng)用代理防火墻能夠?qū)Ω鲗拥臄?shù)據(jù)進(jìn)行主動(dòng)的，實(shí)時(shí)的監(jiān)測(cè)，能夠有效地判斷出各層中的非法侵入。同時(shí)，這種防火墻一般還帶有分布式探測(cè)器， 能夠檢測(cè)來(lái)自網(wǎng)絡(luò)外部的攻擊，同時(shí)對(duì)來(lái)自內(nèi)部的惡意破壞也有極強(qiáng)的防范作用。

       應(yīng)用代理型防火墻基于代理技術(shù)，通過(guò)防火墻的每個(gè)連接都必須建立在為之創(chuàng)建的代理程序進(jìn)程上，而代理進(jìn)程自身是要消耗一定時(shí)間，于是數(shù)據(jù)在通過(guò)代理防火墻時(shí)就不可避免的發(fā)生數(shù)據(jù)遲滯現(xiàn)象，代理防火墻是以犧牲速度為代價(jià)換取了比包過(guò)濾防火墻更高的安全性能。

3. 狀態(tài)監(jiān)視型

       這種防火墻技術(shù)通過(guò)一種被稱為“狀態(tài)監(jiān)視”的模塊，在不影響網(wǎng)絡(luò)安全正常工作的前提下采用抽取相關(guān)數(shù)據(jù)的方法對(duì)網(wǎng)絡(luò)通信的各個(gè)層次實(shí)行監(jiān)測(cè)，并根據(jù)各種過(guò)濾規(guī)則作出安全決策。狀態(tài)監(jiān)視可以對(duì)包內(nèi)容進(jìn)行分析，從而擺脫了傳統(tǒng)防火墻僅局限于幾個(gè)包頭部信息的檢測(cè)弱點(diǎn)，而且這種防火墻不必開(kāi)放過(guò)多端口，進(jìn)一步杜絕了可能因?yàn)殚_(kāi)放端口過(guò)多而帶來(lái)的安全隱患。

      由于狀態(tài)監(jiān)視技術(shù)相當(dāng)于結(jié)合了包過(guò)濾技術(shù)和應(yīng)用代理技術(shù)，因此是最先進(jìn)的，但是由于實(shí)現(xiàn)技術(shù)復(fù)雜，在實(shí)際應(yīng)用中還不能做到真正的完全有效的數(shù)據(jù)安全檢測(cè)，而且在一般的計(jì)算機(jī)硬件系統(tǒng)上很難設(shè)計(jì)出基于此技術(shù)的完善防御措施。

      在選擇軟件防火墻的時(shí)候，應(yīng)該注意軟件防火墻本身的安全性及高效性。同時(shí)，要考慮軟件防火墻的配置及管理的便利性。一個(gè)好的軟件防火墻產(chǎn)品必須符合用戶的實(shí)際需要，田鑫科技通過(guò)結(jié)合客戶服務(wù)器實(shí)際情況，為您推薦最合適的防火墻選擇方案。