防火墙新技术之深度检测（2）

　　 
　　防火墙新技术之深度检测
    2、深度检测技术的四个基本特征

　　新的深度检测技术仍在不断出现，以实现不同的深度检测功能，但是我们需要了解深度检测技术所具有的基本特征。

　　高级的深度检测防火墙整合了包过滤防火墙和状态检测防火墙的所有功能，如图1所示。

　　高级的深度检测技术一般具有以下四个方面的特征：

　　◆ 应用层加密/解密；

　　◆ 正常化；

　　◆ 协议一致性；

　　◆ 双向负载检测；

　　这四种特征，为Web应用程序提供了重要防护，如果其中一种特征没有实现的话，深度检测防火墙在抵制应用层攻击时，效果会大打折扣。

　　2.1 应用层加密/解密

　　SSL广泛被应用于各种场合，以确保相关数据的安全性。这就对防火墙提出了新要求：必须能够处理数据加密/解密。如果不对SSL加密的数据进行解密，防火墙就不能对负载的信息进行分析，更不可能判断数据包中是否含有应用层攻击信息。如果没有解密功能，深度检测的所有优点都无法体现出来。

　　由于SSL加密的安全性很高，企业常使用SSL技术，以确保关键应用程序的通讯数据的安全性。如果深度检测不能对企业中关键应用程序提供深度检测安全性的话，整个深度检测的优势将失去意义。

　 2.2 正常化

　　 防范应用层攻击，很大程度上依赖于字符串匹配。不正常的匹配会造成 安全 漏洞 。比如，为了探知某种请求的安全策略是否被启用，防火墙通常根据请求的URL与安全策略来进行匹配。一旦与某种策略条件完全匹配，防火墙就采用对应的安全策略。指向同一个资源的URL或许有多种不同形态，如果该URL的编码方式不同的话，二进制方式的比较就不起作用了。攻击者会利用各种技术，对输入的URL进行伪装，企图避开字符串匹配，以达到越过安全设备的目的。

　　 这些攻击行为，在欺骗IDS和IPS方面，特别有效，因为攻击代码只要与安全设备的特征库有一点点不同的话，就能够达到目的。如图2所示。

　　 解决字符串匹配问题需要利用正常化技术，深度检测能够识别和阻止大量的攻击。对于防范隐藏在帧数据、Unicode、URL编码，双重URL编码和多形态的Shell等类型的攻击行为，必须要用到正常化技术，如图3所示。

　　 2.3 协议一致性

　　 应用层协议，如HTTP、SMTP、POP3、DNS、IMAP和FTP，在应用程序中经常用到。每个协议，都由RFC（Request For Co mm ents）相关规范创建。

　　 深度检测防火墙，必须确认应用层数据流是否与这些协议定义相一致，以防止隐藏其中的攻击。

　　 深度检测在应用层进行状态检测。协议一致性，通过对协议报文的不同字段进行解密而实现，当协议中的字段被识别出来后，防火墙采用RFC定义的应用规则，来检查其合法性。如图4所示。

　　 2.4 双向负载检测

　　 深度检测具有强大功能，能够允许数据包通过，拒绝数据包，检查或修改第4到7层数据包，包括包头或负载。HTTP深度检测能够查看到消息体中的URL，包头和参数等信息。深度检测防火墙能够自动进行动态配置，以便正确检测服务变量，如最大长度，隐藏字段和Radio按钮等等。如果请求的变量不匹配，不存在或者不正确的话，深度检测防火墙会将请求丢弃掉，将该事件写入日志，并给管理员发出警告信息。

　　 深度检测技术允许修改或转换URL，包头和参数，这一点与应用层上的NAT类似。

　　 3、总结

　　 在复杂的Web环境中，为了提供全面的应用程序防护，深度检测是必需的。为了能够有效的阻止Web攻击，防火墙必须能够应用基于源IP地址、目的IP地址、端口以及应用程序内容的 安全 策略。

　　 深度检测技术还在不断发展，但是深度检测技术一般具有应用层加密/解密、正常化、协议一致性、双向负载检测等四个方面的特征。

　　 企业部署Web应用程序时，应该要确保防火墙能够满足这些应用程序要求得的安全需求，并且防火墙能够满足深度检测技术中的四项基本特征。（完）

原文转自：http://www.ltesting.net