第5章 防火墙与入侵检测技术
电脑网络中的防火墙和入侵检测系统技术
电脑网络中的防火墙和入侵检测系统技术在当今数字化时代，电脑网络的安全问题越发重要。
随着互联网的广泛应用，网络安全威胁也日益增长。
为了保护网络免受恶意攻击，防火墙和入侵检测系统技术成为了必不可少的防护手段。
本文将介绍电脑网络中的防火墙和入侵检测系统技术及其应用。
一、防火墙技术防火墙是用于保护计算机网络的一道屏障，通过监控、过滤和控制网络流量，阻止非法或恶意的网络行为。
防火墙可以根据特定规则对进出网络的数据包进行检测和过滤，保护网络免受潜在的网络攻击。
1. 包过滤型防火墙包过滤型防火墙是最早也是最基本的防火墙技术。
它根据设定的规则对数据包的源地址、目的地址、传输协议等进行检查和过滤。
只有符合规则的数据包才能通过防火墙，进入或离开网络。
这种防火墙的优点在于简单、高效，但缺点是无法区分数据包的内容。
2. 应用层代理防火墙应用层代理防火墙是一种更高级的防火墙技术。
它在网络协议的应用层上运行，能够深入检查数据包的内容，包括应用数据、协议数据等。
应用层代理防火墙能够更好地保护网络，但由于需要深度检查数据包，对网络性能有一定的影响。
3. 状态检测型防火墙状态检测型防火墙结合了包过滤和应用层代理的特点，能够检测和监控网络连接的状态。
它可以识别并过滤一些恶意连接，提高网络的安全性。
与包过滤型防火墙相比，状态检测型防火墙能够分辨合法的数据包，并允许网络连接的动态建立。
二、入侵检测系统技术除了防火墙外，入侵检测系统（Intrusion Detection System，简称IDS）也是保护电脑网络安全的重要技术。
入侵检测系统通过监控网络流量、分析网络行为、检测潜在的入侵行为，帮助系统管理员及时发现和应对网络攻击。
1. 网络入侵检测系统网络入侵检测系统主要通过检测网络流量中的异常行为来判断是否有潜在的入侵。
它会分析网络流量的特征和模式，根据事先设定的入侵规则进行比对和判定。
一旦发现可疑行为，网络入侵检测系统会发送警报并采取相应的措施。
知识点归纳 信息安全中的网络防火墙与入侵检测
知识点归纳信息安全中的网络防火墙与入侵检测网络防火墙与入侵检测在信息安全领域中起着至关重要的作用。
网络的普及和快速发展使得信息安全面临更多的挑战，因此，我们需要有效的工具来保护网络安全。
本文将对网络防火墙和入侵检测这两个知识点进行归纳和讨论。
一、网络防火墙网络防火墙是一种网络安全设备，用于保护网络免受未经授权的访问、恶意攻击和数据泄露等威胁。
它通过设置规则和策略，对网络流量进行过滤和监控。
1. 防火墙的基本原理网络防火墙的基本原理是根据设定的规则和策略，对进出网络的数据进行过滤和检查。
它可以根据不同的端口、协议和源/目标地址等信息进行流量控制，阻止恶意攻击和未经授权的访问。
2. 防火墙的工作模式防火墙可以工作在不同的模式下，包括包过滤、状态检测和应用代理等。
其中，包过滤是最基本和常见的模式，它根据预先设定的规则对数据包进行过滤和处理。
而状态检测模式则可以维护连接状态，并根据状态进行动态的流量控制。
3. 防火墙的功能网络防火墙具有多种功能，包括访问控制、流量控制、漏洞防护和日志记录等。
通过访问控制，防火墙可以限制网络资源的访问权限，确保只有授权的用户或设备可以访问。
流量控制功能可以对网络流量进行管理和调整，以保证网络的正常运行和服务质量。
漏洞防护则用于检测和阻止网络中可能存在的软件漏洞和安全风险。
而日志记录功能则可以记录和分析网络中的安全事件，以便日后进行溯源和审计。
二、入侵检测系统入侵检测系统（Intrusion Detection System，简称IDS）是一种用于监控和检测网络中是否存在恶意攻击和入侵行为的技术。
它通过分析网络流量和系统日志来发现潜在的威胁。
1. 入侵检测系统的分类入侵检测系统可以分为主机型IDS和网络型IDS。
主机型IDS主要针对单个主机或服务器进行监控和分析，通过监视主机日志和系统活动来发现潜在的入侵行为。
而网络型IDS则监控整个网络中的流量和通信行为，通过分析网络包和协议来检测恶意攻击和非法访问。
计算机网络防火墙与入侵检测技术
计算机网络防火墙与入侵检测技术近年来，随着互联网的快速发展，计算机网络安全问题也日益突出。
面对日益猖獗的网络病毒和黑客攻击，保护网络安全成为了一项重要任务。
在这个背景下，计算机网络防火墙和入侵检测技术应运而生，成为保障网络安全的重要工具。
一、计算机网络防火墙的工作原理和作用计算机网络防火墙是一种位于网络边界的设备，它的主要作用是监控和过滤网络流量，防止不安全的网络请求进入内部网络。
防火墙工作的主要原理是基于规则和策略进行流量的检测和过滤，它可以根据设置的规则，对进出网络的数据进行识别和限制。
防火墙可以阻止不具备访问权限的外部网络请求，并过滤掉具有潜在危险的恶意流量，保护内部网络的安全。
它可以监控并记录网络访问行为，及时发现和阻止潜在的攻击行为，有效降低网络安全风险。
二、防火墙技术的发展趋势随着网络攻击手段的不断升级和演化，防火墙技术也在不断发展。
传统的基于规则的防火墙已经不能满足对网络安全的需求，新的技术应运而生。
1. 应用层防火墙：传统的防火墙只能检测和过滤网络流量的源IP和目的IP，无法对应用层的请求进行深入识别和过滤。
而应用层防火墙则可以根据具体的协议、应用或数据内容来进行识别和过滤，提高了防火墙的精确度和准确性。
2. 智能防火墙：智能防火墙基于机器学习和人工智能技术，可以学习和分析网络流量的模式和特征，自动调整防火墙策略，提高防护的智能化和自适应性。
3. 云防火墙：云防火墙是一种将防火墙功能部署在云端的技术，可以对云上的网络流量进行实时监控和过滤，为企业提供更加灵活和可扩展的安全解决方案。
三、入侵检测技术的原理和分类除了防火墙，入侵检测技术也是保护网络安全的重要手段。
入侵检测技术可以通过对网络流量和系统状态的监控，及时发现和识别潜在的入侵行为，并作出相应的响应和防护。
入侵检测技术分为网络入侵检测系统（NIDS）和主机入侵检测系统（HIDS）两大类。
1. 网络入侵检测系统：网络入侵检测系统通过监控网络流量和数据包来识别网络入侵行为。
网络安全第5章 防火墙与入侵检测技术
1．数据包过滤
包过滤防火墙就是这样一个具备包过滤功能的 路由器，这种防火墙应该是足够安全的，但前 提是配置合理。 然而，一个包过滤规则是否完全严密及必要是 很难判定的，因而在安全要求较高的场合，通 常还配合使用其他的技术来加强安全性。
1．数据包过滤
数据包过滤防火墙逻辑简单，价格便宜，易于安装和 使用，网络性能和透明性好，它通常安装在路由器上。 路由器是内部网络与Internet连接必不可少的设备， 因此在原有网络上增加这样的防火墙几乎不需要任何 额外的费用。 数据包过滤是一种通用、廉价、有效的安全手段。之 所以通用，因为它不针对各个具体的网络服务采取特 殊的处理方式；之所以廉价，因为大多数路由器都提 供分组过滤功能；之所以有效，因为它能很大程度地 满足企业的安全要求。
3.代理服务器
代理服务器的缺点
应用层代理的最大缺点是要求用户改变自己的行为， 或者在访问代理服务的每个系统上安装特殊的软件。 比如，透过应用层代理Telnet访问，要求用户通过 两步而不是一步来建立连接。不过，特殊的端系统 软件可以让用户在Telnet命令中指定目标主机而不 是应用层代理来使应用层代理透明。 每个应用程序都必须有一个代理服务程序来进行安 全控制，每一种应用升级时，一般代理服务程序也 要升级。
1．防火墙的定义
防火墙是指隔离内部网络与外部网络之间的一道防御 系统。 防火墙是用来加强网络之间访问控制、防止外部网络 用户以非法手段通过外部网络进入内部网络，访问内 部网络资源，保护内部网络操作环境的特殊网络互连 设备，通常由软件和硬件设备组合而成，处于内部网 络与外部网络之间。 防火墙能有效地控制内部网络与外部网络之间的访问 及数据传送，从而达到保护内部网络的信息不受外部 非授权用户的访问，并过滤不良信息的目的。
网络防火墙与网络入侵检测技术的对比与选择
网络防火墙与网络入侵检测技术的对比与选择随着信息技术的迅速发展，网络安全问题也越来越受到关注。
网络防火墙和网络入侵检测技术作为保护网络安全的两种重要手段，被广泛应用于各个领域。
然而，网络防火墙和网络入侵检测技术在原理、功能和应用场景等方面存在差异。
本文将对网络防火墙和网络入侵检测技术进行对比，并分析在不同场景下的选择。
网络防火墙是一种通过控制网络通信来保护网络安全的技术手段。
它可以设置访问控制规则，阻止非法的访问和流量，从而保护网络中的数据和系统。
网络防火墙通过检测和过滤来自外部网络的数据包，可以防止黑客入侵，阻挡网络攻击，保护网络的隐私和安全。
而网络入侵检测技术则是一种主动监测和检测网络中的异常活动的技术手段。
它能够检测和识别潜在的网络入侵行为，及时发现和阻止入侵攻击，保护网络系统的完整性和可用性。
网络入侵检测技术主要分为入侵检测系统（IDS）和入侵防御系统（IPS），前者主要负责监测和识别入侵行为，后者则根据检测结果主动采取相应的防御措施。
在选择网络防火墙和网络入侵检测技术时，首先需要根据实际需求来确定。
如果对网络安全的要求比较高，需要有一个强大的监测和防御系统，那么选择网络入侵检测技术可能更为合适。
而如果只是普通局域网或个人网络，网络防火墙能够提供基本的安全保护，可能是一个更经济的选择。
其次要考虑网络规模和复杂度。
如果网络规模较大，包含多个子网和部门，那么网络入侵检测技术可以更全面地监测和保护各个节点。
而如果网络规模相对较小，网络防火墙可以提供更简洁的安全保护，减少复杂性和维护成本。
另外，网络防火墙和网络入侵检测技术在实施和管理上也存在差异。
网络防火墙相对简单，配置和管理相对容易。
而网络入侵检测技术涉及更多的参数和操作，对操作人员的技术要求较高。
因此，在选择时需要考虑组织内部的技术实力和资源情况。
综上所述，网络防火墙和网络入侵检测技术在功能和应用场景上存在差异。
选择合适的技术取决于实际需求、网络规模、复杂度以及组织的技术实力。
第5章防火墙与入侵检测技术精品PPT课件
统。 在互联网上，防火墙是一种非常有效的网络安全系统，
通过它可以隔离风险区域（Internet或有一定风险的 网络）与安全区域（局域网）的连接，同时不会妨碍 安全区域对风险区域的访问，网络防火墙结构如图所 示
2．使用防火墙的目的： （1）限制访问者进入被严格控制的点。 （2）防止侵入者接近内部设施。 （3）限制访问者离开被严格控制的点，有效的保护内部资源。 （4）检查、过滤和屏蔽有害的服务。 3．防火墙的特征 典型的防火墙具有以下三个方面的基本特性： （1）所有进出网络的数据流都必须经过防火墙 （2）只有符合安全策略的数据流才能通过防火墙 （3）防火墙自身应具有非常强的抗攻击的能力
屏蔽子网防火墙体系结构：堡垒机放在一个子网内， 形成非军事区，两个分组过滤路由器放在这一子网的两 端，使这一子网与Internet及内部网络分离。在屏蔽子 网防火墙体系结构中，堡垒主机和分组过滤路由器共同 构成了整个防火墙的安全基础。
5.2.2 防火墙的主要技术
1．包过滤技术
（1）包过滤技术的原理
数据包过滤防火墙逻辑简单，价格便宜，易于安装和使用， 网络性能和透明性好，它通常安装在路由器上。路由器是内 部网络与Internet连接必不可少的设备，因此在原有网络上 增加这样的防火墙几乎不需要任何额外的费用。
第5讲 防火墙与入侵检测.ppt
包过滤防火墙缺点
包过滤防火墙允许被保护网络的多台主机与外部网络比如 Internet网络的多台主机进行直接通信，其危险性分布在被保 护网络的全部主机以及允许访问的各种服务类型上。随着服务 的增多，网络的危险性将急剧增加。
第一条规则：主机10.1.1.1任何端口访问任何主机的任何 端口，基于TCP协议的数据包都允许通过。
第二条规则：任何主机的20端口访问主机10.1.1.1的任何 端口，基于TCP协议的数据包允许通过。
第三条规则：任何主机的20端口访问主机10.1.1.1小于 1024的端口，如果基于TCP协议的数据包都禁止通过。
拆开数据包 防火墙
数据包服务器ຫໍສະໝຸດ 常见防火墙系统模型包过滤防火墙模型 单宿主堡垒主机（屏蔽主机防火墙）模型 双宿主堡垒主机模型（屏蔽防火墙系统模型） 屏蔽子网模型
包过滤防火墙模型
包过滤防火墙模型是网络的第一道防线，功能是实施包 过滤。
创建相应的过滤策略时对工作人员的TCP/IP的知识有 相当的要求，如果筛选路由器被黑客攻破那么内部网络 将变的十分的危险。该防火墙不能够隐藏你的内部网络 的信息、不具备监视和日志记录功能。
Internet已经成为信息化社会发展的重要保证。已深入到国家 的政治、军事、经济、文教等诸多领域。许多重要的政府宏观 调控决策、商业经济信息、银行资金转帐、股票证券、能源资 源数据、科研数据等重要信息都通过网络存贮、传输和处理。
因此，难免会遭遇各种主动或被动的攻击。例如信息泄漏、信 息窃取、数据篡改、数据删除和计算机病毒等。因此，网络安 全已经成为迫在眉睫的重要问题，没有网络安全就没有社会信 息化
防火墙 防火墙与入侵检测技术课程概述
常用英文单词 23%
系统弱密码入侵(续)
口令安全
可逆与不可逆 通常口令的加密方法是不可逆的 猜测与穷举 口令破解的时间 Unix口令 6位小写字母穷举:36小时 8位小写字母穷举:3年 NT口令 8位小写字母及数字穷举，时间通常不超过30小时
3. 防火墙控制
防火墙是近年发展起来的一种保护计算机网络安全的技术
Rabin、Ong-Fiat-Shamir、零知识证明的算法 、椭圆曲线、
EIGamal算法等。最有影响的公钥密码算法是RSA，它能抵抗
目前已知的所有密码攻击。
非对称加密
加密技术出现以来最重大的突破 原理
有两把成对的密钥，称为公钥和 私钥，其中公钥可以对外公布 用一把密钥加密的数据只有用配 对的另一把密钥才能正确解密 密钥易于管理，公钥不怕被窃取 但速度一般比对称加密算法慢很 多
性措施，它是一个用以阻止网络中的黑客访问某个机构网络的
屏障，也可称之为控制进/出两个方向通信的门槛。在网络边界
上通过建立起来的相应网络通信监控系统来隔离内部和外部网
络， 以阻档外部网络的侵入。
4. 信息加密策略
网络加密常用的方法有链路加密、端点加密和结点加密三种。
链路加密的目的是保护网络结点之间的链路信息安全； 端-端加密的目的是对源端用户到目的端用户的数据提供保护；
36.50% 31.50% 26.00%
防火墙 防病毒 入侵检测 露洞扫描
18.50%
25.00% 20.00% 15.00% 10.00% 5.00% 0.00% 用户需求
11.00% 9.00% 8.00% 5.00% 3.00%
加密与数字签名 VPN 授权与认证
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
6
5.1 防火墙技术
防火墙的种类
（2）应用网关防火墙 应用级网关是通常我们提到的代理服务器。代理服务器像一堵 墙一样挡在内部用户和外界之间，从外部只能看到该代理服务器而 无法获知任何的内部资源，外部的恶意侵害也就很难伤害到企业内 部网络系统。 优点：应用级网关比单包过滤更为可靠，而且会详细地记录所有 的访问状态信息。 缺点：对系统的整体性能有较大的影响，使访问速度变慢，因 为它不允许用户直接访问网络，而且应用级网关需要对客户机可能 产生的每一个特定的互联网服务安装相应的代理服务软件，从而大 大增加了系统的复杂度。用户不能使用未被服务器支持的服务。
19
5.1 防火墙技术
分布式防火墙的典型应用
（1）锁定关键服务器 对企业中的关键服务器，可以安装分布式防火墙作为第二道防 线，使用分布式防火墙的集中管理模块，对这些服务器制定精细的 访问控制规则，增强这些服务器的安全性。 （2）商务伙伴之间共享服务器 随着电子商务的发展，商务伙伴之间需要共享信息，外联网是 一般的解决方案，但实施代价较高，可是用上面介绍的EFW在一台 服务器上安装两个NIC，一个与内部网相连，另一个与伙伴相连，这 样可以方便的实现服务器共享。
25
5.2 入侵检测技术
特征检测
（2）状态转换分析 Petri网用于入侵行为分析是一种类似于状态转换图分析的方 法。利用Petri网的有利之处在于它能一般化、图形化地表达状态。 下面是这种方法的一个简单示例，表示在一分钟内如果登录失 败的次数超过4次，系统便发出警报。其中竖线代表状态转换，如果 在状态S1发生登录失败，则产生一个标志变量，并存储事件发生时 间T1，同时转入状态S2。如果在状态S4时又有登录失败，而且这时 的时间T2-T1<60秒，则系统转入状态S5，即为入侵状态，系统发出 警报并作相应措施。
22
5.2 入侵检测技术
入侵检测的分类
1、特征检测 特征检测又称基于知识的入侵检测，这类检测方法的原则是： 任何与已知入侵模型符合的行为都是入侵行为。它要求首先对已知 的各种入侵行为建立签名，然后将当前的用户行为和系统状态与数 据库中的签名进行匹配，来识别系统中的入侵行为。 这种入侵检测技术主要有以下局限性： （1）检测系统知识库中的入侵攻击知识与系统运行环境有关。 （2）对于系统内部攻击者的越权行为，由于他们没有利用系统 的缺陷，因而很难检测出来。
21
5.2 入侵检测技术
入侵和入侵检测
入侵检测（Intrusion Detection）是一种试图通过观察行为、安 全日志或审计资料来检测发现针对计算机或网络入侵的技术，该检 测通过手工或专家系统软件对日志或其它网络信息进行分析完成。 入侵检测作为一种积极主动地安全防护技术，提供了对内部攻 击、外部攻击和误操作的实时防护，在网络系统受到危害之前拦截 和对入侵做出响应。强大的入侵检测软件的出现极大的方便了网络 的管理，其实时报警功能为网络安全增加了又一道保障。 未来的入侵检测系统将会结合其它网络管理软件，形成入侵检 测、网络管理、网络监控三位一体的结构。
成内部形式存于策略数据库中，系统管理软件将策略分发到被保护 主机，而主机根据这些安全策略和加密的证书来决定是接受还是丢 弃包，从而对主机实施保护。
14
5.1 防火墙技术
分布式防火墙的本质特征
（1）安全策略必须由管理员统一制定。是分布式防
火墙区别于个人防火墙的根本所在 （2）策略必须被推到网络的边缘即主机上实施。 （3）日志统一收集管理。 本质特征可概括为“策略集中制定分散实施，日志分散产生集 中保存”，从管理员的角度来看，他管理分布式防火墙就像管理边 界
8
5.1 防火墙技术
防火墙的体系结构
（1）屏蔽路由器
屏蔽路由器是一个具有数据包过滤功能的路由器，
既可以是一个硬件设备，也可以是一台主机。路由器上
安装有IP层的包过滤软件，可以进行简单的数据包过
滤。其使用范围很广，但其缺点也非常明显，一旦屏蔽 路由器的包过滤功能失效，则受保护网络和外部网络就 可以进行任何数据通信了。
11
5.1 防火墙技术
防火墙的体系结构
（4）被屏蔽子网 由两台屏蔽路由器将受保护网络和外部网络隔离 开，中间形成一个隔离带（DMZ），就构成了被屏蔽子 网结构 。
12
5.1 防火墙技术
防火墙的功能
（1）包过滤
（2）审计和报警 （3）代理 : 分为透明代理和传统代理 （4）NAT：分为源地址转换和目的地址转换 （5）VPN：虚拟专用网
23
5.2 入侵检测技术
特征检测
（1）专家系统 专家系统是基于知识的检测中运用最多的一种方法。将有关入 侵的知识转化成if-then结构的规则，即将构成入侵所要求的条件转化 为if部分，将发现入侵后采取的相应措施转化成then部分，当其中某 个或部分条件满足时，系统就判断为入侵行为发生。其中的if-then结 构构成了描述具体攻击的规则库，状态行为以及其语义环境可以根 据审计事件得到，推理机根据规则和行为完成判断工作。
（6）流量统计和控制
13
5.1 防火墙技术
分布式防火墙（DWF）的概念
传统防火墙缺陷的根源在于它的拓扑结构，分布式防火墙打破
了这种拓扑限制，将内部网的概念由物理意义变成逻辑意义。 分布式防火墙是由一个中心来制定策略，并将策略分发到主机
上执行，它使用一种策略语言（如Keynote）来制定策略，并被编译
《计算机网络安全》 课程讲义
清华大学出版社
1
第五章 防火墙与入侵检测技术
2
本章内容
防火墙的基本概念和种类 防火墙的体系结构及功能 入侵检测技术的种类及各类技术的相关性能
3
学习目标
掌握防火墙的基本概念和种类 掌握防火墙的体系结构及功能 掌握入侵检测技术的种类 了解各类入侵检测技术的性能
9
5.1 防火墙技术
防火墙的体系结构
（2）双宿主机网关 如果一台主机装有两块网卡，一块连接受保护网络，一块连接 外部网络，那么这台堡垒主机就是双宿主机网关。双重宿主主机至 少有两个网络接口。这样的主机可以充当与这些接口相连的网络之 间的路由器；它能够从一个网络到另外一个网络发送IP数据包，然 而双重宿主主机的防火墙体系结构禁止这种发送。 双宿主机网关优于屏蔽路由器的地方是：堡垒主机的系统软件 可用于维护系统日志、硬件拷贝日志或远程日志。其致命弱点是： 一旦入侵者侵入堡垒主机并使其只具有路由功能，则任何网上用户 均可以随便访问内网。
4
5.1 防火墙技术
防火墙的概念
防火墙是指隔离在本地网络与外界网络之间的一道防御系统， 是这一类防范措施的总称。在互联网上防火墙是一种非常有效的网 络安全模型，通过它可以隔离风险区域与安全区域（局域网）的连 接，同时不会妨碍人们对风险区域的访问。
防火墙实质上是一种隔离控制技术，其核心思想是在不安全的 网络环境下构造一种相对安全的内部网络环境。从逻辑上讲它既是
10
5.1 防火墙技术
防火墙的体系结构
（3）被屏蔽主机网关 堡垒主机在受保护网络中，可以与受保护网络的主 机进行通信，也可以和外部网的主机建立连接。屏蔽路 由器的作用是允许堡垒主机和外部网络之间的通信，同 时所有受保护网络的其它主机和外部网络直接通信。垒 主机成为从外部网络唯一可到达的主机，此时它就起到 了网关的作用。
17
5.1 防火墙技术
分布式防火墙的实现方法
3、基于网卡（NIC）的实现
该方案是美国国防部资助的研究项目，它是基于硬件—种特殊
的网卡（3Com3CR990系列网卡）实现的，称为EFW（Embedded
Firewall）。这种网卡有内臵的处理器和存储器，它能独立于主机操
作系统而运行。 （1） EFW组件
分析器又是限制器，它要求所有进出网络的数据流都必须遵循安全
策略，同时将内外网络在逻辑上分离。
5
5.1 防火墙技术
防火墙的种类
（1）包过滤防火墙 包过滤型防火墙会检查所有通过的信息包中的IP地址，并按照 系统管理员所给定的过滤规则进行过滤，一旦发现来自危险站点的 数据包，防火墙便会将这些数据拒之门外。 优点：对用户来说是透明的，处理速度快而且易于维护，实现 成本较低，能够以较小的代价在一定程度上保证系统的安全。 缺点：完全基于网络层的安全技术，只能根据数据包的来源、目 标和端口等网络信息进行判断，无法识别基于应用层的恶意入侵， 如恶意的Java小程序以及电子邮件中附带的病毒等。有经验的黑客 也很容易伪造IP地址，骗过包过滤型防火墙。
7
5.1 防火墙技术
防火墙的种类
（3）状态监测防火墙 监测型防火墙能够对各层的数据进行主动的、实时的监测，在 对这些数据加以分析的基础上有效地判断出各层中的非法侵人。 优点：当用户访问请求到达网关的操作系统前，状态监视器会 抽取有关数据进行分析，结合网络配臵和安全规定做出接纳、拒 绝、身份认证、报警或给该通信加密等处理动作。一旦某个访问违 反安全规定，就会拒绝该访问，并报告有关状态作日志记录。另一 个优点是它会检测无连接状态的远程过程调用（RPC）和用户数据 报（UDP）之类的端口信息。 缺点：它会降低网络的速度，而且配臵也比较复杂。
EFW的主要组件分为主机端组件和服务器端组件。
18
5.1 防火墙技术
分布式防火墙的实现方法
4、基于Windows平台实现的原型系统 该防火墙产品包括中心管理部件、桌面机防火墙部件和服务 器，边界防火墙部件等。 包过滤引擎采用嵌人内核的方式运行，处 于链路层和网络层之间，能够提供访问控制、状态检测和人侵检测 的功能。用户配臵接口在安装时是可选的，如果选择安装，则用户 或管理员可在本地配臵安全策略。 该产品实现了中心管理功能，管理员通过中心管理模块可对各 台主机实施全方位的控制。也具有较完善的审计功能，审计日志可 通过建立的连接、阻塞的数据包、人侵尝试和应用类型等来建立。 中心管理模块可对日志和报警信号进行汇集。