資 訊 是 你 業 務 的 珍 貴 資 產 。 小 小 的 資 訊 損 毀 或 破 壞 也 許 會 在 金 錢 或 商 譽 方 面 為 你 帶 來 巨 大 的 損 失 。 例 如 : 遺 失 客 戶 個 人 資 料 , 以 致 該 資 料 被 未 經 授 權 人 士 使 用 , 可 能 會 因 而 招 致 業 務 損 失 及 法 律 訴 訟 。

在 現 今 競 爭 激 烈 的 商 業 環 境 中 , 業 務 的 成 功 非 常 有 賴 顧 客 的 信 任 。 一 家 公 司 的 可 靠 性 有 助 提 高 業 務 競 爭 力 , 從 而 在 市 場 中 茁 壯 成 長 。 企 業 怎 樣 才 能 取 得 顧 客 的 信 任 呢 ? 獲 取 顧 客 信 任 和 保 護 資 訊 同 屬 資 訊 保 安 的 範 疇 。

在 這 特 區 中 , 我 們 為 中 小 企 業 經 營 人 士 重 點 介 紹 一 些 需 要 關 注 的 重 要 範 疇 , 並 提 供 一 些 工 業 和 技 術 上 的 指 引 , 幫 助 他 們 建 立 一 家 值 得 信 賴 和 資 訊 保 安 妥 善 的 公 司 。

隨 著 黑 客 入 侵、電 腦 病 毒 衍 生 及 僱 員 在 辦 公 時 間 過 度 瀏 覽 互 聯 網 等 問 題 日 趨 普 及 , 網 絡 保 安 及 管 理 已 成 為 保 障 業 務 運 作 的 重 要 項 目 之 一 ; Vigor Technology 致 力 提 供 完 備、可 靠 且 具 成 本 效 益 的 網 絡 保 安 及 管 理 解 決 方 案 , 以 助 客 戶 實 行 網 絡 保 安 策 略 及 管 理 , 保 障 其 業 務 的 重 要 數 據 資 源 。 其 中 項 目 包 括:

防火牆是一項協助確保資訊安全的裝置,其會依照特定的規則,允許或是限制資料通過。防火牆可能是一臺專屬的硬件或是架設在一般硬件上的一套軟件。
 

防火牆最基本的功能就是控制在電腦網絡中,不同信任程度區域間傳送的資料流。例如互聯網是不可信任的區域,而內部網絡是高度信任的區域。以避免安全策略中禁止的一些通信,與建築中的防火牆功能相似。它有控制資訊基本的任務在不同信任的區域。 典型信任的區域包括互聯網(一個沒有信任的區域) 和一個內部網絡(一個高信任的區域) 。 最終目標是提供受控連通性在不同水準的信任區域通過安全政策的執行和連通性模型之間根據最少特權原則。

 
防火牆類型
 
一個個人防火牆, 通常軟體應用過濾資訊進入或留下一臺電腦; 和: 一個傳統防火牆, 通常跑在一臺專用的網絡設備或電腦被安置在兩個或更多網絡或DMZs (解除軍事管制區域) 界限。 這樣防火牆過濾所有資訊進入或留下被連接的網絡。 後者定義對應於"防火牆" 的常規意思在網絡, 和下面會談談這類型防火牆。 以下是兩個主要類別防火牆: 網絡層防火牆和 應用層防火牆。 這兩類型防火牆也許重疊; 的確, 單一系統會兩個一起實施。
 
網絡層防火牆
 

網絡層防火牆可視為一種 IP 封包過濾器,運作在底層的 TCP/IP 協定堆疊上。我們可以以列舉的方式,只允許符合特定規則的封包通過,其餘的一概禁止穿越防火牆。這些規則通常可以經由管理員定義或修改,不過某些防火牆設備可能只能套用內建的規則。

我們也能以另一種較寬鬆的角度來制定防火牆規則,只要封包不符合任何一項「否定規則」就予以放行。現在的作業系統及網絡設備大多已內建防火牆功能。

較新的防火牆能利用封包的多樣屬性來進行過濾,例如:來源 IP 位址、來源埠號、目的 IP 位址或埠號、服務類型(如 WWW 或是 FTP)。也能經由通訊協定、TTL 值、來源的網域名稱或網段...等屬性來進行過濾。

 
應用層防火牆
 

應用層防火牆是在 TCP/IP 堆疊的「應用層」上運作,您使用瀏覽器時所產生的資料流或是使用 FTP 時的資料流都是屬於這一層。應用層防火牆可以攔截進出某應用程式的所有封包,並且封鎖其他的封包(通常是直接將封包丟棄)。理論上,這一類的防火牆可以完全阻絕外部的資料流進到受保護的機器裡。

防火牆藉由監測所有的封包並找出不符規則的內容,可以防範電腦蠕蟲或是木馬程式的快速蔓延。不過就實作而言,這個方法既煩且雜(軟件有千千百百種啊),所以大部分的防火牆都不會考慮以這種方法設計。

XML 防火牆是一種新型態的應用層防火牆。

 
代理服務
 

代理服務設備(可能是一臺專屬的硬件,或只是普通機器上的一套軟件)也能像應用程式一樣回應輸入封包(例如連線要求),同時封鎖其他的封包,達到類似於防火牆的效果。

代理由外在網絡使竄改一個內部系統更加困難, 並且一個內部系統誤用不一定會導致一個安全漏洞可開採從防火牆外面(只要應用代理剩下的原封和適當地被配置) 。 相反地, 入侵者也許劫持一個公開可及的系統和使用它作為代理人為他們自己的目的; 代理人然後偽裝作為那個系統對其它內部機器。 當對內部地址空間的用途加強安全, 破壞狂也許仍然使用方法譬如IP 欺騙試圖通過小包對目標網絡。

防火牆經常有網絡地址轉換(NAT) 的功能, 並且主機被保護在防火牆之後共同地使用所謂的「私人地址空間」, 依照被定義在[RFC 1918] 。 管理員經常設定了這樣情節在努力(無定論的有效率) 假裝內部地址或網絡。

防火牆的適當的配置要求技巧和智慧。 它要求管理員對網絡協議和電腦安全有深入的了解。 因小差錯可使防火牆不能作為安全工具。

footer
Copyright(c)2007 Vigor Technology . All Right Reserved
    主頁 網站地圖 聯絡我們