语天电子
先普及什么是防火墙：
防火墙分类：
第一种：软件防火墙
软件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机操作系统的支持，一般来说这台计算机就是整个网络的网关。软件防火墙就象其它的软件产品一样需要先在计算机上安装并做好配置才可以使用。
第二种：芯片级防火墙它们基于专门的硬件平台，没有操作系统。专有的ASIC芯片促使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。这类防火墙由于是专用OS，因此防火墙本身的漏洞比较少，不过价格相对高出很多，不接触这类产品不知道价格很是“可观”所以一般只有在“确实需要”的情况下才考虑。
防火墙工作原理：
防火墙有硬件和软件防火墙两类，硬件防火墙允许您通过端口的传输控制协议（TCP）或用户数据报协议（UDP）来定义阻塞规则，例如禁止不必要的端口(3389)和IP地址的访问。软件防火墙就像互连内部网络和外部网络的代理服务器，它可以让内部网络不直接与外部网络进行通信，但是很多企业和数据中心会将这两种类型的防火墙进行组合，主要是因为这样做可以更加有效地提升网络的安全性。
优缺点：
1、防火墙可以阻断攻击，但不能消灭攻击源。
互联网上病毒、木马、恶意试探...造成的攻击行为层出不群，花样繁多。设置得当的防火墙能够阻挡他们，但是无法清除攻击源。即使防火墙进行了良好的设置，使得攻击无法穿透防火墙，但各种攻击仍然会源源不断地向防火墙发出尝试。
2、防火墙不能抵抗最新的未设置策略的攻击漏洞
就如杀毒软件与病毒一样，总是先出现病毒，杀毒软件经过分析出特征码后加入到病毒库内才能查杀。防火墙的各种策略，也是在该攻击方式经过专家分析后给出其特征进而设置的。这也是说防火墙需要时时更新，以便有新病毒的出现及时阻止。
3、防火墙的并发连接数限制容易导致拥塞或者溢出
由于要判断、处理流经防火墙的每一个包，因此防火墙在某些流量大、并发请求多的情况下，很容易导致拥塞，成为整个网络的瓶颈影响性能。而当防火墙溢出的时候，整个防线就如同虚设，原本被禁止的连接也能从容通过了。
4、防火墙对服务器合法开放的端口的攻击大多无法阻止
某些情况下，攻击者利用服务器提供的服务进行缺陷攻击。例如利用开放了3389端口取得没打过sp补丁的win2k的超级权限、利用asp程序进行脚本攻击等。由于其行为在防火墙一级看来是“合理”和“合法”的，因此就被简单地放行了。
5、防火墙对待内部主动发起连接的攻击一般无法阻止
“外紧内松”是一般局域网络的特点。也许一道严密防守的防火墙内部的网络是一片混乱也有可能。通过社会工程学发送带木马的邮件、带木马的网址连接地址等方式，然后由中木马的机器主动对攻击者连接，将铁壁一样的防火墙瞬间破坏掉。
6、防火墙本身也会出现问题和受到攻击
防火墙也是一个os，也有着其硬件系统和软件，因此依然有着漏洞和bug。所以其本身也可能受到攻击和出现软/硬件方面的故障。
7、防火墙不处理病毒
不管是funlove病毒也好，还是CIH也好。在内部网络用户下载外网的带毒文件的时候，防火墙是不为所动的（这里的防火墙不是指单机/企业级的杀毒软件中的实时监控功能，虽然它们不少都叫“病毒防火墙”）。
防火墙是网络安全的重要一环，但不代表设置了防火墙就能一定保证网络的安全。安全是一种意识，即使技术很强大，硬件足够NB，但有人的地方就会出现漏洞，请谨记！
(本文仅适用入门了解，观点来自网络，仅供参考)
言吾时刻
部署防火墙需谨慎 更新很重要
防火墙作为企业安全的重要保障已经被各企业广泛认同，几乎每时每刻都会有企业将部署防火墙提上网络安全议程。那么，是不是部署了防火墙之后就可以毫无后顾之忧了呢？本篇文章将讲述部署防火墙过程中的六大误区。
误区之一：部署了防火墙并不等于绝对安全
防火墙对于企业网络的保护作用是每位企业网管所共知的，可是，企业网络部署了防火墙，并不意味着企业网络就不再有安全威胁。举个最简单的例子，防火墙的功能仅仅能够对来自外部网络的数据进行过滤，如果有人在企业网络内部搞破坏，防火墙是没有任何防范作用的。
另外，防火墙对来自外部数据的过滤检查是按照过滤规则进行的。如果一种网络攻击模式不在防火墙过滤规则之内，防火墙对于这种网络攻击也是没有任何防范能力的。为此，企业网管不要认为网络中部署了防火墙，企业网络就绝对安全，不再有任何安全隐患，部署了防火墙并不等于绝对安全。
误区之二：长期不更新防火墙安全策略
防火墙可以阻挡来自外界的网络攻击，以及过滤一些网络病毒，这都得益于防火墙设备的安全策略。如同杀毒软件一样，凭借防火墙自带默认的安全策略，防火墙设备能够阻挡已知的网络攻击模式，以及一部分网络病毒；对于新的网络攻击模式，以及新的网络病毒，防火墙是没有任何防范能力的。要想让防火墙能够具备非常强大的防范能力，企业网管必须定期的更新防火墙的安全策略。
在网络安全漏洞呈爆炸式增长的今天，如果长期不更新防火墙的安全策略，防火墙无疑会成为一个摆设。每当遇到新的网络安全漏洞，企业网管必须及时的更新防火墙的安全策略，只有这样，防火墙才能真正成为企业网络的安全保护神。
误区之三：安装防火墙设备的所有组件
众所周知，部署防火墙这款网络安全设备时，很多企业网管为了保障企业网络的安全，通常会将防火墙所有的功能组件都安装到防火墙设备中。从表面看，安装了所有组件的防火墙，安全更有保障。可是，安装了一些多余的防火墙组件之后，反而会降低防火墙的安全性能。
从技术角度来讲，防火墙的工作过程与普通PC相似。对于一台普通的PC来说，如果安装了过多的功能组件，其系统响应速度会变慢，尤其是PC开机时如果启动了太多的项目，PC可能会因为不堪重负而死机。防火墙亦是如此，防火墙中的组件都是随防火墙启动而启动的，如果网管部署防火墙时安装了所有组件，势必会耗费防火墙太多的资源，在网络数据交换繁忙时，防火墙设备可能会因为系统资源不足而当机。一旦防火墙当机，防火墙将失去了作用，企业网络也将失去防火墙的保护，其后果不难想象。为此，部署防火墙时，不要安装防火墙设备的所有组件。
误区之四：把防火墙当成防病毒的武器
从理论上说，防火墙当然可以防病毒，但防火墙只能防范通过网络传播的一部分病毒。道理很简单，防火墙是位于网络通路上的一道关卡，对于一切经过它的数据包，它都可以过滤出禁止传输的数据。可是，大多数病毒在传播过程中是非常隐蔽的，防火墙的过滤规则很难有效的防范病毒入侵，看一下病毒传播的过程就明白了。
病毒在隐蔽在网络应用层中的，在通过防火墙时，病毒被分为若干个数据包。不可否认，防火墙虽然可以过滤一些数据包，但分割为多个数据包的病毒，防火墙是很难识别的，除非防火墙能够将若干个数据包重新拼装起来进行检查，否则防火墙是不可能发现病毒的。防火墙对数据包的过滤，仅仅是决定转发还是放弃，为此，防火墙的过滤规则很难防范通过网络传播的病毒。
不过，对于一些特征非常明显的病毒，防火墙是可以过滤的。例如震荡波病毒，在传播过程中是占用TCP的某些端口，这时，只要企业网管将防火墙的端口封闭，震荡波病毒将无法进入企业网络中。在实际应用中，能够像震荡波这样有如此明显特征的病毒很少。总的来说，防火墙对于病毒有一定的防范能力，但防范能力是非常有限的，为此，不要把防火墙当成防病毒的有效武器。
误区之五：忽略防火墙日志文件的作用
与任何一款网络设备一样，防火墙工作过程中也会自动生成日志。在企业网络的日常维护中，很多企业网管认识防火墙日志的存在，更没有意识到防火墙工作日志的重要性。对于防火墙的日志，企业网管存在着诸多误区。
由于防火墙每天在过滤数百万甚至上千万的报文数据包，其生成的日志也是数量众多。面对密密麻麻的日志文件，企业网管该从何处入手呢？其实，对于正常过滤的数据包记录，企业网管是无需理会的。诸如丢弃、告警、日志等动作，企业网管需要慎重的进行审核，并且进行分析，以确定是否有非法的网络攻击存在，切莫忽视防火墙日志文件的作用。
误区之六：过滤规则中有太多拒绝规则
对于防火墙的过滤规则，每位企业网管都非常熟悉。防火墙工作过程中，对于允许的数据包直接放行，而对于拒绝的规则，将直接抛弃。毫无疑问，如果防火墙的过滤规则中有太多的拒绝规则，将会浪费防火墙的系统资源，因为防火墙需要不断的拒绝不符合规则的数据包，并且禁止其通过。为此，在配置防火墙的过滤规则时，要少用拒绝规则。
总结：防火墙有保护企业网络安全的功能，可是，防火墙并不是万能的，也会有漏洞。加之防火墙是一个机器，其保护功能需要人的设置才能提高。也就是说，要想让防火墙的保护功能更加完善，部署防火墙时必须躲开上述误区。
服务器硬件防火墙 选择有方法
硬件防火墙对于企业服务器安全来说可谓是必不可少的设备，配置硬件防火墙可以使企业所面临的安全威胁得到一定成都的遏制。那么本篇文章就来分析一下企业服务器硬件防火墙的主要内容。
服务器硬件防火墙的简单介绍
服务器的硬防是指硬件防火墙，硬件防火墙是指把防火墙程序做到芯片里面，由硬件执行这些功能，能减少CPU的负担，使路由更稳定。 硬件防火墙是保障内部网络安全的一道重要屏障。它的安全和稳定，直接关系到整个内部网络的安全。因此，日常例行的检查对于保证硬件防火墙的安全是非常重要的。
系统中存在的很多隐患和故障在暴发前都会出现这样或那样的苗头，例行检查的任务就是要发现这些安全隐患，并尽可能将问题定位，方便问题的解决。
硬件防火墙的例行检查主要内容
1.硬件防火墙的配置文件
不论我们在安装硬件防火墙的时候考虑得有多么的全面和严密，一旦硬件防火墙投入到实际使用环境中，情况却随时都在发生改变。硬件防火墙的规则总会不断地变化和调整着，配置参数也会时常有所改变。作为网络安全管理人员，最好能够编写一套修改防火墙配置和规则的安全策略，并严格实施。所涉及的硬件防火墙配置，最好能详细到类似哪些流量被允许，哪些服务要用到代理这样的细节。
在安全策略中，要写明修改硬件防火墙配置的步骤，如哪些授权需要修改、谁能进行这样的修改、什么时候才能进行修改、如何记录这些修改等。安全策略还应该写明责任的划分，如某人具体做修改，另一人负责记录，第三个人来检查和测试修改后的设置是否正确。详尽的安全策略应该保证硬件防火墙配置的修改工作程序化，并能尽量避免因修改配置所造成的错误和安全漏洞。
2.硬件防火墙的磁盘使用情况
如果在硬件防火墙上保留日志记录，那么检查硬件防火墙的磁盘使用情况是一件很重要的事情。如果不保留日志记录，那么检查硬件防火墙的磁盘使用情况就变得更加重要了。保留日志记录的情况下，磁盘占用量的异常增长很可能表明日志清除过程存在问题，这种情况相对来说还好处理一些。在不保留日志的情况下，如果磁盘占用量异常增长，则说明硬件防火墙有可能是被人安装了Rootkit工具，已经被人攻破。
因此，网络安全管理人员首先需要了解在正常情况下，防火墙的磁盘占用情况，并以此为依据，设定一个检查基线。硬件防火墙的磁盘占用量一旦超过这个基线，就意味着系统遇到了安全或其他方面的问题，需要进一步的检查。
3.硬件防火墙的CPU负载
和磁盘使用情况类似，CPU负载也是判断硬件防火墙系统运行是否正常的一个重要指标。作为安全管理人员，必须了解硬件防火墙系统CPU负载的正常值是多少，过低的负载值不一定表示一切正常，但出现过高的负载值则说明防火墙系统肯定出现问题了。过高的CPU负载很可能是硬件防火墙遭到DoS攻击或外部网络连接断开等问题造成的。
4.硬件防火墙系统的精灵程序
每台防火墙在正常运行的情况下，都有一组精灵程序（Daemon），比如名字服务程序、系统日志程序、网络分发程序或认证程序等。在例行检查中必须检查这些程序是不是都在运行，如果发现某些精灵程序没有运行，则需要进一步检查是什么原因导致这些精灵程序不运行，还有哪些精灵程序还在运行中。
5.系统文件
关键的系统文件的改变不外乎三种情况：管理人员有目的、有计划地进行的修改，比如计划中的系统升级所造成的修改；管理人员偶尔对系统文件进行的修改；攻击者对文件的修改。
经常性地检查系统文件，并查对系统文件修改记录，可及时发现防火墙所遭到的攻击。此外，还应该强调一下，最好在硬件防火墙配置策略的修改中，包含对系统文件修改的记录。
6.异常日志
硬件防火墙日志记录了所有允许或拒绝的通信的信息，是主要的硬件防火墙运行状况的信息来源。由于该日志的数据量庞大，所以，检查异常日志通常应该是一个自动进行的过程。当然，什么样的事件是异常事件，得由管理员来确定，只有管理员定义了异常事件并进行记录，硬件防火墙才会保留相应的日志备查。
上述6个方面的例行检查也许并不能立刻检查到硬件防火墙可能遇到的所有问题和隐患，但持之以恒地检查对硬件防火墙稳定可靠地运行是非常重要的。如果有必要，管理员还可以用数据包扫描程序来确认硬件防火墙配置的正确与否，甚至可以更进一步地采用漏洞扫描程序来进行模拟攻击，以考核硬件防火墙的能力。
服务器租用与高硬防服务器
服务器租用：是指用户无须自己购买服务器，只需根据自己业务的需要，提出对硬件配置的要求。主机服务器由IDC服务商配置。用户采取租用的方式，安装相应的系统软件及应用软件以实现用户独享专用高性能服务器，实现WEB+FTP+MAIL+VDNS全部网络服务功能，用户的初期投资减轻了，可以更专着于自己业务的研发。
高硬防服务器：是指一些专门提供高硬防的机房，10G以上的硬防都为高硬防，因为1G硬防的投资10万元左右，10G的话就是100万。日前市场上最多的都是单线机房有硬防，双线机房大多都是没有硬防的。
服务器的硬防通常跟服务器租赁联系在一起，目前IDC服务器租赁商纷纷把赠送高硬防的服务作为一个卖点，希望消费者更加信赖自己的服务器产品，相信在未来，服务器硬防会做的更强更好，可以有效的保护服务器系统的安全，为网络环境创造一个更加安静健康的局面。
Microphone吴
安装防火墙的目的主要是为了防止来自外部的攻击，因为随着电脑的普及，恶意的攻击程序也逐渐增多，俗话说得好，有需求就有市场，最早的操作系统其实是没有防火墙的，只是前些年，病毒泛滥，后来操作系统开发者，才考虑加入防火墙机制的。
huzibbs
在这个数据化的时代，数据的重要性不言而喻，毫无疑问数据就是企业的命。数据的安全性直接影响着一个企业业务的成长发展，所以每个做着和数据相关行业的人都对“计算机安全”不陌生。
说到计算机安全，就会无法避免讨论到隔离。隔离计算机最简单的方式就是安装防火墙，这样能有效保护服务器以防受到直接攻击。像每个Windows版本都自带基础且能够提供用户使用的防火墙产品，这种防火墙能够锁定所有不需要访问的目标内容。但是Windows自带的防火墙并没有对通讯本身提供保护。所以为了实现更高安全级别的保护，我们需要安装其他防火墙。但在安装其它防火墙之前，我们必须先要关闭掉系统自带的防火墙，以避免多个防火墙系统发生相互冲突。
