计算机网络（54）系统安全：防火墙与入侵检测

前言

计算机网络系统安全是确保网络通信和数据不受未经授权访问、泄露、破坏或篡改的关键。防火墙和入侵检测系统（IDS）是维护网络系统安全的两大核心组件。

一、防火墙

定义与功能

防火墙是一种用来加强网络之间访问控制的特殊网络互联设备，它可以是硬件、软件或软硬件的组合。
防火墙的主要功能是根据各种网络安全策略的要求，对未经授权的访问和数据传递进行筛选和屏蔽，以保护内部网络数据的安全。

类型

网络层防火墙：保护整个网络不受非法入侵，典型技术是包过滤技术，即检查进入网络的分组，将不符合预先设定标准的分组丢掉，而让符合标准的分组通过。
应用级网关防火墙：控制对应用程序的访问，允许访问某些应用程序而阻止访问其他应用程序。采用的方法是在应用层网关上安装代理软件，每个代理模块分别针对不同的应用。
监测型防火墙：新一代产品，能够对各层的数据进行主动的、实时的监测，并在对这些数据加以分析的基础上，有效地判断出各层中的非法侵入。同时，这种检测型防火墙产品一般还带有分布式探测器，能够检测来自网络内外的攻击。

工作原理

防火墙对流经它的网络通信进行扫描，过滤掉一些攻击，以免其在目标计算机上被执行。
防火墙还可以关闭不使用的端口，禁止特定端口的流出通信，封锁木马，以及禁止来自特殊站点的访问。

局限性

防火墙不能阻止来自内部网络的攻击。
防火墙不能完全防止用户传送已感染病毒的软件或文件。
防火墙是一种被动式防护手段，只能对已知网络威胁起作用，不能防范新的网络安全问题。

二、入侵检测系统（IDS）

定义与功能

入侵检测系统是一种网络安全技术，用于实时检测和识别针对计算机系统或网络的恶意活动或未授权行为。
IDS的主要目标是及时发现潜在的威胁，如网络攻击、恶意软件、未经授权的访问等，并采取相应的措施来防止或减轻这些威胁的影响。

类型

基于主机的IDS：主要监控和保护单个系统或应用程序。
基于网络的IDS：负责监控整个网络环境的流量和活动。

工作原理

IDS通过收集和分析来自网络或系统内部的数据（如网络流量、系统日志、用户行为等）来检测可能的入侵行为。
IDS使用各种技术（如模式匹配、统计分析、行为分析等）来分析这些数据，以识别异常或可疑的活动。

常见IDS及其特点

Snort：非常受欢迎的开源IDS，采用灵活的基于规则的语言来描述通信，可以检测成千上万的蠕虫、漏洞利用企图、端口扫描和各种可疑行为。
OSSEC HIDS：基于主机的开源入侵检测系统，可以执行日志分析、完整性检查、Windows注册表监视、rootkit检测等功能。
Suricata：开源的威胁检测系统，能够实时检测网络威胁并提供警报，结合了IDS、IPS和NFV的功能。
Bro：强大的网络监控框架，也可用作IDS，能够分析网络流量并提取有用的信息，检测潜在的威胁。

局限性

IDS可能会产生误报和漏报。
IDS需要不断更新和维护其检测规则库，以应对新的网络威胁。

三、防火墙与IDS的协同工作

互补性

防火墙主要负责基础的访问控制和数据过滤，是网络安全的第一道屏障。
IDS则提供实时的威胁检测和报警功能，是网络安全的第二道屏障。

协同工作

当IDS检测到潜在的入侵行为时，它会触发警报，通知管理员或安全团队。这些警报帮助管理员迅速响应并采取相应的措施，如隔离受影响的系统、阻断恶意流量等。
IDS还可以与防火墙集成或配合使用，形成更全面的安全防护体系。例如，IDS可以检测到某个IP地址在进行恶意扫描或攻击行为后，通知防火墙将该IP地址加入黑名单，从而阻止其进一步的访问。