防火墙技术的研究的论文摘要

论文摘要写作要求

在学习和工作中，许多人都写过论文吧，借助论文可以有效训练我们运用理论和技能解决实际问题的的能力。那要怎么写好论文呢？下面是我帮大家整理的论文摘要写作要求，欢迎大家借鉴与参考，希望对大家有所帮助。

摘要是整篇文章的缩影，其内容应能反应整篇文章的精髓。有许多人参考到本文时，首先接触到的应为摘要部份，计算机之搜寻最终之内容仍为摘要之内容，故摘要所能传达的信息相当重要。基本上，摘要为独立的单元，通常分中文摘要与英文摘要两部份。两者常出现于每篇论文题目之后、本文之前(但亦有置于文后者)，其顺序是中文摘要在前，英文摘要在后。

摘要之内容应以简短的方式述明整个研究之来龙去脉与结果，由为什么做，如何做到有何发现及所得之结论等等，因此摘要中，不可含有历史背景、前言、老旧信息、标准方法之细节、未来研究之构想、原始数据数据及与本文无关之意见等。

1、摘要之主要内容

一般人阅读摘要时，所搜寻的指标包括目的与范围、方法、结果或成果、结论及任何其它支持或外围的信息。兹就其主要内容分述如下：

(1).指出目的与重要性：指出此项研究之特定目的，若标题中已能经清楚表明，则可不必在摘要内重复说明。

(2).材料与方法：说明研究中所用之材料及品系资料，简短地说明实验设计的模式，必要时叙述实验的方法、所用条件及所加之限制等。

(3).结果：结果之说明应有选择性。仅就工作中重要的、新的或显著的发现或观点加以挑明。重要的数据应在此提出作为左证。

(4).结论：结论亦非常具选择性的，仍以重要者为主，但简短说明即可，避免使用毫无新义之文句，例如：『结果业经充分讨论过』，『有关造成此种不正常的原因已在文中列出..』，『1种以本发现为基础而发展的方法已在文中说明』等等。

摘要之内容虽有上面4项之分述，但最好能文简意核，语意流畅。摘要之长度大部份因期刊之要求而有限制，可参阅各期刊之说明。1般之硕、博士论文，则以1页为度。其长度视文章长度、主题范围、重要性等而定，依字数而言，中文摘要约150至500字，英文摘要约在100至300字。内容须完整易于了解，切忌以条列式书写法。中英文摘要之内容须1致，且于末尾应注明中英文关键词。

2、撰写摘要注意事项

摘要之撰写通常在整篇论文将近完稿期间开始，以期能包括所有之内容。但亦可提早写作，然后视研究之进度作适当修改。有关论文摘要写作时应注意下列事项：

(1)整理你的材料使其能在最小的空间下提供最大的信息面。

(2)用简单而直接的句子。避免使用成语、俗语或不必要的技术性用语。

(3)请多位同僚阅读并就其简洁度与完整性提供意见。

(4)删除无意义的或不必要的字眼。但亦不要矫枉过正，将应有之字眼过份删除，如在英文中不应删除必要之冠词如a' an' the等。

(5)尽量少用缩写字。在英文的情况较多，量度单位则应使用标准化者。特殊缩写字使用时应另外加以定义。

(6)不要将在文章中未提过的数据放在摘要中。

(7)不要为扩充版面将不重要的叙述放入摘要中，即使摘要仅能以1两句话概括，就让维持这样吧，切勿画蛇添足。

(8)不要置放图或表于摘要之中，尽量采用文字叙述。

(9)不要将文中之所有数据大量地列于摘要中，平均值与标准差或其它统计指标仅列其最重要的1项即可。

论文摘要又称概要、内容提要。摘要是以提供文献内容梗概为目的，不加评论和补充解释，简明、确切地记述文献重要内容的短文。其基本要素包括研究目的、方法、结果和结论。具体地讲就是研究工作的主要对象和范围，采用的手段和方法，得出的结果和重要的结论，有时也包括具有情报价值的其它重要的信息。摘要应具有独立性和自明性，并且拥有与文献同等量的主要信息，即不阅读全文，就能获得必要的信息。摘要不容赘言，故需逐字推敲。内容必须完整、具体、使人一目了然。

为了国际交流，还应有外文(多用英文)摘要。英文摘要虽以中文摘要为基础，但要考虑到不能阅读中文的读者的需求，实质性的内容不能遗漏。

1、摘要的要素

(1)目的——研究、研制、调查等的前提、目的任务，所涉及的.主题范围。

(2)方法——所用的原理、理论、条件、对象、材料、工艺、结构、手段、装备、程序等。

(3)结果——实验的、研究的结果，数据，被确定的关系，观察结果，得到的效果，性能等。

(4)结论——结果的分析、研究、比较、评价、应用，提出的问题，今后的课题，启发，建议，预测等。

2、编写注意事项

(1)摘要应避免出现专业学科内常识性内容;不得与引言内容高度重复;不得简单重复题名中已有信息，并切忌罗列段落标题来代替摘要。

(2)摘要结构严谨，语义确切。句型力求简单，字数在150字左右。

(3)省略"我们""笔者""本文"这样的主语。

(4)英文摘要应与中文摘要内容保持一致，术语使用规范。

3、摘要写作举例

(1)提倡的论文摘要

摘要：【目的】煤层瓦斯赋存规律研究是瓦斯灾害防治的基础。介绍了大峪沟矿区的地质构造特征，【方法】现场实测并判识了大量的瓦斯含量数据，分析了大峪沟矿区的瓦斯赋存规律。【结果】研究表明：大峪沟矿区二1煤层自西向东、由浅至深煤层瓦斯含量逐渐增高，至该区深部因受F9断层的影响，煤层瓦斯又趋降低。【结论】煤层埋藏深度和地质构造是控制大峪沟矿区瓦斯赋存的主要因素。

(2)不提倡的论文摘要

摘要：分析了xx煤矿xx采区开采过程中的充水水源和充水通道，对采区涌水量进行预算，提出水害防治对策，并对后续的防治水工作提出了建议。

分析：该摘要仅简单地罗列正文中的小标题，虽然对全文进行了高度概括，但未对文章的精华、有价值的部分进行提炼，也没有给出方法、结论。

建议改为：为了更加科学地进行水害防治，对xx煤矿xx采区开采过程中的充水水源和充水通道进行了分析，利用水文地质比拟法，大井深法进行了采区涌水量预测;在此基础上列举出进行超前钻探、健全排水阵地，敷设排水管道、疏水巷道等矿井水害防治措施;并建议对42采区开采的承压含水层水压进行实时监测，开展适合三软煤层底板特征的底板扰动深度试验研究的建议。

4、参考句式

试验研究型：为了有效……，对……(条件下)……进行了研究，采用……(方法)，设计(优化)了……，建立(提出、改进)了……，研究结果表明……

试验研究型：在……理论基础上，通过对……的分析研究，建立了……，并通过……进行了验证，验证结果表明……

技术应用型：为了……，通过对……的分析，提出了用……控制(解决)……的方法、措施，实践应用表明……该法成功……确保了……

论文摘要：网络结构的不安全．易被和缺乏安全意识等原因造成的，网络入侵者主要通过破译口令，IP欺和DNS欺等途径攻击网络。防范措施主要通过防火墙技术和数据加密技术来完成。

1、近年来网络威胁发展趋势

由于黑客发动攻击的目的和组织化的转变，近年发生大规模的网络安全事件的可能性比较小，以僵尸网络、间谍软件、身份窃取为代表的恶意代码，以及网络仿冒网址嫁接／劫持类安全事件将会继续增加，对新流行的网络应用的安全事件将会发生，这些问题将导致事件数量整体仍呈上升趋势，同时也提醒网络安全管理员尽可能的保护好企业的内部数据。

常见的危害安全有：外部攻击；内部威胁；网络儒虫；垃圾邮件；WEB服务器；僵死网络l网络钓鱼；ARP欺。薄弱的信息安全意识可能造成重大的经济损失或严重的法律后果。网络飞速的发展，网络安全往往很容易忽视。但是带来网络安全的原因有很多。

2、网络安全概述

网络安全的定义

网络安全的具体含义会随着“角度”的变化而变化。从社会教育和意识形态角度来讲，网络上不健康的内容，会对社会的稳定和人类的发展造成阻碍，必须对其进行控制。总之，几是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全所要研究的领域。

行系统安全

行系统安全：即保证信息处理和传输系统的安全。

它侧重于保证系统正常运行，避免因为系统的崩溃和损坏而对系统存贮、处理和传输的信息造成破坏和损失，避免由于电磁泄漏，产生信息泄露，干扰他人，受他人干扰。网络上系统信息的安全：包括用户口令鉴别，用户存取权限控制，数据存取权限、方式控制，安全审计，安全问题跟踪，计算机病毒防治，数据加密。

网络中的安全缺陷及产生的原因

(1)TCP／IP的脆弱性。因特网的基石是TCP／IP协议。该协议对于网络的安全性考虑得并不多，并且由于TCP／IP协议是公布于众的，如果人们对TCP／IP~E熟悉，就可以利用它的安全缺陷来实施网络攻击。

(2)络结构的不安全性。因特网是一种网间网技术。它是由无数个局域网所连成的一个巨大网络。

(3)易被。由于因特网上大多数数据流都没有加密，因此人们利用网上免费提供的工具就很容易对网上的电子邮件、口令和传输的文件进行。

(4)缺乏安全意识。虽然网络中设置了许多安全保护屏障，但人们普遍缺乏安全意识，从而使这些保护措施形同虚设。如人们为了避开防火墙代理服务器的额外认证，进行直接的PPP连接从而避开了防火墙的保护。

3、网络攻击和入侵的主要途径

网络入侵是指网络攻击者通过非法的手段(如破译口令、电子欺等)获得非法的权限，并通过使用这些非法的权限使网络攻击者能对被攻击的主机进行非授权的操作。网络入侵的主要途径有：破译口令、IP欺和DNS欺。口令是计算机系统抵御人侵者的一种重要手段，所谓口令入侵是指使用某些合法用户的帐号和口令登录到目的主机，然后再实施攻击活动。

4、网络安全的防范措施

防火墙技术

网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络操作环境的特殊网络互联设备。

防火墙系统是由两个基本部件包过滤路由器(PacketFilteringR0uter)、应用层网关(ApplicationGateway)构成的，防火墙处于5层网络安全体系中的最底层，作为内部网络与外部公共网络之间的第一道屏障，防火墙是最先受到人们重视的网络安全产品之一。另外还有多种防火墙产品正朝着数据安全与用户认证、防止病毒与黑客侵入等方向发展。

数据加密技术

数据加密技术是最基本的网络安全技术，被誉为信息安全的核心，最初主要用于保证数据在存储和传输过程中的保密性。加密技术通常分为两大类：“对称式”和“非对称式”。对称式加密就是加密和解密使用同一个密钥，通常称之为“SessionKey”这种加密技术目前被广泛采用，如美国政府所采用的DES]JIJ密标准就是-一种典型的“对称式”加密法，它的SessionKey长度为56Bits。而非对称式加密就是加密和解密所使用的不是同一个密钥，通常有两个密钥，称为“公钥”和“私钥”，它们两个必需配对使用，否则不能打开加密文件。

身份的验证

身份的验证指使用网络资源时需要提交一一定的信息，表示申请者具备的身份。验证有很多种方式，人们最熟悉的就是用户名加密码的方式了，虽然在实践中，密码方式并不是一种非常安全的身份验证方式。

授权

授权和身份验证不同，身份验证控制能否访问网络。而授权则是控制能够访问那些资源和可以如何访问这些资源。授权包括两种，一种是行为的授权。另外一种是范围的授权。

审核

通过审核，网络管理员可以了解攻击着的主攻方向，了解所不知道的网络薄弱环节，攻击者通常是从网络的薄弱环节攻入的。

公共密匙加密和数字签名

在数据加密中，密匙非常重要，但加密解密的双方又需要同样的密匙，密匙就需要采用某种传送方式，这样密匙就变成了网络安全的主要攻击目标。

数据包过滤

比身份验证和授权更进一步，数据包过滤能够接受或拒绝特定特点的数据包，能够防止非授权的使用、破坏网络资源、禁止、拒绝服务攻击。

5、结语

随着计算机技术的不断发展，计算机网络已经成为信息时代的重要特征，人们称它为信息高速公路。网络信息交流现已是生活中必不可少的一个环节，然而信息安全却得不到相应的重视。本文就网络信息的发展，组成，与安全问题的危害及防范做一个简单的概述。

自己写才是王道

随着计算机网络的发展，上网的人数不断地增大，网上的资源也不断地增加，网络的开放性、共享性、互连程度也随着扩大。网络安全产品也被人们重视起来。防火墙作为最早出现的网络安全产品和使用量最大的安全产品，也受到用户和研发机构的青睐。防火墙技术是近年来发展起来的一种保护计算机网络安全的技术性措施。防火墙实际上是一种访问控制技术，在某个机构的网络和不安全的网络之间设置障碍，阻止对信息资源的非法访问, 也可以使用防火墙阻止保密信息从受保护网络上被非法输出。换言之，防火墙是一道门槛, 控制进出两个方向的通信。通过限制与网络或某一特定区域的通信, 以达到防止非法用户侵犯受保护网络的目的。防火墙不是一个单独的计算机程序或设备。在理论上，防火墙是由软件和硬件两部分组成，用来阻止所有网络间不受欢迎的信息交换，而允许那些可接受的通信。 随着Internet/Intranet技术的飞速发展，网络安全问题必将愈来愈引起人们的重视。防火墙技术作为目前用来实现网络安全措施的一种主要手段，它主要是用来拒绝未经授权用户的访问，阻止未经授权用户存取敏感数据，同时允许合法用户不受妨碍的访问网络资源。如果使用得当，可以在很大程度上提高网络安全。 [正文] 1 引言 网络已经成为了人类所构建的最丰富多彩的虚拟世界，网络的迅速发展，给我们的工作和学习生活带来了巨大的改变。我们通过网络获得信息，共享资源。如今， Internet遍布世界任何一个角落，并且欢迎任何一个人加入其中，相互沟通，相互交流。随着网络的延伸，安全问题受到人们越来越多的关注。在网络日益复杂化，多样化的今天，如何保护各类网络和应用的安全，如何保护信息安全，将作为本次论文设计的的重点。 几乎所有接触网络的人都知道网络中有一些费尽心机闯入他人计算机系统的人，他们利用各种网络和系统的漏洞，非法获得未授权的访问信息。不幸的是如今攻击网络系统和窃取信息已经不需要什么高深的技巧。网络中有大量的攻击工具和攻击文章等资源，可以任意使用和共享。不需要去了解那些攻击程序是如何运行的，只需要简单的执行就可以给网络造成巨大的威胁。甚至部分程序不需要人为的参与，非常智能化的扫描和破坏整个网络。这种情况使得近几年的攻击频率和密度显著增长，给网络安全带来越来越多的安全隐患。有人曾提出过如果把每个单独的系统配置好，其实也能经受住攻击。遗憾的是很多系统在缺省情况下都是脆弱的。最显著的例子就是Windows系统，我们不得不承认在Windows 2003以前的时代， Windows默认开放了太多不必要的服务和端口，共享信息没有合理配置与审核。如果管理员通过安全部署，包括删除多余的服务和组件，严格执行NTFS权限分配，控制系统映射和共享资源的访问，以及帐户的加固和审核，补丁的修补等。但是致命的一点是，该服务器系统无法在安全性，可用性和功能上进行权衡和妥协。因此，如何保护企业内部网络中的资源及信息不受外部攻击者肆意破坏或盗窃，是企业网络安全需要解决的重要问题。 防火墙就是保护网络安全最主要的手段之一，它是设置在被保护网络与外部网络之间的一道屏障，以防止不可预测的、潜在破坏的非法入侵。它通过监测、限制、修改跨越防火墙的数据流，尽可能地对外屏蔽网络内部的结构、信息和运行情况，以此来实现内部网络的安全保护。 ......

随着internet的迅猛发展，安全性已经成为网络互联技术中最关键的问题。本文——计算机与信息技术论文Internet防火墙技术综述，全面介绍了internet防火墙技术与产品的发展历程；详细剖析了第四代防火墙的功能特色、关键技术、实现方法及抗攻击能力；同时简要描述了internet防火墙技术的发展趋势。 关键词：internet 网路安全 防火墙 过滤 地址转换 1． 引言 防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，越来越多地应用于专用网络与公用网络的互连环境之中，尤以internet网络为最甚。internet的迅猛发展，使得防火墙产品在短短的几年内异军突起，很快形成了一个产业：1995年，刚刚面市的防火墙技术产品市场量还不到1万套；到1996年底，就猛增到10万套；据国际权威商业调查机构的预测，防火墙市场将以173%的复合增长率增长，今年底将达到150万套，市场营业额将从1995年的��亿美元上升到今年的亿美元。� 为了更加全面地了解internet防火墙及其发展过程，特别是第四代防火墙的技术特色，我们非常有必要从产品和技术角度对防火墙技术的发展演变做一个详细的考察。� 2. internet防火墙技术简介� 防火墙原是指建筑物大厦用来防止火灾蔓延的隔断墙。从理论上讲，internet防火墙服务也属于类似的用来防止外界侵入的。它可以防 止internet上的各种危险(病毒、资源盗用等)传播到你的网络内部。而事实上，防火墙并不像现实生活中的防火墙，它有点像古代守护城池用的护城河，服务于以下多个目的：� 1)限定人们从一个特定的控制点进入；� 2)限定人们从一个特定的点离开；� 3)防止侵入者接近你的其他防御设施；� 4)有效地阻止破坏者对你的计算机系统进行破坏。� 在现实生活中，internet防火墙常常被安装在受保护的内部网络上并接入internet。 所有来自internet的传输信息或你发出的信息都必须经过防火墙。这样，防火墙就起到了保护诸如电子邮件、文件传输、远程登录、在特定的系统间进行信息交换等安全的作用。从逻辑上讲，防火墙是起分隔、限制、分析的作用，这一点同样可以从图1中体会出来。那么，防火墙究竟是什么呢?实际上，防火墙是加强internet(内部网)之间安全防御的一个或一组系统，它由一组硬件设备(包括路由器、服务器)及相应软件构成。3. 防火墙技术与产品发展的回顾� 防火墙是网络安全策略的有机组成部分，它通过控制和监测网络之间的信息交换和访问行为来实现对网络安全的有效管理。从总体上看，防火墙应该具有以下五大基本功能：� ●过滤进、出网络的数据；� ●管理进、出网络的访问行为；� ●封堵某些禁止行为；� ●记录通过防火墙的信息内容和活动；� ●对网络攻击进行检测和告警。� 为实现以上功能，在防火墙产品的开发中，人们广泛地应用了网络拓扑、计算机操作系统、路由、加密、访问控制、安全审计等成熟或先进的技术和手段。纵观防火墙近年来的发展，可以将其划分为如下四个阶段(即四代)。� 基于路由器的防火墙� 由于多数路由器本身就包含有分组过滤功能，故网络访问控制可能通过路控制来实现，从而使具有分组过滤功能的路由器成为第一代防火墙产品。第一代防火墙产品的特点是：� 1)利用路由器本身对分组的解析，以访问控制表(access list)方式实现对分组的过滤；� 2)过滤判断的依据可以是：地址、端口号、ip旗标及其他网络特征；� 3)只有分组过滤的功能，且防火墙与路由器是一体的。这样，对安全要求低的网络可以采用路由器附带防火墙功能的方法，而对安全性要求高的网络则需要单独利用一台路由器作为防火墙。� 第一代防火墙产品的不足之处十分明显，具体表现为：� ●路由协议十分灵活，本身具有安全漏洞，外部网络要探寻内部网络十分容易。例如，在使用Ftp协议时，外部服务器容易从20号端口上与内部网相连，即使在路由器上设置了过滤规则，内部网络的20号端口仍可以由外部探寻。� ●路由器上分组过滤规则的设置和配置存在安全隐患。对路由器中过滤规则的设置和配置十分复杂，它涉及到规则的逻辑一致性。作用端口的有效性和规则集的正确性，一般的网络系统管理员难于胜任，加之一旦出现新的协议，管理员就得加上更多的规则去限制，这往往会带来很多错误。� ●路由器防火墙的最大隐患是：攻击者可以“假冒”地址。由于信息在网络上是以明文方式传送的，黑客(hacker)可以在网络上伪造假的路由信息欺防火墙。� ●路由器防火墙的本质缺陷是：由于路由器的主要功能是为网络访问提供动态的、灵活的路由，而防火墙则要对访问行为实施静态的、固态的控制，这是一对难以调和的矛盾，防火墙的规则设置会大大降低路由器的性能。 � 可以说基于路由器的防火墙技术只是网络安全的一种应急措施，用这种权宜之计去对付黑客的攻击是十分危险的。 用户化的防火墙工具套� 为了弥补路由器防火墙的不足，很多大型用户纷纷要求以专门开发的防火墙系统来保护自己的网络，从而推动了用户防火墙工具套的出现。� 作为第二代防火墙产品，用户化的防火墙工具套具有以下特征：� 1)将过滤功能从路由器中独立出来，并加上审计和告警功能；� 2)针对用户需求，提供模块化的软件包；� 3)软件可以通过网络发送，用户可以自己动手构造防火墙；� 4)与第一代防火墙相比，安全性提高了，价格也降低了。� 由于是纯软件产品，第二代防火墙产品无论在实现上还是在维护上都对系统管理员提出了相当复杂的要求，并带来以下问题：� 配置和维护过程复杂、费时；� 对用户的技术要求高；� 全软件实现，使用中出现差错的情况很多。� 建立在通用操作系统上的防火墙� 基于软件的防火墙在销售、使用和维护上的问题迫使防火墙开发商很快推出了建立在通用操作系统上的商用防火墙产品。近年来市场上广泛使用的就是这一代产品，它们具有如下一些特点：� 1)是批量上市的专用防火墙产品；� 2)包括分组过滤或者借用路由器的分组过滤功能；� 3)装有专用的代理系统，监控所有协议的数据和指令；� 4)保护用户编程空间和用户可配置内核参数的设置； 5)安全性和速度大大提高。� 第三代防火墙有以纯软件实现的，也有以硬件方式实现的，它们已经得到了广大用户的认同。但随着安全需求的变化和使用时间的推延，仍表现出不少问题，比如：� 1)作为基础的操作系统及其内核往往不为防火墙管理者所知，由于源码的保密，其安全性无从保证；� 2)由于大多数防火墙厂商并非通用操作系统的厂商，通用操作系统厂商不会对操作系统的安全性负责；� 3)从本质上看，第三代防火墙既要防止来自外部网络的攻击，还要防止来自操作系统厂商的攻击；� 4)在功能上包括了分组过滤、应用网关、电路级网关且具有加密鉴别功能；� 5)透明性好，易于使用。� 4. 第四代防火墙的主要技术及功能� 第四代防火墙产品将网关与安全系统合二为一，具有以下技术功能。� 双端口或三端口的结构� 新一代防火墙产品具有两个或三个独立的网卡，内外两个网卡可不做ip转化而串接于内部与外部之间，另一个网卡可专用于对服务器的安全保护。 � 透明的访问方式� 以前的防火墙在访问方式上要么要求用户做系统登录，要么需通过socks等库路径修改客户机的应用。第四代防火墙利用了透明的代理系统技术，从而降低了系统登录固有的安全风险和出错概率。� 灵活的代理系统� 代理系统是一种将信息从防火墙的一侧传送到另一侧的软件模块，第四代防火墙采用了两种代理机制：一种用于代理从内部网络到外部网络的连接；另一种用于代理从外部网络到内部网络的连接。前者采用网络地址转接(nit)技术来解决，后者采用非保密的用户定制代理或保密的代理系统技术来解决。� 多级过滤技术� 为保证系统的安全性和防护水平，第四代防火墙采用了三级过滤措施，并辅以鉴别手段。在分组过滤一级，能过滤掉所有的源路由分组和假冒ip地址；在应用级网关一级，能利用Ftp、smtp等各种网关，控制和监测internet提供的所有通用服务；在电路网关一级，实现内部主机与外部站点的透明连接，并对服务的通行实行严格控制。� 网络地址转换技术� 第四代防火墙利用nat技术能透明地对所有内部地址做转换，使得外部网络无法了解内部网络的内部结构，同时允许内部网络使用自己编的ip源地址和专用网络，防火墙能详尽记录每一个主机的通信，确保每个分组送往正确的地址。� internet网关技术� 由于是直接串联在网络之中，第四代防火墙必须支持用户在internet互联的所有服务，同时还要防止与internet服务有关的安全漏洞，故它要能够以多种安全的应用服务器(包括ftp、finger、mail、ident、news、www等)来实现网关功能。为确保服务器的安全性，对所有的文件和命令均要利用“改变根系统调用(chroot)”做物理上的隔离。� 在域名服务方面，第四代防火墙采用两种独立的域名服务器：一种是内部dns服务器，主要处理内部网络和dns信息；另一种是外部dns服务器，专门用于处理机构内部向internet提供的部分dns信息。在匿名ftp方面，服务器只提供对有限的受保护的部分目录的只读访问。在www服务器中，只支持静态的网页，而不允许图形或cgi代码等在防火墙内运行。在finger服务器中，对外部访问，防火墙只提可由内部用户配置的基本的文本信息，而不提供任何与攻击有关的系统信息。smtp与pop邮件服务器要对所有进、出防火墙的邮件做处理，并利用邮件映射与标头剥除的方法隐除内部的邮件环境。ident服务器对用户连接的识别做专门处理，网络新闻服务则为接收来自isp的新闻开设了专门的磁盘空间。 安全服务器网络(ssn)� 为了适应越来越多的用户向internet上提供服务时对服务器的需要，第四代防火墙采用分别保护的策略对用户上网的对外服务器实施保护，它利用一张网卡将对外服务器作为一个独立网络处理，对外服务器既是内部网络的一部分，又与内部网关完全隔离，这就是安全服务器网络(ssn)技术。而对ssn上的主机既可单独管理，也可设置成通过Ftp、tnlnet等方式从内部网上管理。� ssn方法提供的安全性要比传统的“隔离区(dmz)”方法好得多，因为ssn与外部网之间有防火墙保护，ssn与风部网之间也有防火墙的保护，而dmz只是一种在内、外部网络网关之间存在的一种防火墙方式。换言之，一旦ssn受破坏，内部网络仍会处于防火墙的保护之下，而一旦dmz受到破坏，内部网络便暴露于攻击之下。� 用户鉴别与加密� 为了减低防火墙产品在tnlnet、ftp等服务和远程管理上的安全风险，鉴别功能必不可少。第四代防火墙采用一次性使用的口令系统来作为用户的鉴别手段，并实现了对邮件的加密。� 用户定制服务� 为了满足特定用户的特定需求，第四代防火墙在提供众多服务的同时，还为用户定制提供支持，这类选项有：通用tcp、出站udp、ftp、smtp等，如果某一用户需要建立一个数据库的代理，便可以利用这些支持，方便设置。� 审计和告警� 第四代防火墙产品采用的审计和告警功能十分健全，日志文件包括：一般信息、内核信息、核心信息、接收邮件、邮件路径、发送邮件、已收消息、已发消息、连接需求、已鉴别的访问、告警条件、管理日志、进站代理、ftp代理、出站代理、邮件服务器、名服务器等。告警功能会守住每一个tcp或udp探寻，并能以发出邮件、声响等多种方式报警。� 此外，第四代防火墙还在网络诊断、数据备份保全等方面具有特色。� 5． 第四代防火墙技术的实现方法 在第四代防火墙产品的设计与开发中，安全内核、代理系统、多级过滤、安全服务器、鉴别与加密是关键所在。� 安全内核的实现� 第四代防火墙是建立在安全操作系统之上的，安全操作系统来自对专用操作系统的安全加固和改造，从现在的诸多产品看，对安全操作系统内核的固化与改造主要从以下几个方面进行：� 1)取消危险的系统调用；� 2)限制命令的执行权限；� 3)取消ip的转发功能；� 4)检查每个分组的接口；� 5)采用随机连接序号；� 6)驻留分组过滤模块；� 7)取消动态路由功能；� 8)采用多个安全内核。� 代理系统的建立� 防火墙不允许任何信息直接穿过它，对所有的内外连接均要通过代理系统来实现，为保证整个防火墙的安全，所有的代理都应该采用改变根目录方式存在一个相对独立的区域以安全隔离。� 在所有的连接通过防火墙前，所有的代理要检查已定义的访问规则，这些规则控制代理的服务根据以下内容处理分组：� 1)源地址；� 2)目的地址；� 3)时间；� 4)同类服务器的最大数量。� 所有外部网络到防火墙内部或ssn的连接由进站代理处理，进站代理要保证内部主机能够了解外部主机的所有信息，而外部主机只能看到防火墙之外或ssn的地址。� 所有从内部网络ssn通过防火墙与外部网络建立的连接由出站代理处理，出站代理必须确保完全由它代表内部网络与外部地址相连，防止内部网址与外部网址的直接连接，同时还要处理内部网络ssn的连接。� 分组过滤器的设计� 作为防火墙的核心部件之一，过滤器的设计要尽量做到减少对防火墙的访问，过滤器在调用时将被下载到内核中执行，服务终止时，过滤规则会从内核中消除，所有的分组过滤功能都在内核中ip堆栈的深层运行，极为安全。分组过滤器包括以下参数。� 1)进站接口；� 2)出站接口；� 3)允许的连接；� 4)源端口范围；� 5)源地址；� 6)目的端口的范围等。� 对每一种参数的处理都充分体现设计原则和安全政策。� 安全服务器的设计� 安全服务器的设计有两个要点：第一，所有ssn的流量都要隔离处理，即从内部网和外部网而来的路由信息流在机制上是分离的；第二，ssn的作用类似于两个网络，它看上去像是内部网，因为它对外透明，同时又像是外部网络，因为它从内部网络对外访问的方式十分有限。� ssn上的每一个服务器都隐蔽于internet，ssn提供的服务对外部网络而言好像防火墙功能，由于地址已经是透明的，对各种网络应用没有限制。实现ssn的关键在于：� 1)解决分组过滤器与ssn的连接；� 2)支持通过防火对ssn的访问; 3)支持代理服务。 鉴别与加密的考虑 鉴别与加密是防火墙识别用户、验证访问和保护信息的有效手段，鉴别机制除了提供安全保护之外，还有安全管理功能，目前国外防火墙产品中广泛使用令牌鉴别方式，具体方法有两种：一种是加密卡（cryptocard）;另一种是secure id,这两种都是一次姓口令的生成工具。 对信息内容的加密与鉴别测涉及加密算法和数字签名技术，除pem、pgp和kerberos外，目前国外防火墙产品中尚没有更好的机制出现，由于加密算法涉及国家安全和主权，各国有不同的要求。 6. 第四代防火墙的抗攻击能力 作为一种安全防护设备，防火墙在网络中自然是众多攻击者的目标，故抗攻击能力也是防火墙的必备功能。在internet环境中针对防火墙的攻击很多，下面从几种主要的攻击方法来评估第四代防火墙的抗攻击能力。 抗ip假冒攻击 ip假冒是指一个非法的主机假冒内部的主机地址，取服务器的“信任”，从而达到对网络的攻击目的。由于第四代防火墙已经将网内的实际地址隐蔽起来，外部用户很难知道内部的ip地址，因而难以攻击。 抗特洛伊木马攻击 特洛伊木马能将病毒或破坏性程序传入计算机网络，且通常是将这些恶意程序隐蔽在正常的程序之中，尤其是热门程序或游戏，一些用户下载病执行这一程序，其中的病毒便会发作。第四代防火墙是建立在安全的操作系统之上的，其内核中不能执行下载的程序，故而可以防止特洛伊木马的发生。必须指出的是，防火墙能抗特洛伊木马的攻击并并不表明其保护的某个主机也能防止这类攻击。事实上，内部用户可以通过防火墙下载程序，并执行下载的程序。 抗口令字探寻攻击 在网络中探寻口令的方法很多，最常见的是口令嗅探和口令解密。嗅探是通过监测网络通信，截获用户转给服务器的口令字，记录下来，以便使用；解密是指采用强力攻击、猜测或截获含有加密口令的文件，并设法解密。此外，攻击者还常常利用一些常用口令直接登录。 第四代防火墙采用了一次性口令字和禁此直接登录防火墙措施，能够有效防止对口令字的攻击。 抗网络安全性分析 网络安全性分析工具是提供管理人员分析网络安全性之用，一旦这类工具用作攻击网络的手段，则能够比较方便地探测到内部网络的安全缺陷和弱点所在。目前，sata软件可以从网上免费获得，internet scanner可以从市面上购买，这些分析工具给网路安全构成了直接的威胁。第四代防火墙采用了地主转换技术，将内部网络隐蔽起来，使网路安全分析工具无法从外部对内部网络做分析。 抗邮件攻击 邮件也是越来越突出的攻击方式，第四代防火墙不接收任何邮件，故难以采用这种方式对它攻击，同样值得一提的是，防火墙不接收邮件，并不表示它不让邮件通过，实际上用户仍可收发邮件，内部用户要防邮件，最终的解决办法是对邮件加密。 7. 防火墙技术展望 伴随着internet的飞速发展，防火墙技术产品的更新步伐必然会加强，而要全面展望防火墙技术的发展几乎是不可能的。但是，从产品及功能上，却又可以看出一些动向和趋势。下面诸点可能是下一步的走向和选择： 1）防火墙将从目前对子网或内部网管理的方式向远程上网集中管理是方式发展。 2）过滤深度会不断加强，从目前的地址、服务过滤，发展到url（页面）过滤、关键字过滤和对activex、java等的过滤，并逐渐有病毒扫描功能。 3）利用防火墙建立专用网是较长一段时间用户使用的主流，ip的加密需求越来越强，安全协议的开发是一大热点。� 4)单向防火墙(又叫做网络二极管)将作为一种产品门类而出现。� 5)对网络攻击的检测和各种告警将成为防火墙的重要功能。 6)安全管理工具不断完善，特别是可以活动的日志分析工具等将成为防火墙产品中的一部分。� 另外值得一提的是，伴随着防火墙技术的不断发展，人们选择防火墙的标准将主要集中在易于管理、应用透明性、鉴别与加密功能、操作环境和硬件要求、vpn的功能与ca的功能、接口的数量、成本等几个方面。