第一篇：防火墻基礎知識

防火墻基礎知識

3.3 包過濾包過濾技術(Ip Filtering or packet filtering)的原理在于監視并過濾網絡上流入流出的Ip包，拒絕發送可疑的包。由于Internet 與Intranet 的連接多數都要使用路由器，所以Router成為內外通信的必經端口，Router的廠商在Router上加入IP Filtering 功能，這樣的Router也就成為Screening Router 或稱為Circuit-level gateway.網絡專家Steven.M.Bellovin認為這種Firewall 應該是足夠安全的，但前提是配置合理。然而一個包過濾規則是否完全嚴密及必要是很難判定的，因而在安全要求較高的場合，通常還配合使用其它的技術來加強安全性。

Router 逐一審查每份數據包以判定它是否與其它包過濾規則相匹配。(注：只檢查包頭的內容，不理會包內的正文信息內容)過濾規則以用于IP順行處理的包頭信息為基礎。包頭信息包括: IP 源地址、IP目的地址、封裝協議(TCP、UDP、或IP Tunnel)、TCP/UDP源端口、ICMP包類型、包輸入接口和包輸出接口。如果找到一個匹配，且規則允許這包，這一包則根據路由表中的信息前行。如果找到一個匹配，且規則允許拒絕此包，這一包則被舍棄。如果無匹配規則，一個用戶配置的缺省參數將決定此包是前行還是被舍棄。

*從屬服務的過濾包過濾規則允許Router取舍以一個特殊服務為基礎的信息流，因為大多數服務檢測器駐留于眾所周知的TCP/UDP端口。例如，Telnet Service 為TCP port 23端口等待遠程連接，而SMTP Service為TCP Port 25端口等待輸入連接。如要封鎖輸入Telnet、SMTP的連接，則Router舍棄端口值為23,25的所有的數據包。典型的過濾規則有以下幾種：

.允許特定名單內的內部主機進行Telnet輸入對話

.只允許特定名單內的內部主機進行FTP輸入對話

.只允許所有Telnet 輸出對話

.只允許所有FTP 輸出對話

.拒絕來自一些特定外部網絡的所有輸入信息

* 獨立于服務的過濾

有些類型的攻擊很難用基本包頭信息加以鑒別，因為這些獨立于服務。一些Router可以用來防止這類攻擊，但過濾規則需要增加一些信息，而這些信息只有通過以下方式才能獲悉：研究Router選擇表、檢查特定的IP選項、校驗特殊的片段偏移等。這類攻擊有以下幾種:.源IP地址欺騙攻擊

入侵者從偽裝成源自一臺內部主機的一個外部地點傳送一些信息包；這些信息包似乎像包含了一個內部系統的源IP地址。如果這些信息包到達Router的外部接口，則舍棄每個含有這個源IP地址的信息包，就可以挫敗這種源欺騙攻擊。

.源路由攻擊源站指定了一個信息包穿越Internet時應采取的路徑，這類攻擊企圖繞過安全措施，并使信息包沿一條意外(疏漏)的路徑到達目的地。可以通過舍棄所有包含這類源路由選項的信息包方式，來挫敗這類攻擊。

.殘片攻擊入侵者利用Ip殘片特性生成一個極小的片斷并將TCP報頭信息肢解成一個分離的信息包片斷。舍棄所有協議類型為TCP、IP片斷偏移值等于1的信息包，即可挫敗殘片的攻擊。從以上可看出定義一個完善的安全過濾規則是非常重要的。通常，過濾規則以表格的形式表示，其中包括以某種次序排列的條件和動作序列。每當收到一個包時，則按照從前至后的順序與表格中每行的條件比較，直到滿足某一行的條件，然后執行相應的動作(轉發或舍棄)。有些數據包過濾在實現時，“動作”這一項還詢問，若包被丟棄是否要通知發送者(通過發ICMP信息),并能以管理員指定的順序進行條件比較，直至找到滿足的條件。以下是兩個例子: * 例 一

某公司有一個B類地址 123.45.0.0,它不希望Internet上的其他站點對它進行訪問。但是，該公司網中有一個子網123.45.6.0 用于和某大學合作開發項目，該大學有一個B類地址 135.79.0.0，并希望大學的各個子網都能訪問123.45.6.0 子網。但是，由于135.79.99.0 子網中存在著不安全因素，因此，它除了能訪問123.45.6.0 子網之外，不能訪問公司網中的其它子網。為了簡單起見，假定只有從大學到公司的包，表一中列出了所需的規則集。

表 一

規 則

源

地 址

目 的 地 址

動

作

A

135.79.0.0

123.45.6.0

permit

B

135.79.99.0

123.45.0.0

deny

C

0.0.0.0

0.0.0.0

deny

其中0.0.0.0代表任何地址，規則C是缺省規則，若沒有其它的規則可滿足，則應用此規則。如果還有從公司到大學的包，相對稱的規則應加入到此表格中，即源地址與目的地址對調，再定義相應的動作。

現在，我們按照規則ABC的順序來進行過濾和按照BAC的順序來進行過濾后采取的動作的結果如表二所示(注意：兩種動作的結果有不同)

表

二 Packet 源 地 址

目 的 地 址

希望的動作 執行ABC后 執行BAC后

135.79.99.1

123.45.1.1

deny

deny(B)

deny(B)

* 2

135.79.99.1

123.45.6.1

permit

permit(A)deny(B)3

135.79.1.1

123.45.6.1

permit

permit(A)permit(A)4

135.79.1.1

123.45.1.1

deny

deny(C)

deny(c)

從表二可以看出，以ABC的順序來應用規則的Router能達到預想的結果： 從135.79.99.0子網到公司網的包(如包1)都被拒絕(根據規則B)，從135.79.99.0子網到123.45.6.0子網的包(如包2)將被轉發(根據規則A)，從大學中的其它子網到123.45.6.0的子網包(如包3)也將被轉發(根據規則A)，從大學中的其它子網到公司中的其它字網的包(如包4)都被拒絕(根據規則C)。若以BAC的順序來應用規則，則不能達到預計的目的。實際上，在上面的規則外集中存在著一個小錯誤，正是由于這個錯誤，導致了以ABC的順序和以BAC的順序來應用規則而出現了不同的結果。該錯誤就是:規則B似乎用于限制135.79.99.0子網訪問公司網，但實際上這是多余的。如果將這條規則去掉，那么順序ABC和BAC都將歸結為AC順序。以AC的順序進行過濾后的結果如表三所示。

表

三

Packet

源 地 址

目 的 地 址

希望的動作

AC 動作

135.79.99.1

123.45.1.1

deny

deny(C)

135.79.99.1

123.45.6.1

permit

permit(A)

135.79.1.1

123.45.6.1

permit

permit(A)

135.79.1.1

123.45.1.1

deny

deny(C)

* 例 二如圖一所示的網絡，由包過濾的Router作為在內部被保護的網絡與外部不安全的網絡之間的第一道防線。假設網絡的安全策略為:從外部主機來的Internet Mail 在一個指定的網關上接收，同時你不信任外部網絡上一個名叫HPVC的主機，準備拒絕任何由它發起的網絡通信。

本例中，關于使用SMTP的網絡安全策略必須轉移為包過濾規則。可以將網絡安全規則轉換成下述用語言表示的規則：

規則1: 拒絕從主機HPVC發起的連接。

規則2：允許連接到我們的E-Mail網關。這些規則可以用下面的表四來表示。星號(*)表示可以匹配該列的任何值。

表

四規則

動作

本地

本地

遠地主機

遠地

說明

序號

主機

端口號

端口號

Block

*

*

HPVC

*

Block traffic from

HPVC 2

Allow Mail-GW 25

*

*

Allow Connection to Our

Mail gateway

對于表四所示的規則1而言，在遠地主機欄中填入了HPVC，而其它所有欄的內容都是星號；在動作欄填入阻塞。這條規則的意義可以理解為：阻塞所有從遠地主機HPVC發起的從它的任意端口到我們本地任意主機的任意端口的連接。對于表四所示的規則2而言，在本地主機和本地端口號兩欄中都有內容，而其它欄都是星號；在動作欄填入允許。這個規則的意義可以理解為：允許從任意遠地主機的任意端口發起的到本地主機Mail-GW的25號端口連接(端口25是為SMTP保留的)規則是按照它們在表中的順序來執行的。如果一個分組不符合任何規則，則它將被拒絕。

在表四中對規則的描述有一個嚴重的問題，它允許任意外部主機從端口25發起一個呼叫。端口25是為SMTP保留的，但是一個外部主機有可能利用這個權利從事其它活動。這條規則的一個更好的描述方案是允許本地主機發起呼叫，同遠地主機的端口25進行通信。這使得本地主機可以向遠地站點發送電子郵件。如果遠地主機不是用端口25執行SMTP，則SMTP的發送進程將不能發送電子郵件。這等價與遠地主機不支持電子郵件。一個TCP連接是一個全雙工連接，信息雙向流動。在表四所示的包過濾規則中沒有明確指定被發送報文分組中信息的傳遞方向，即是從本地主機發送遠地站點，還是從遠地站點發送到本地主機。當一個TCP包在某一個方向上傳遞時，它必須被接收方確認。接收方通過設置TCP ACK標志來發送應答幀。TCP ACK標志也被用來確認TCP建立連接請求，ACK包將在所有TCP連接上發送。當一個ACK包被發送后，發送方向就逆轉過來，包過濾規則應該考慮為響應控制或數據包而發回的ACK包。對于下面的表五中的規則1,在源主機欄中填入199.245.180.0,在目標主機端口號欄中填入25,其它欄中都填入星號,在動作欄中填入允許.整個規則的意義為:允許所有從網絡199.245.180.0任意端口發起的任意目標主機端口號為25的連接(其中199.245.180.0是一個C類網絡地址,主機號字段為0表示網絡上任意一臺主機).基于以上的討論,修改后的包過濾規則如表五中所示.表

五

SMTP的包過濾規則規則 動作

源主機

源端

目標主機

遠地

TCP標識

說明

序號

口號

端口號

/IP選項 Allow 199.245.180.0 *

*

Allow packet

from Network

199.245.180.02 Allow

*

199.245.180.0 *

TCP ACK Allow return

acknowledgement

對于表五中的規則2,在源端口號欄中填入25,在目標主機欄中填入199.245.180.0,在TCP標志和IP選項欄中填入TCP ACK,其它欄中都填入星號,在動作欄中填入允許.整個規則的意義為:允許所有從任何外部網絡主機上源端口號25發起的到任意本地主機(在網絡199.245.180.0上)任意端口號的TCP ACK標志置位的連接.表五中的兩條過濾規則合并起來的效果是:允許網絡199.245.180上的任意主機同任何外部網絡主機的SMTP端口建立連接.由于包過濾器只工作在OSI模型的第二和第三層(數據層和網絡層).它無法絕對保證返回的TCP確認幀中是否屬于同一個連接.在實際應用中,這個策略運行得很好,因為TCP維護連接兩側的狀態信息,它們知道將要發送或接收的序號和確認信息.同時,一些上層應用服務,例如TELNET ,SMTP 和FTP等,只能接受遵循應用層協議規則的包,想要偽造包含正確應答信息的包是非常困難的.如想要使安全程度更高,可考慮和應用層網關一起使用(下節將會討論).羅羅嗦嗦說了一大通,可以綜述為下面兩點:包過濾路由器的優點:

絕大多數Internet 防火墻系統只用一個包過濾路由器.與設計過濾器和匹配Router不同的是,執行PACKET FILTER 所用的時間很少或幾乎不需要什么時間.因為Internet 訪問一般被提供給一個WAN接口.如果通信負載適中且定義的過濾很少的話,則對Router性能沒有多大影響.最后一點,包過濾路由器對終端用戶和應用程序是透明的,因此不需要專門的用戶培訓或在每主機上設置特別的軟件.包過濾路由器的局限性:

定義包過濾器可能是一項復雜的工作,因為網管員需要詳細地了解Internet 各種服務、包頭格式和他們在希望每個域查找的特定的值。如果必須支持復雜的過濾要求的，則過濾規則集可能會變得很長和很復雜，從而很難管理。存在幾種自動測試軟件，被配置到Router上后即可校驗過濾規則。這可能對未檢測到的易損部件開放了一個地點。一般來說，一個路由器和信息包吞吐量隨過濾器數量的增加而減少。Router 被優化用來從每個包中提取目的IP地址、查找一個相對簡單的路由表，而后將信息包順向運行到適當轉發接口。如果過濾可執行，Router還必須對每個包執行所有過濾規則。這可能消耗CPU的資源，并影響一個完全飽和的系統性能。

3.4 應用網關

為了克服與包過濾路由器相關聯的某些弱點,防火墻需要使用應用軟件來轉發和過濾Telnet和Ftp等服務的連接。這樣一種應用叫做代理服務，而運行代理服務軟件的主系統叫做應用網關。應用網關和包過濾路由器可以組合在一起使用，以獲得高于單獨使用的安全性和靈活性。作為一個例子，請考慮一個用包過濾路由器封鎖所有輸入Telnet 和Ftp 連接的網點。路由器允許Telnet和Ftp包只通過一個主系統，即Telnet/Ftp應用網關，然后再連接到目的主系統，過程如下：

1.用戶首先把Telnet連接到應用網關，并輸入內部主系統的名字；

2.網關檢驗用戶的源IP地址，并根據任何合適的訪問準則接受或拒絕；

3.用戶可能需要證明自己的身份（可使用一次性口令裝置）；

4.代理服務軟件在網關和內部主系統之間建立Telnet連接；

5.于是，代理服務軟件在兩個連接之間傳送數據；

6.應用網關記錄連接情況。這一例子指出了使用代理服務軟件的幾個好處。第一，代理服務軟件只允許有代理的服務通過。換句話說，如果應用網關包含Telnet和Ftp的代理軟件，則只有Ftp和Telnet被允許進入受保護的子網，而其它所有服務都完全被封鎖住。對有些網點來說，這種程度的安全性是很重要的，因為它保證，只有那些被認為“可信賴的”服務才被允許通過防火墻。它還防止其他不可靠的服務不會背著防火墻管理人員實施。使用代理服務的另一好處是可以過濾協議。例如，有些防火墻可以過濾FTP連接，并拒絕使用FTP 協議中的 put 命令。如果人們要保證用戶不能寫到匿名FTP服務器軟件，則這一點是很有用的。應用網關有三種基本的原型，分別適用于不同的網絡規模。

* 雙穴主機網關（Dual-Homed Gateway）

* 屏蔽主機網關（Screened Host Gateway)

* 屏蔽子網網關（Screened Subnet Gateway）這三種原型有一個共同的特點，就是都需要一臺主機（如上面所述一樣）,通常稱為橋頭堡主機(Bastion Host)。該主機充當應用程序轉發者、通信登記者以及服務提供者的角色。因此，保護該主機的安全性是至關重要的，建立防火墻時，應將較多的注意力放在該主機上。

* 雙穴主機網關該原型的結構如下圖所示。其中，橋頭堡主機充當網關，因此，需要在此主機中裝兩塊網卡，并在其上運行防火墻軟件。受保護網與Internet之間不能直接進行通信，必須經過橋頭堡主機，因此，不必顯示地列出受保護網與不受保護網之間的路由，從而達到受保護網除了看到橋頭堡主機之外，不能看到其他任何系統的效果。同時，橋頭堡主機不轉發TCP/IP包，網絡中的所有服務都必須由此主機的相應代理程序支持。

由于雙穴主機網關容易安裝，所需的硬件設備也較少，且容易驗證其正確性，因此，這是一種使用較多的紡火墻。雙穴主機網關最致命的弱點是:一旦防火墻被破壞，橋頭堡主機實際上就變成了一臺沒有尋徑功能的路由器，一個有經驗的攻擊者就能使它尋徑，從而使受保護網完全開放并受到攻擊。例如，在基于Unix的雙穴主機網關中，通常是先修改一個名叫IPforwarding的內核變量，來禁止橋頭堡主機的尋徑能力，非法攻擊者只要能獲得網關上的系統特權，就能修改此變量，使橋頭堡主機恢復尋徑能力，以進行攻擊。

* 屏蔽主機網關

該原型的結構如下圖所示。其中，橋頭堡主機在受保護網中，將帶有包屏蔽功能的路由器置于保護網和Internet之間，它不允許Internet對保護網的直接訪問，只允許對受保護網中橋頭堡主機的訪問。與雙穴網關類似，橋頭堡主機運行防火墻軟件。屏蔽主機網關是一種很靈活的防火墻，它可以有選擇地允許那些值得信任的應用程序通過路由器。但它不像雙穴網關，只需注意橋頭堡主機的安全性即可，它必須考慮兩方面的安全性，即橋頭堡主機和路由器。如果路由器中的訪問控制列表允許某些服務能夠通過路由器，則防火墻管理員不僅要管理橋頭堡主機中的訪問控制表，還要管理路由器中的訪問控制列表，并使它們互相協調。當路由器允許通過的服務數量逐漸增多時，驗證防火墻的正確性就會變得越來越困難。* 屏蔽子網網關該原型的結構如下圖所示。其中，一個小型的獨立網絡放在受保護網與Internet之間，對這個網絡的訪問受到路由器中屏蔽規則的保護。因此，屏蔽子網中的主機是唯一一個受保護網和Internet都能訪問到的系統。從理論上來說，這也是一種雙穴網關的方法，只是將其應用到了網絡上。防火墻被破壞后，它會出現與雙穴主機網關同樣的問題。不同的是，在雙穴主機網關中只需配置橋頭堡主機的尋徑功能，而在屏蔽子網網關中則需配置三個網絡（受保護網、屏蔽子網和Internet）之間的尋徑功能，即先要闖入橋頭堡主機，再進入受保護網中的某臺主機，然后返回包屏蔽路由器，分別進行配置。這對攻擊者來說顯然是極其困難的。另外，由于Internet很難直接與受保護網進行通信，因此，防火墻管理員不需指出受保護網到Internet之間的路由。這對于保護大型網絡來說是一種很好的方法。應用網關的一個缺點是，就Telnet 等客戶機--服務器協議來說，需要采取兩個步驟來連接輸入信息或輸出信息。有些應用網關需要經過修改的客戶機，這一點既可看作是缺點，也可看作是優點，視修改的客戶機是否更加容易使用防火墻而定。Telnet應用網關不一定需要經過修改的Telnet客戶機，但是，它需要修改用戶行為：用戶必須連接到防火墻(但不記錄)，而不是直接連接到主系統。但是，經過修改的Telnet客戶機可以使防火墻透明，因為它允許用戶用Telnet命令規定目的系統(不是防火墻)。防火墻起著通向目的系統通道的作用，從而攔截連接，再按需完成其他步驟，如查詢一次性口令。用戶行為仍然是相同的，但其代價是每個系統需要一個經過修改的客戶機。除了Telnet 外，應用網關一般用于Ftp 和電子郵件，同時也用于XWindows和其他某些服務。有些Ftp應用網關包括拒絕特定主系統的put 和get 命令的能力。例如，一個已同內部系統(如匿名Ftp服務器)建立Ftp對話(通過Ftp應用網關)的外部用戶，可能試圖把文件上裝到服務器。應用網關可以過濾Ftp協議,并拒絕把所有puts命令發送給匿名Ftp服務器；這將保證沒有文件能上裝到服務器，而且所提供的確信程度要高于只依賴由設置正確的匿名Ftp服務器進行的文件許可。電子郵件應用網關可集中收集電子郵件，并把它分發給內部主系統和用戶。對外部用戶來說，所有內部用戶都擁有電子郵件地址，其格式為：user@emailhost 其中,emailhost是電子郵件網關的名字。網關會接受外部用戶的郵件，然后按需把郵件轉發到其他內部系統。從內部系統發送電子郵件的用戶可以從其主系統直接發送電子郵件，否則在內部系統名字只有受保護的子網知道的情況下，郵件會發送給應用網關，然后應用網關著把郵件轉發給目的主系統。有些電子郵件網關使用更加安全的sendmail程序版本來接收電子郵件

第二篇：防火墻論文

防火墻技術論文

姓 名：王田輝 學 號：2012110438 專 業：網絡工程

摘要

本文介紹了防火墻的概念、分類、發展歷程、工作原理、主要技術及相關的特性。防火墻是一種訪問控制技術，它通過在某個機構的網絡和不安全的網絡之間設置障礙，阻止信息資源的非法訪問。說明了網絡常見攻擊方式以及防火墻應對策略。分析了防火墻技術在Internet安全上的重要作用，并提出其不足之處 和解決方案。最后展望了防火墻的反戰前景以及技術方向。

關鍵字：防火墻；網絡；網絡安全；功能；Internet；

Abstract The paper introduces the concept, classification and firewall development course, working principle and main technology and related properties.A firewall is a kind of access control technology, it is through the network and in some institutions unsafe network between obstacles, stop the illegal access to information resources.Explain the network attack mode and common firewall strategies.Analysis on the Internet security firewall technology was proposed, and the important role of the deficiencies and solutions.Finally discussed the prospect and the anti-war firewall technology trends.Key words: firewall, Network, Network security, Function, Internet，目錄

一、防火墻是什么.........................................1

二、防火墻的分類.........................................1

三、防火墻的發展歷程.....................................1

四、防火墻的工作原理.....................................2

五、防火墻應該具備的特性.................................2

六、防火墻主要技術.......................................2

七、常見攻擊方式以及應對策略.............................3

八、防火墻的反戰前景以及技術方向.........................3

九、結束語...............................................4

十、參考文獻.............................................4 現在無論是企業，還是個人，隨著計算機的應用由單機發展到網絡，網絡面臨著大量的安全威脅，其安全問題日益嚴重，日益成為廣泛關注的焦點。在這樣一個大環境下，網絡安全問題凝了人們的注意力，大大小小的企業紛紛為自己的內部網絡“筑墻”，防病毒與防黑客成為確保企業信息系統安全的基本手段。因此信息安全，網絡安全的問題已經引起各國，各部門，各行各業以及每個計算機用戶的充分重視。

一、防火墻是什么

防火墻就是一個位于計算機和它所連接的網絡之間的軟件。該計算機流入流出的所有網絡通信均要經過此防火墻。

二、防火墻的分類

防火墻又大致分為硬件防火墻和軟件防火墻:硬件防火墻是指把防火墻程序做到芯片里面，由硬件執行這些功能，能減少CPU的負擔，使路由更穩定。硬件防火墻一般都有WAN、LAN和DMZ三個端口，還具有各種安全功能，價格比較高，企業以及大型網絡使用得比較多。軟件防火墻其實就是安全防護軟件，比如天網防火墻、金山網鏢、藍盾防火墻等等。

三、防火墻的發展歷程

目前的防火墻無論從技術上還是產品發展歷程上，都經歷了五個發展階段。第一代防火墻技術幾乎與路由器同時出現，采用了包過濾技術。1989年，貝爾實驗室的Dave Presotto和Howard Trickey推出了第二代防火墻，即電路層防火墻，同時提出了第三代防火墻——應用層防火墻（代理防火墻）的初步結構。第四代防火墻是1992年，USC信息科學院的BobBraden開發出了基于動態包過濾技術的第四代防火墻，后來演變為目前所說的狀態監視技術。1994年，以色列的CheckPoint公司開發出了第一個采用這種技術的商業化的產品。第五代防火墻是1998年，NAI公司推出了一種自適應代理技術，并在其產品Gauntlet Firewall for NT中得以實現，給代理類型的防火墻賦予了全新的意義。高級應用代理的研究，克服速度和安全性之間的矛盾，可以稱之為第五代防火墻。前五代防火墻技術有一個共同的特點，就是采用逐一匹配方法，計算量太大。包過濾是對IP包進行匹配檢查，狀態檢測包過濾除了對包進行匹配檢查外還要對狀態信息進行匹配檢查，應用代理對應用協議和應用數據進行匹配檢查。因此，它們都有一個共同的缺陷，安全性越高，檢查的越多，效率越低。用一個定律來描述，就是防火墻的安全性與效率成反比。

四、防火墻的工作原理

天下的防火墻至少都會說兩個詞：Yes或者No。直接說就是接受或者拒絕。最簡單的防火墻是以太網橋。但幾乎沒有人會認為這種原始防火墻能管多大用。大多數防火墻采用的技術和標準可謂五花八門。這些防火墻的形式多種多樣：有的取代系統上已經裝備的TCP/IP協議棧；有的在已有的協議棧上建立自己的軟件模塊；有的干脆就是獨立的一套操作系統。還有一些應用型的防火墻只對特定類型的網絡連接提供保護（比如SMTP或者HTTP協議等）。還有一些基于硬件的防火墻產品其實應該歸入安全路由器一類。以上的產品都可以叫做防火墻，因為他們的工作方式都是一樣的：分析出入防火墻的數據包，決定放行還是把他們扔到一邊。所有的防火墻都具有IP地址過濾功能。這項任務要檢查IP包頭，根據其IP源地址和目標地址作出放行/丟棄決定。

五、防火墻應該具備的特性

當前的防火墻需要具備如下的技術、功能、特性，才可以成為企業用戶歡迎的防火墻產品：

1、安全、成熟、國際領先的特性；

2、具有專有的硬件平臺和操作系統平臺；

3、采用高性能的全狀態檢測（Stateful Inspection）技術；

4、具有優異的管理功能，提供優異的GUI管理界面；

5、支持多種用戶認證類型和多種認證機制；

6、需要支持用戶分組，并支持分組認證和授權；

7、支持內容過濾；

8、支持動態和靜態地址翻譯(NAT；

9、支持高可用性，單臺防火墻的故障不能影響系統的正常運行；

10、支持本地管理和遠程管理；

11、支持日志管理和對日志的統計分析；

12、實時告警功能，在不影響性能的情況下，支持較大數量的連接數；

13、在保持足夠的性能指標的前提下，能夠提供盡量豐富的功能；

14、可以劃分很多不同安全級別的區域，相同安全級別可控制是否相互通訊；

15、支持在線升級；

16、支持虛擬防火墻及對虛擬防火墻的資源限制等功能；

17、防火墻能夠與入侵檢測系統互動。

六、防火墻主要技術

先進的防火墻產品將網關與安全系統合二為一，具有以下技術：雙端口或三端口的結構；透明的訪問方式；靈活的代理系統；多級的過濾技術；網絡地址轉換技術（NAT）；Internet網關技術；安全服務器網絡（SSN）；用戶鑒別與加密；用戶定制服務；審計和告警。

七、常見攻擊方式以及應對策略

（一）病毒

策略：設定安全等級，嚴格阻止系統在未經安全檢測的情況下執行下載程序；或者通過常用的基于主機的安全方法來保護網絡。

（二）口令字

對口令字的攻擊方式有兩種：窮舉和嗅探。窮舉針對來自外部網絡的攻擊，來猜測防火墻管理的口令字。嗅探針對內部網絡的攻擊，通過監測網絡獲取主機給防火墻的口令字。

策略：設計主機與防火墻通過單獨接口通信（即專用服務器端口）、采用一次性口令或禁止直接登錄防火墻。

（三）郵件

來自于郵件的攻擊方式越來越突出，在這種攻擊中，垃圾郵件制造者將一條消息復制成成千上萬份，并按一個巨大的電子郵件地址清單發送這條信息，當不經意打開郵件時，惡意代碼即可進入。

策略：打開防火墻上的過濾功能，在內網主機上采取相應阻止措施。

（四）IP地址

黑客利用一個類似于內部網絡的IP地址，以“逃過”服務器檢測，從而進入內部網達到攻擊的目的。策略：通過打開內核rp_filter功能，丟棄所有來自網絡外部但卻有內部地址的數據包；同時將特定IP地址與MAC綁定，只有擁有相應MAC地址的用戶才能使用被綁定的IP地址進行網絡訪問。

八、防火墻的反戰前景以及技術方向

伴隨著Internet的飛速發展，防火墻技術與產品的更新步伐必然會加強，而要全面展望防火墻技術的發展幾乎是不可能的。但是，從產品及功能上，卻又可以看出一些動向和趨勢。下面諸點可能是下一步的走向和選擇：

（1)防火墻將從目前對子網或內部網管理的方式向遠程上網集中管理的方式發展。

（2)過濾深度會不斷加強，從目前的地址、服務過濾，發展到URL(頁面)過濾、關鍵字過濾和對ActiveX、Java等的過濾，并逐漸有病毒掃描功能。

（3)利用防火墻建立專用網是較長一段時間用戶使用的主流，IP的加密需求越來越強，安全協議的開發是一大熱點。

（4)單向防火墻(又叫做網絡二極管)將作為一種產品門類而出現。（5)對網絡攻擊的檢測和各種告警將成為防火墻的重要功能。（6)安全管理工具不斷完善，特別是可以活動的日志分析工具等將成為防火墻產品中的一部分。 另外值得一提的是，伴隨著防火墻技術的不斷發展，人們選擇防火墻的標準將主要集中在易于管理、應用透明性、鑒別與加密功能、操作環境和硬件要求、VPN 的功能與CA的功能、接口的數量、成本等幾個方面。幾乎所有接觸網絡的人都知道網絡中有一些費盡心機闖入他人計算機系統的人，他們利用各種網絡和系統的漏洞，非法獲得未授權的訪問信息。不幸的是如今攻擊網絡系統和竊取信息已經不需要什么高深的技巧。網絡中有大量的攻擊工具和攻擊文章等資源，可以任意使用和共享。不需要去了解那些攻擊程序是如何運行的，只需要簡單的執行就可以給網絡造成巨大的威脅。甚至部分程序不需要人為的參與，非常智能化的掃描和破壞整個網絡。這種情況使得近幾年的攻擊頻率和密度顯著增長，給網絡安全帶來越來越多的安全隱患

九、結束語

隨著Internet/Intranet技術的飛速發展，網絡安全問題必將愈來愈引起人們的重視。防火墻技術作為目前用來實現網絡安全措施的一種主要手段，它主要是用來拒絕未經授權用戶的訪問，阻止未經授權用戶存取敏感數據，同時允許合法用戶不受妨礙的訪問網絡資源。如果使用得當，可以在很大程度上提高網絡安全。但是沒有一種技術可以百分之百地解決網絡上的所有問題，比如防火墻雖然能對來自外部網絡的攻擊進行有效的保護，但對于來自網絡內部的攻擊卻無能為力。事實上60%以上的網絡安全問題來自網絡內部。因此網絡安全單靠防火墻是不夠的，還需要有其它技術和非技術因素的考慮，如信息加密技術、身份驗證技術、制定網絡法規、提高網絡管理人員的安全意識等等。

十、參考文獻

[1] 作者：彭濤.《計算機網絡教程 》 機械工業出版社 [2] 作者：IBON.Marshield 《網絡安全技術白皮書》 艾邦公司資料

[3] 作者：楚狂 等 《網絡安全與Firewall技術》 人民郵電出版社 [4] 作者：聶元銘 丘平《網絡信息安全技術》 科學出版社

第三篇：防火墻論文

河北大學人民武裝學院

河北大學人民武裝學院2015屆畢業論文

防火墻安全技術

河北大學人民武裝學院

中 隊：三十一中隊

專 業：計算機網絡技術

班

級：四班

姓 名：馬偉韜

防火墻安全技術

摘 要

隨著計算機網絡的發展，上網的人數不斷地增大，網上的資源也不斷地增加，網絡的開放性、共享性、互連程度也隨著擴大，所以網絡的安全問題也是現在注重考慮的問題。本文介紹網絡安全可行的解決方案——防火墻技術，防火墻技術是近年來發展起來的一種保護計算機網絡安全的技術性措施，它實際上是一種訪問控制技術，在某個機構的網絡和不安全的網絡之間設置障礙，阻止對信息資源的非法訪問, 也可以使用它阻止保密信息從受保護網絡上被非法輸出。

關鍵詞：防火墻

網絡安全

包過濾

狀態監視

應用代理

河北大學人民武裝學院

河北大學人民武裝學院

目 錄

引

言..............................................................................................5

一、防火墻的概念..............................................................................6

二、防火墻的分類..............................................................................7

三、防火墻技術................................................................................10

四、技術展望....................................................................................13 結

論...............................................................................................14 謝

辭............................................................................................15 參考文獻............................................................................................16

河北大學人民武裝學院

引

言

隨著科學技術的快速發展，網絡技術的不斷發展和完善，在當今信息化的社會中，我們生活和工作中的許多數據、資源與信息都通過計算機系統來存儲和處理，伴隨著網絡應用的發展，這些信息都通過網絡來傳送、接收和處理，所以計算機網絡在社會生活中的作用越來越大。為了維護計算機網絡的安全，人們提出了許多手段和方法，采用防火墻是其中最主要、最核心、最有效的手段之一。防火墻是網絡安全政策的有機組成部分，它通過控制和監測網絡之間的信息交換和訪問行為來實施對網絡安全的有效管理。

河北大學人民武裝學院

一、防火墻的概念

近年來，隨著普通計算機用戶群的日益增長，“防火墻”一詞已經不再是服務器領域的專署，大部分家庭用戶都知道為自己愛機安裝各種“防火墻”軟件了。但是，并不是所有用戶都對“防火墻”有所了解的，一部分用戶甚至認為，“防火墻”是一種軟件的名稱。

到底什么才是防火墻？它工作在什么位置，起著什么作用？查閱歷史書籍可知，古代構筑和使用木制結構房屋的時候為防止火災的發生和蔓延，人們將堅固的石塊堆砌在房屋周圍作為屏障，這種防護構筑物就被稱為“防火墻”（firewall）。時光飛梭，隨著計算機和網絡的發展，各種攻擊入侵手段也相繼出現了，為了保護計算機的安全，人們開發出一種能阻止計算機之間直接通信的技術，并沿用了古代類似這個功能的名字——“防火墻”技術來源于此。用專業術語來說，防火墻是一種位于兩個或多個網絡間，實施網絡之間訪問控制的組件集合。對于普通用戶來說，所謂“防火墻”，指的就是一種被放置在自己的計算機與外界網絡之間的防御系統，從網絡發往計算機的所有數據都要經過它的判斷處理后，才會決定能不能把這些數據交給計算機，一旦發現有害數據，防火墻就會攔截下來，實現了對計算機的保護功能。

防火墻技術從誕生開始，就在一刻不停的發展著，各種不同結構不同功能的防火墻，構筑成網絡上的一道道防御大堤。

河北大學人民武裝學院

二、防火墻的分類

世界上沒有一種事物是唯一的，防火墻也一樣，為了更有效率的對付網絡上各種不同攻擊手段，防火墻也派分出幾種防御架構。根據物理特性，防火墻分為兩大類，硬件防火墻和軟件防火墻。軟件防火墻是一種安裝在負責內外網絡轉換的網關服務器或者獨立的個人計算機上的特殊程序，它是以邏輯形式存在的，防火墻程序跟隨系統啟動，通過運行在ring0級別的特殊驅動模塊把防御機制插入系統關于網絡的處理部分和網絡接口設備驅動之間，形成一種邏輯上的防御體系。

在沒有軟件防火墻之前，系統和網絡接口設備之間的通道是直接的，網絡接口設備通過網絡驅動程序接口（network driver interface specification，ndis）把網絡上傳來的各種報文都忠實的交給系統處理，例如一臺計算機接收到請求列出機器上所有共享資源的數據報文，ndis直接把這個報文提交給系統，系統在處理后就會返回相應數據，在某些情況下就會造成信息泄漏。而使用軟件防火墻后，盡管ndis接收到仍然的是原封不動的數據報文，但是在提交到系統的通道上多了一層防御機制，所有數據報文都要經過這層機制根據一定的規則判斷處理，只有它認為安全的數據才能到達系統，其他數據則被丟棄。因為有規則提到“列出共享資源的行為是危險的”，因此在防火墻的判斷下，這個報文會被丟棄，這樣一來，系統接收不到報文，則認為什么事情也沒發生過，也就不會把信息泄漏出去了。

軟件防火墻工作于系統接口與ndis之間，用于檢查過濾由ndis發送過來的數據，在無需改動硬件的前提下便能實現一定強度的安全保障，但是由于軟件防火墻自身屬于運行于系統上的程序，不可避免的需要占用一部分cpu資源維持工作，而且由于數據判斷處理需要一定的時間，在一些數據流量大的網絡里，軟件防火墻會使整個系統工作效率和數據吞吐速度下降，甚至有些軟件防火墻會存在漏洞，導致有害數據可以繞過它的防御體系，給數據安全帶來損失，因此，許多企業并不會考慮用軟件防火墻方案作為公司網絡的防御措施，而是使用看得見摸得著的硬件防火墻。

硬件防火墻是一種以物理形式存在的專用設備，通常架設于兩個網絡的駁接處，直接從網絡設備上檢查過濾有害的數據報文，位于防火墻設備后端的網絡或者服務器接收到的是經過防火墻處理的相對安全的數據，不必另外分出cpu資源去進行基于軟件架構的ndis數據檢測，可以大大提高工作效率。

硬件防火墻一般是通過網線連接于外部網絡接口與內部服務器或企業網絡之間的設備，這里又另外派分出兩種結構，一種是普通硬件級別防火墻，它擁有標準計算機的硬件平臺和一些功能經過簡化處理的unix系列操作系統和防火墻軟件，這種防火墻措施相當于專門拿出一臺計算機安裝了軟件防火墻，除了不需要處理其他事務以外，它畢竟還是一般的操作系統，因此有可能會存在漏洞和不穩定因

河北大學人民武裝學院

素，安全性并不能做到最好；另一種是所謂的“芯片”級硬件防火墻，它采用專門設計的硬件平臺，在上面搭建的軟件也是專門開發的，并非流行的操作系統，因而可以達到較好的安全性能保障。但無論是哪種硬件防火墻，管理員都可以通過計算機連接上去設置工作參數。由于硬件防火墻的主要作用是把傳入的數據報文進行過濾處理后轉發到位于防火墻后面的網絡中，因此它自身的硬件規格也是分檔次的，盡管硬件防火墻已經足以實現比較高的信息處理效率，但是在一些對數據吞吐量要求很高的網絡里，檔次低的防火墻仍然會形成瓶頸，所以對于一些大企業而言，芯片級的硬件防火墻才是他們的首選。

有人也許會這么想，既然pc架構的防火墻也不過如此，那么購買這種防火墻還不如自己找技術人員專門騰出一臺計算機來做防火墻方案了。雖然這樣做也是可以的，但是工作效率并不能和真正的pc架構防火墻相比，因為pc架構防火墻采用的是專門修改簡化過的系統和相應防火墻程序，比一般計算機系統和軟件防火墻更高度緊密集合，而且由于它的工作性質決定了它要具備非常高的穩定性、實用性和非常高的系統吞吐性能，這些要求并不是安裝了多網卡的計算機就能簡單替代的，因此pc架構防火墻雖然是與計算機差不多的配置，價格卻相差很大。

現實中我們往往會發現，并非所有企業都架設了芯片級硬件防火墻，而是用pc架構防火墻甚至前面提到的計算機替代方案支撐著，為什么？這大概就是硬件防火墻最顯著的缺點了：它太貴了！購進一臺pc架構防火墻的成本至少都要幾千元，高檔次的芯片級防火墻方案更是在十萬元以上，這些價格并非是小企業所能承受的，而且對于一般家庭用戶而言，自己的數據和系統安全也無需專門用到一個硬件設備去保護，何況為一臺防火墻投入的資金足以讓用戶購買更高檔的電腦了，因而廣大用戶只要安裝一種好用的軟件防火墻就夠了。

為防火墻分類的方法很多，除了從形式上把它分為軟件防火墻和硬件防火墻以外，還可以從技術上分為“包過濾型”、“應用代理型”和“狀態監視”三類；從結構上又分為單一主機防火墻、路由集成式防火墻和分布式防火墻三種；按工作位置分為邊界防火墻、個人防火墻和混合防火墻；按防火墻性能分為百兆級防火墻和千兆級防火墻兩類??雖然看似種類繁多，但這只是因為業界分類方法不同罷了，例如一臺硬件防火墻就可能由于結構、數據吞吐量和工作位置而規劃為“百兆級狀態監視型邊界防火墻”，因此這里主要介紹的是技術方面的分類，即“包過濾型”、“應用代理型”和“狀態監視型”防火墻技術。

那么，那些所謂的“邊界防火墻”、“單一主機防火墻”又是什么概念呢？所謂“邊界”，就是指兩個網絡之間的接口處，工作于此的防火墻就被稱為“邊界防火墻”；與之相對的有“個人防火墻”，它們通常是基于軟件的防火墻，只處理一臺計算機的數據而不是整個網絡的數據，現在一般家庭用戶使用的軟件防火墻就是這個分類了。而“單一主機防火墻”呢，就是我們最常見的一臺臺硬件防火墻

河北大學人民武裝學院

了；一些廠商為了節約成本，直接把防火墻功能嵌進路由設備里，就形成了路由集成式防火墻。

河北大學人民武裝學院

三、防火墻技術

傳統意義上的防火墻技術分為三大類。

1.“包過濾”（packet filtering）、據都在于過濾規則的實施，但是偏又不能滿足建立精細規則的要求（規則數量和防火墻性能成反比），而且它只能工作于網絡層和傳輸層，并不能判斷高級協議里的數據是否有害，但是由于它廉價，容易實現，所以它依然服役在各種領域，在技術人員頻繁的設置下為我們工作著。

2.應用代理技術

由于包過濾技術無法提供完善的數據保護措施，而且一些特殊的報文攻擊僅僅使用過濾的方法并不能消除危害（如syn攻擊、icmp洪水等），因此人們需要一種更全面的防火墻保護技術，在這樣的需求背景下，采用“應用代理”（application proxy）技術的防火墻誕生了。我們的讀者還記得“代理”的概念嗎？代理服務器作為一個為用戶保密或者突破訪問限制的數據轉發通道，在網絡上應用廣泛。我們都知道，一個完整的代理設備包含一個服務端和客戶端，服務端接收來自用戶的請求，調用自身的客戶端模擬一個基于用戶請求的連接到目標服務器，再把目標服務器返回的數據轉發給用戶，完成一次代理工作過程。那么，如果在一臺代理設備的服務端和客戶端之間連接一個過濾措施呢？這樣的思想便造就了“應用代理”防火墻，這種防火墻實際上就是一臺小型的帶有數據檢測過濾功能的透明代理服務器（transparent proxy），但是它并不是單純的在一個代理設備中嵌入包過濾技術，而是一種被稱為“應用協議分析”（application protocol analysis）的新技術。

“應用協議分析”技術工作在osi模型的最高層——應用層上，在這一層里能接觸到的所有數據都是最終形式，也就是說，防火墻“看到”的數據和我們看到的是一樣的，而不是一個個帶著地址端口協議等原始內容的數據包，因而它可以實現更高級的數據檢測過程。整個代理防火墻把自身映射為一條透明線路，在用戶方面和外界線路看來，它們之間的連接并沒有任何阻礙，但是這個連接的數據收發實際上是經過了代理防火墻轉向的，當外界數據進入代理防火墻的客戶端時，“應用協議分析”模塊便根據應用層協議處理這個數據，通過預置的處理規則（沒錯，又是規則，防火墻離不開規則）查詢這個數據是否帶有危害，由于這一層面對的已經不再是組合有限的報文協議，甚至可以識別類似于“get /sql.asp?id=1 and 1”的數據內容，所以防火墻不僅能根據數據層提供的信息判斷數據，更能像管理員分析服務器日志那樣“看”內容辨危害。而且由于工作在應用層，防火墻還可以實現雙向限制，在過濾外部網絡有害數據的同時也監控著內部網絡的信息，管理員可以配置防火墻實現一個身份驗證和連接時限的

河北大學人民武裝學院

功能，進一步防止內部網絡信息泄漏的隱患。最后，由于代理防火墻采取是代理機制進行工作，內外部網絡之間的通信都需先經過代理服務器審核，通過后再由代理服務器連接，根本沒有給分隔在內外部網絡兩邊的計算機直接會話的機會，可以避免入侵者使用“數據驅動”攻擊方式（一種能通過包過濾技術防火墻規則的數據報文，但是當它進入計算機處理后，卻變成能夠修改系統設置和用戶數據的惡意代碼）滲透內部網絡，可以說，“應用代理”是比包過濾技術更完善的防火墻技術。

但是，似乎任何東西都不可能逃避“墨菲定律”的規則，代理型防火墻的結構特征偏偏正是它的最大缺點，由于它是基于代理技術的，通過防火墻的每個連接都必須建立在為之創建的代理程序進程上，而代理進程自身是要消耗一定時間的，更何況代理進程里還有一套復雜的協議分析機制在同時工作，于是數據在通過代理防火墻時就不可避免的發生數據遲滯現象，換個形象的說法，每個數據連接在經過代理防火墻時都會先被請進保安室喝杯茶搜搜身再繼續趕路，而保安的工作速度并不能很快。代理防火墻是以犧牲速度為代價換取了比包過濾防火墻更高的安全性能，在網絡吞吐量不是很大的情況下，也許用戶不會察覺到什么，然而到了數據交換頻繁的時刻，代理防火墻就成了整個網絡的瓶頸，而且一旦防火墻的硬件配置支撐不住高強度的數據流量而發生罷工，整個網絡可能就會因此癱瘓了。所以，代理防火墻的普及范圍還遠遠不及包過濾型防火墻，而在軟件防火墻方面更是幾乎沒見過類似產品了——單機并不具備代理技術所需的條件，所以就目前整個龐大的軟件防火墻市場來說，代理防火墻很難有立足之地。

3.狀態監視技術

這是繼“包過濾”技術和“應用代理”技術后發展的防火墻技術，它是checkpoint技術公司在基于“包過濾”原理的“動態包過濾”技術發展而來的，與之類似的有其他廠商聯合發展的“深度包檢測”（deep packet inspection）技術。這種防火墻技術通過一種被稱為“狀態監視”的模塊，在不影響網絡安全正常工作的前提下采用抽取相關數據的方法對網絡通信的各個層次實行監測，并根據各種過濾規則作出安全決策。

“狀態監視”（stateful inspection）技術在保留了對每個數據包的頭部、協議、地址、端口、類型等信息進行分析的基礎上，進一步發展了“會話過濾”（session filtering）功能，在每個連接建立時，防火墻會為這個連接構造一個會話狀態，里面包含了這個連接數據包的所有信息，以后這個連接都基于這個狀態信息進行，這種檢測的高明之處是能對每個數據包的內容進行監視，一旦建立了一個會話狀態，則此后的數據傳輸都要以此會話狀態作為依據，例如一個連接的數據包源端口是8000，那么在以后的數據傳輸過程里防火墻都會審核這個包的源端口還是不是8000，否則這個數據包就被攔截，而且會話狀態的保留是有時間

河北大學人民武裝學院

限制的，在超時的范圍內如果沒有再進行數據傳輸，這個會話狀態就會被丟棄。狀態監視可以對包內容進行分析，從而擺脫了傳統防火墻僅局限于幾個包頭部信息的檢測弱點，而且這種防火墻不必開放過多端口，進一步杜絕了可能因為開放端口過多而帶來的安全隱患。

由于狀態監視技術相當于結合了包過濾技術和應用代理技術，因此是最先進的，但是由于實現技術復雜，在實際應用中還不能做到真正的完全有效的數據安全檢測，而且在一般的計算機硬件系統上很難設計出基于此技術的完善防御措施（市面上大部分軟件防火墻使用的其實只是包過濾技術加上一點其他新特性而已）。

河北大學人民武裝學院

四、技術展望

在混合攻擊肆虐的時代，單一功能的防火墻遠不能滿足業務的需要，而具備多種安全功能，基于應用協議層防御、低誤報率檢測、高可靠高性能平臺和統一組件化管理的技術，優勢將得到越來越多的體現，UTM（UnifiedThreatManagement，統一威脅管理）技術應運而生。

從概念的定義上看，UTM既提出了具體產品的形態，又涵蓋了更加深遠的邏輯范疇。從定義的前半部分來看，很多廠商提出的多功能安全網關、綜合安全網關、一體化安全設備都符合UTM的概念；而從后半部分來看，UTM的概念還體現了經過多年發展之后，信息安全行業對安全管理的深刻理解以及對安全產品可用性、聯動能力的深入研究。

由于UTM設備是串聯接入的安全設備，因此UTM設備本身必須具備良好的性能和高可靠性，同時，UTM在統一的產品管理平臺下，集防火墻、VPN、網關防病毒、IPS、拒絕服務攻擊等眾多產品功能于一體，實現了多種防御功能，因此，向UTM方向演進將是防火墻的發展趨勢。UTM設備應具備以下特點。

（1）網絡安全協議層防御。防火墻作為簡單的第二到第四層的防護，主要針對像IP、端口等靜態的信息進行防護和控制，但是真正的安全不能只停留在底層，我們需要構建一個更高、更強、更可靠的墻，除了傳統的訪問控制之外，還需要對垃圾郵件、拒絕服務、黑客攻擊等外部威脅起到綜合檢測和治理的作用，實現七層協議的保護，而不僅限于第二到第四層。

（2）通過分類檢測技術降低誤報率。串聯接入的網關設備一旦誤報過高，將會對用戶帶來災難性的后果。IPS理念在20世紀90年代就已經被提出，但是目前全世界對IPS的部署非常有限，影響其部署的一個重要問題就是誤報率。分類檢測技術可以大幅度降低誤報率，針對不同的攻擊，采取不同的檢測技術，比如防拒絕服務攻擊、防蠕蟲和黑客攻擊、防垃圾郵件攻擊等，從而顯著降低誤報率。

（3）有高可靠性、高性能的硬件平臺支撐。

（4）一體化的統一管理。由于UTM設備集多種功能于一身，因此，它必須具有能夠統一控制和管理的平臺，使用戶能夠有效地管理。這樣，設備平臺可以實現標準化并具有可擴展性，用戶可在統一的平臺上進行組件管理，同時，一體化管理也能消除信息產品之間由于無法溝通而帶來的信息孤島，從而在應對各種各樣攻擊威脅的時候，能夠更好地保障用戶的網絡安全。

河北大學人民武裝學院

結

論

隨著Internet/Intranet技術的飛速發展，網絡安全問題必將愈來愈引起人們的重視。防火墻技術作為目前用來實現網絡安全措施的一種主要手段，它主要是用來拒絕未經授權用戶的訪問，阻止未經授權用戶存取敏感數據，同時允許合法用戶不受妨礙的訪問網絡資源。如果使用得當，可以在很大程度上提高網絡安全。但是沒有一種技術可以百分之百地解決網絡上的所有問題，比如防火墻雖然能對來自外部網絡的攻擊進行有效的保護，但對于來自網絡內部的攻擊卻無能為力。事實上60%以上的網絡安全問題來自網絡內部。因此網絡安全單靠防火墻是不夠的，還需要有其它技術和非技術因素的考慮，如信息加密技術、身份驗證技術、制定網絡法規、提高網絡管理人員的安全意識等等。

河北大學人民武裝學院

謝

辭

在此我要感謝我的專業老師，是你的細心指導和關懷，使我能夠順利的完成畢業論文。在我的學業和論文的研究工作中無不傾注著老師辛勤的汗水和心血。老師的嚴謹治學態度、淵博的知識、無私的奉獻精神使我深受啟迪。從尊敬的老師身上，我不僅學到了扎實、寬廣的專業知識，也學到了做人的道理。在此我要向我的老師致以最衷心的感謝和深深的敬意。

河北大學人民武裝學院

參考文獻

[1] 楊峰,張浩軍.信息戰與計算機網絡攻防.北京市：北京郵電大學出版

社，2011年，115~134頁。

[2] 賀雪晨.黑客入侵分析與防范.北京市：清華大學出版社，2012年，58

頁。

[3] 伍俊良.計算機網絡安全與對抗.北京市：清華大學出版社,2013年，98~105頁。

[4] 王淑紅.網絡安全.北京市：機械工業出版社,2012年，57~89頁。

第四篇：防火墻知識點

第一章

1.防火墻定義：防火墻是位于兩個（或多個）網絡之間，實施訪問控制策略的一個或一組組件的集合。（或者防火墻是設置在本地計算機或內聯網絡與外聯網絡之間，保護本地網絡或內聯網絡免遭來自外部網絡的威脅和入侵的一道屏障。）

2.防火墻位置：物理位置，安裝在內聯網絡與外聯網絡的交界點上；對于個人防火墻來說，是指安裝在單臺主機硬盤上的軟件系統。

邏輯位置：防火墻與網絡協議相對應的邏輯層次關系。3.防火墻理論特性：根據信息安全理論對其提出的要求而設置的安全功能，是各種防火墻的共性作用。

防火墻從理論上講是分離器、限制器和分析器，即防火墻要實現四類控制功能： 方向控制：防火墻能夠控制特定的服務請求通過它的方向； 服務控制：防火墻可以控制用戶可以訪問的網絡服務類型； 行為控制：防火墻能夠控制使用特定服務的方式； 用戶控制：防火墻能夠控制能夠進行網絡訪問的用戶。4.防火墻規則（1）過濾規則

（2）設計原則：a.拒絕訪問一切未予特許的服務：這個原則也被稱為限制性原則，在該規則下，防火墻阻斷所有的數據流，只允許符合開放規則的數據流進出。

b.允許訪問一切未被特許拒絕的服務：該規則也被稱為連通性原則，在該規則下，防火墻只禁止符合屏蔽規則的數據流，而允許轉發其他所有數據流。5.防火墻分類

按采用的主要技術劃分：包過濾型防火墻、代理型防火墻 按具體實現劃分：（1）多重宿主主機：安放在內聯網絡和外聯網絡接口上的一臺堡壘主機，它提供最少兩個網絡接口，一個與內聯網絡連接，另一個與外聯網絡連接。

（2）篩選路由器：用一臺放置在內聯網絡與外聯網絡之間的路由器來實現。它對進出內聯網絡的所有信息進行分析，并按照一定的信息過濾規則對進出內聯網絡的信息進行限制，允許授權信息通過，拒絕非授權信息通過。

（3）屏蔽主機：由內聯網絡和外聯網絡之間的一臺過濾路由器和一臺堡壘主機構成。它強迫所有外部主機與堡壘主機相連接，而不讓他們與內部主機直接相連。

（4）屏蔽子網：它對網絡的安全保護通過兩臺包過濾路由器和在這兩個路由器之間構筑的子網來實現。6.防火墻的優點

（1）防火墻是網絡安全的屏障

（2）防火墻實現了對內網系統的訪問控制（3）部署NAT機制

（4）提供整體安全解決平臺（5）防止內部信息外泄（6）監控和審計網絡行為

（7）防火墻系統具有集中安全性

（8）在防火墻上可以很方便的監視網絡的信息流，并產生警告信息。7.防火墻的缺點（1）限制網絡服務

（2）對內部用戶防范不足（3）不能防范旁路連接（4）不適合進行病毒檢測（5）無法防范數據驅動型攻擊（6）無法防范所有威脅

（7）配置問題。防火墻管理人員在配置過濾規則時經常出錯。（8）無法防范內部人員泄露機密信息（9）速度問題

（10）單失效點問題

第二章

1.TCP/IP包頭 2.包過濾技術

（1）概念：又稱為報文過濾技術，執行邊界訪問控制功能，即對網絡通信數據進行過濾。（2）技術原理：（3）過濾對象：a.針對IP的過濾，查看每個IP數據包的包頭，將包頭數據與規則集相比較，轉發規則集允許的數據包，拒絕規則集不允許的數據包。

b.針對ICMP的過濾。阻止存在泄漏用戶網絡敏感信息的危險的ICMP數據包進出網絡；拒絕所有可能會被攻擊者利用、對用戶網絡進行破壞的ICMP數據包。

c.針對TCP的過濾，常見的為端口過濾和對標志位的過濾。d.針對UDP的過濾，要么阻塞某個端口，要么聽之任之。（4）優點：包過濾技術實現簡單、快速；

包過濾技術的實現對用戶是透明的；

包過濾技術的檢查規則相對簡單，因此操作耗時極短，執行效率非常高

（5）缺點：

包過濾技術過濾思想簡單，對信息的處理能力有限；

當過濾規則增多時，對過濾規則的維護是一個非常困難得問題； 包過濾技術控制層次較低，不能實現用戶級控制。

3.狀態檢測技術

（1）技術原理：狀態檢測技術根據連接的“狀態”進行檢查，當一個連接的初始數據報文到達執行狀態檢測的防火墻時，首先要檢查該報文是否符合安全過濾規則的規定。如果該報文與規定相符合，則將該連接的信息記錄下來并自動添加一條允許該連接通過的過濾規則，然后向目的地轉發該報文。以后凡是屬于該連接的數據防火墻一律予以放行，包括從內向外和從外向內的雙向數據流。在通信結束、釋放該連接以后，防火墻將自動刪除該連接的過濾規則。動態過濾規則存儲在連接狀態表中，并由防火墻維護。

（2）狀態：狀態根據使用的協議的不同而有不同的形式，可以根據相應協議的有限狀態機來定義，一般包括NEW ,ESTABLISHED ,RELATED ,CLOSED。（3）狀態檢測技術的優點

安全性比靜態包過濾技術高；

與靜態包過濾技術相比，提高了防火墻的性能。

（4）狀態檢測技術的缺點

主要工作在網絡層和傳輸層，對報文的數據部分檢查很少，安全性還不夠高； 檢查內容多，對防火墻的性能提出了更高的要求。

4.代理技術

（1）代理的執行分為以下兩種情況：一種情況是代理服務器監聽來自內聯網絡的服務請求；另一種情況是內部主機只接收代理服務器轉發的信息而不接收任何外部地址主機發送的信息。

（2）代理代碼：

（3）代理服務器的實現：雙宿主網關的IP路由功能被嚴格禁止，網卡間所有需要轉發的數據必須通過安裝在雙宿主網關上的代理服務器程序控制。由此實現內聯網絡的單接入點和網絡隔離。

（4）代理技術優點：

代理服務提供了高速緩存；

代理服務器屏蔽了內聯網絡，所以阻止了一切對內聯網絡的探測活動； 代理服務在應用層上建立，可以更有效的對內容進行過濾；

代理服務器禁止內聯網絡與外聯網絡的直接連接，減少了內部主機直接受到攻擊的危險；

代理服務可以提供各種身份認證手段，從而加強服務的安全性； 代理防火墻不易受IP地址欺騙的攻擊；

代理服務位于應用層，提供了詳細的日志記錄，有助于進行細致的日志分析和審計； 代理防火墻的過濾規則比包過濾防火墻的過濾規則更簡單。（5）代理技術的缺點

代理服務程序很多都是專用的，不能夠很好的適應網絡服務和協議的發展； 在訪問數據流量較大的情況下，代理技術會增加訪問的延時，影響系統的性能； 應用層網關需要用戶改變自己的行為模式，不能夠實現用戶的透明訪問； 應用層代理還不能夠支持所有的協議；

代理系統對操作系統有明顯的依賴性，必須基于某個特定的系統及其協議； 相對于包過濾技術來說，代理技術執行的速度較慢。

第三章

1.過濾路由器的實現：過濾路由器對經過它的所有數據流進行分析，按照預定義的過濾規則，也就是網絡安全策略的具體實現，對進出內聯網絡的信息進行限制。允許經過授權的信息通過，拒絕非授權的信息通過。2.過濾路由器優缺點

（1）過濾路由器優點：快速、性能高、透明、容易實現

過濾路由器是從普通路由器發展而來，繼承了普通路由器轉發速率快的優點； 購買過濾路由器比單獨購買獨立的防火墻產品具有更大的成本優勢； 過濾路由器對用戶來說是完全透明的； 過濾路由器的實現極其簡單。（2）缺點：

過濾路由器配置復雜，維護困難；

過濾路由器只針對數據包本身進行檢測，只能檢測出部分攻擊行為； 過濾路由器無法防范數據驅動式攻擊；

過濾路由器只針對到達它的數據包的各個字段進行檢測，無法確定數據包發出者的真實性；

隨著過濾規則的增加，路由器的吞吐量會下降；

過濾路由器無法對數據流進行全面的控制，不能理解特定服務的上下文和數據。2.過濾規則（1）表3—1給圖填數據

（2）由規則生成策略（協議具有雙向性，一寫就寫倆）（3）逐條匹配深入原則（填空）3.屏蔽沖突：當排在過濾規則表后面的一條規則能匹配的所有數據包也能被排在過濾規則表前面的一條過濾規則匹配的時候，后面的這條過濾規則將永遠無法得以執行，這種沖突稱為屏蔽沖突。4.堡壘主機

（1）定義：堡壘主機是一種網絡完全機制，也是安全訪問控制實施的一種基礎組件。通常情況下堡壘主機由一臺計算機擔當，并擁有兩塊或者多塊網卡分別連接各內聯網絡和外聯網絡。

（2）作用：隔離內聯網絡和外聯網絡，為內聯網絡設立一個檢查點，對所有進出內聯網絡的數據包進行過濾，集中解決內聯網絡的安全問題。（3）設計原則：

a.最小服務原則：盡可能減少堡壘主機提供的服務，對于必須設置的服務，只能授予盡可能低的權限；

b.預防原則：用戶必須加強與堡壘主機的聯系，對堡壘主機的安全情況進行持續不斷的監測，仔細分析堡壘主機的日志，及時對攻擊行為作出響應。（4）類型

a.內部堡壘主機 b.外部堡壘主機 c.犧牲主機

5.多重宿主主機防火墻實現方法

采用一臺堡壘主機作為連接內聯網絡和外聯網絡的通道，在這臺堡壘主機中安裝多塊網卡，每一塊網卡都連接不同的內聯子網和外聯網絡，信息的交換通過應用層數據共享或者應用層代理服務實現，而網絡層直接的信息交換是被絕對禁止的。與此同時，在堡壘主機上還要安裝訪問控制軟件，用以實現對交換信息的過濾和控制功能。

多重宿主主機有兩種經典的實現：第一種是采用應用層數據共享技術的雙宿主主機防火墻，另一種是采用應用層代理服務器技術的雙宿主網關防火墻。6.雙宿主主機防火墻

（1）優點：作為內聯網絡與外聯網絡的唯一接口，易于實現網絡安全策略；

使用堡壘主機實現，成本較低。（2）缺點：

a.用戶賬戶的存在給入侵者提供了一種入侵途徑，入侵者可以通過諸如竊聽、破譯等多種手段獲取用戶的賬號和密碼進而登錄防火墻；

b.雙宿主主機防火墻上存在用戶賬戶數據庫，當數據庫的記錄數量逐漸增多時，管理 員需要花費大量的精力和時間對其進行管理和維護，這項工作是非常復雜的，容易出錯；

c.用戶賬戶數據庫的頻繁存取將耗費大量系統資源，會降低堡壘主機本身的穩定性和可靠性，容易出現系統運行速度低下甚至崩潰等現象；

d.允許用戶登錄到防火墻主機上，對主機的安全性是一個很大的威脅。用戶的行為是不可預知的，各種有意或者無意的破壞都將給主機帶來麻煩，而且這些行為也很難進行有效的監控和記錄。

（3）雙宿主主機構成（填空）：雙宿主主機防火墻是一臺具有安全控制功能的雙網卡堡壘主機，兩塊網卡中的一塊負責連接內聯網絡，另一塊負責連接外聯網絡。7.雙宿主網關（1）工作原理：在防火墻主機上安裝各種網絡服務的代理服務器程序。當內聯網絡中的主機意圖訪問外聯網絡時，只需要將請求發送至雙宿主網關防火墻相應的代理服務器上，通過過濾規則的檢測并獲得允許后，再由代理服務器程序代為轉發至外聯網絡指定主機上。而外聯網絡中的主機所有對內聯網絡的請求都由（2）優點

a.無需管理和維護用戶賬戶數據庫

b.由于采用代理服務器技術，防火墻提供的服務具有良好的可擴展性

c.信息通過代理服務器轉發，屏蔽了內聯網絡的主機，阻止了信息泄露現象的發生（3）缺點

a.入侵者只要攻破堡壘主機就可以直接面對內聯網絡，因此防火墻主機的安全配置非常復雜且重要

b.防火墻本身的性能是影響系統整體性能的瓶頸

c.單點失效，一旦防火墻主機停止運行，則內聯網絡的鏈接將全部中斷 d.靈活性較差 8屏蔽主機（1）工作原理

過濾路由器的路由表是定制的，將所有外聯網絡對內聯網絡的請求都定向到堡壘主機處，而堡壘主機上運行著各種網絡服務的代理服務器組件，外聯網絡的主機不能直接訪問內聯網絡的主機，對內聯網絡的所有請求必須要由堡壘主機上的代理服務器進行轉發，對于內聯網絡到發起的連接或由過濾路由器重新定向到堡壘主機，對于特定的主機和特定的服務，則直接訪問

（2）優點：a.安全性更高

b.可擴展性高

c.屏蔽主機本身是可靠穩定的

（3）缺點：在堡壘主機和其他內聯網絡的主機放置在一起，他們之間沒有一道安全隔離屏障，如果堡壘主機被攻破，那么內聯網絡將全部曝光于攻擊者的面前 屏蔽子網

（1）非軍事區DMZ：又稱屏蔽子網，在用戶內聯網絡和外聯網絡之間構建的一個緩沖區域，目的是最大限度地減少外部入侵者對內聯網絡的侵害，內部部署了安全代理網關（執行安全代理功能）和各種公用的信息服務器（執行網絡層包過濾）

在邊界上，通過內部過濾器與內聯網絡相聯，通過外部過濾路由器與外部網絡相聯。（2）優點：a.內聯網絡實現了與外聯網絡的隔離，內部結構無法探測，外聯網絡只能知道外部路由器和非軍事區的存在，而不知道內部路由器的存在，也就無法探測到內部路由器后面的內聯網絡了

b.內聯網絡安全防護嚴密

c.降低了堡壘主機處理的負載量，減輕了堡壘主機的壓力，增強了堡壘主機的可靠性和安全性

d.將用戶網絡的信息流量明確地劃分成不同的等級，通過內部路由器的隔離作用，機密信息流受到嚴密的保護，減少了信息泄露的發生

（3）缺點

第四章 1防火墻性能指標（1）可靠性（2）可用性（3）可擴展性（4）可審計性（5）可管理性（6）成本耗費

2防火墻的評估參數（1）吞吐量（2）時延（3）丟包率（4）并發連接數

（5）工作模式：路由模式，NAT模式，透明模式（6）配置管理

（7）接口的數量和類型（8）日志和審計參數 3防火墻技術的發展趨勢

（1）分布式執行和集中式管理：分布式或分層的安全策略執行，集中式管理（2）深度過濾：正常化，雙向負載檢測，應用層加密和解密，協議一致性（3）建立以防火墻為核心的綜合安全體系

（4）防火墻本身的多功能化，變被動防御為主動防御（5）強大的審計與自動日志分析功能（6）硬件化（7）專用化

第六章 入侵檢測

1入侵檢測：對企圖入侵，正在進行的入侵或者已經發生的入侵進行識別的過程 2入侵檢測的作用：

（1）識別并阻斷系統活動中存在的已知攻擊行為，防止入侵行為對受保護系統造成損害

（2）識別并阻斷系統用戶的違法操作行為或者越權操作行為，防止用戶對受保護系統有意或者無意的破壞

（3）檢查受保護系統的重要組成部分及各種數據文件的完整性

（4）審計并彌補系統中存在的弱點和漏洞，其中最重要的一點是審計并糾正錯誤的系統配置信息

（5）記錄并分析用戶和系統的行為，描述這些行為變化的正常區域，進而識別異常的活動

（6）通過蜜罐等技術手段記錄入侵者的信息，分析入侵者的目的和行為特征，優化系統安全策略

（7）加強組織或機構對系統和用戶的監督與控制能力，提高管理水平和管理質量

3入侵檢測按數據來源劃分：

（1）基于主機的入侵檢測：通過分析特定主機上的行為來發現入侵，判斷的依據是系統內的各種數據及其相關記錄 優點：能夠確定攻擊是否成功

不需要額外的硬件來主持

能夠適合加密的環境

可監視特定的系統文件 缺點：額外產生的安全問題

不具有平臺無關性，可移植性差

實時性差

依賴性強，檢測效果取決于日志系統

占用主機資源，影響主機性能

如果主機數目多，維護和管理代價大

隱蔽性差，對入侵者不透明（2）基于網絡的入侵檢測 優點：具有平臺無關性

不影響受保護主機的性能

對主機來說是透明的

檢測范圍廣，監測主機數量大時相對成本低

實時檢測和響應

可檢測基于底層協議的攻擊行為 缺點：很難發現應用層的攻擊行為

很難處理加密傳輸

對于交換網絡的不足

不能及時有效的分析處理大規模的數據

容易受到拒絕服務攻擊

很難進行復雜攻擊的檢測（3）混合式的入侵檢測

4入侵檢測按檢測方法劃分：異常檢測和濫用檢測

（1）異常檢測根據系統或者用戶的非正常行為或者對于計算機資源的非正常使用檢測出入侵行為的檢測技術，基礎是建立系統正常活動狀態或用戶正常行為模式的描述模型，異常檢測的操作是將用戶當前的行為模式或系統的當前狀態與該正常模型進行比較，如果當前值超出了預設的閾值，則認為存在著攻擊行為（2）濫用入侵檢測通過對現有的各種手段進行分析，找到能夠代表該攻擊行為的特征集合，對當前數據的處理就是與這些特征集合進行匹配，如果匹配成功則說明發生了一次確定的攻擊 第七章

1入侵檢測的性能指標：有效性（攻擊檢測率，攻擊誤警率，可信度），可用性，安全性（抗攻擊能力，數據通信機制）

2入侵檢測的發展趨勢：標準化的入侵檢測，高速入侵檢測，大規模分布式的入侵檢測，多種技術的融合，實時入侵響應，入侵檢測的評估，與其他安全技術的聯動

VPN篇

1定義：是企業在因特網等公共網絡上的延伸，指將物理上分布在不同地點的網絡通過公用網絡連接成邏輯上的虛擬子網，并采用認證，訪問控制，保密性，數據完整性等技術，使得數據通過安全的“加密隧道”在公用網絡中進行傳輸

2原理：在直接和公用網絡連接的計算機之間建立一條專用通道，私有網絡之間的通信內容經過發送端計算機或者設備打包，通過公用網絡的專用通道進行傳輸，然后在接收端解包，還原成私有網絡的通信內容，轉發到私有網絡中

3按應用范圍劃分：遠程接入VPN，企業內部VPN，企業擴展VPN 4按隧道協議劃分：第二層隧道協議，第三層隧道協議 5按隧道建立方式劃分：自愿隧道，強制隧道 6特點：具備完善的安全保障機制，具備用戶可接受的服務質量保證，總成本低

可擴展，安全性，靈活性

管理便捷

7安全機制：加密技術，認證技術，密鑰管理與交換

第五篇：防火墻總結

大石頭中心校

構筑校園消防安全“防火墻”工作總結

學校消防安全工作是學校綜合治理的重要內容,關系到學校財產安全和教師員工的生命安全。對于這項工作,我們從來不敢有絲毫懈怠與麻痹大意。為了深入貫徹實施《中華人民共和國消防法》，切實加強火災防控工作，創新校園消防安全管理模式，提升學校消防安全管理水平，提高我校師生消防安全意識和自救自護能力，保證全校師生的人身、財產安全，根據市政府統一部署和《敦化市構筑社會消防安全“防火墻”工程實施方案》，根據市教育局的要求，我校全面深入制定計劃，在實際工作中能堅持做到不斷總結經驗教訓,不斷改進和完善工作方法,提高安全防范能力,將事故隱患減少到最低指數,最大可能的提供安全保障,確保學校發展不受影響。以下是構筑校園消防安全“防火墻”三年工作總結：

一、宣傳發動，統一思想，營造創建學校消防安全工作氛圍

學校在學生安全方面所采取的一系列措施，充分利用學校的校園網、宣傳櫥窗、黑板報、學校廣播等宣傳陣地進行大力宣傳。對師生進行交通安全、防電、防火、預防食物中毒、預防手足口病等教育，學校建立了義務消防隊，對有關人員定期培訓，熟悉消防防備，掌握火警處置及啟動消防設施設備的程序和方法。我校加大“防火墻”工程主題的宣傳，普及消防知識，組織學生進行了消防安全演練，教給學會正確使用滅火器以及掌握逃生的方法，使每一位學生普遍掌握火警電話，知道如何報警等基本常識。另外學校加強了值班管理制度，1

值班領導和教師要提前到崗，嚴禁校外人員進入學校，從而保證學生的安全。

通過學習宣傳，大家統一了思想，提高了認識。因此，把安全防范和教學質量作為學校一切工作中最主要的兩件事來抓，做到“兩手都硬”。同時重視并抓好學校消防安全工作。近幾年，教學資源和教學設施還不能完全跟上變化的形勢，還不能滿足教學的需要。因此，校園不安全因素較以前增多，校園發生安全事故的可能性比以前大大增加。這就給學校的消防安全工作提出了更高的要求，決不能掉以輕心，麻痹大意。再者，創建平安學校是實踐“三個代表”重要思想的具體體現，這對于堅持社會主義辦學方向，全面貫徹黨的教育方針，構建社會主義和諧社會，培養合格的社會主義事業建設者和接班人同樣具有重要意義。

在教育活動中，每學期學校做到了“六個一”即：一份計劃、一次國旗下講話、一次安全知識講座、一堂主題班會、一次圖片展覽、一期黑板報。同時，對創建中的典型事例和經驗做法及時利用校廣播加以宣傳報道，積極營造創建學校消防安全工作的良好氛圍。

二、健全組織，落實責任，探索創建學校消防安全工作新機制

學校領導高度重視學校消防安全工作，成立了由張校長總負責的消防安全工作領導小組。

組 長：張 波（校長）負責學校的全面安全防火工作

副組長：趙永成（德育副校長）協助校長做好學校安全防火工作、各領導辦公室安全防火工作

胡學文（教學副校長）協助校長做好學校安全防火工作、各教師辦公室安全防火工作

劉書昌（工會主席）具體負責學校安全防火工作

組 員：陳 贊（支部副書記）負責宿舍、衛生室、圖書室、檔案室、會議室安全防火工作

高永清(教導主任)負責實驗室、微機室、多功能室安全防火工作

宋立剛（少先隊輔導員）負責各班級安全防火工作 李志強（總務主任）負責食堂、商店、庫房、村小學安全防火工作

朱 哲（保衛干事）負責警務室、值班室安全防火工作 武吉富（保衛科長）負責學校安全防火檢

貫徹實施《消防法》和《吉林省消防條例》，認真落實“政府統一領導、部門依法監管、單位全面負責、公民積極參與”的消防工作原則，學校把消防安全工作具體任務落實到班級負責人，按照“誰主管，誰負責”的原則，各層次負責人分別和下屬各部門責任人簽訂消防安全責任書。這樣明確分工，責任到人，使全校創建最安全學校工作“事事有人做，人人有事做”，形成了“上下聯動，齊抓共管” 的管理格局。學校消防安全工作領導小組具體統籌、組織、協調學校消防安全工作的日常督查、記載等工作。做到工作有計劃、有布置、有檢查。把此項工作落到實處，推進學校消防安全管理創新，前移火災預防關口，提升學校火災防控水平

三、完善制度，獎懲結合，落實創建各項措施

1、落實消防安全責任制：制定各崗位消防安全職責，學校逐級與消防安全責任人之間簽訂消防安全責任書。

2、建立、完善和落實消防安全規章制度：學校建立了《消防安 3

全宣傳教育制度》《防火巡查、檢查制度》《安全疏散設施管理制度》《消防器材、設施維護保養制度》、《滅火和應急疏散預案演練制度》。按照“安全第一，預防為主”的原則，要求各責任部門、責任人對安全工作做到“每天必查，有查必記，有患必除”，保證安全工作一項不漏，一個盲點不留，一個隱患不存。

3、堅持落實學校消防安全工作的考核機制。

4、完善消防基礎設施：按國家規范配置滅火器，電器產品的安裝、使用和線路敷設符合國家規范，無私拉亂接電氣線路，學生宿舍內無違章用電的行為，疏散通道暢通，學生宿舍外窗無影響安全疏散和應急救援的柵欄，圖書室、學校宿舍置火災應急照明。

5、加強防火巡查、檢查，及時消防火災隱患：學校每月組織開展一次防火檢查。防火巡查對查出的火災隱患要及時整改。

6、制定應急疏散預案，適時組織開展演練：學校每年組織開展1-2次應急疏散預案演練。

四、以人為本，“三防”齊抓，構建創建工作網絡、加強消防消安全宣傳教育工作，強化“四個能力”建設。

1、將消防安全教育納入學校的日常教學內容，每個學期每個班級都安排2節消防安全知識課。

2、每個學期組織學生接受一次消防安全教育。

3、在校園內或學生宿舍都有永久性消防安全宣傳標語，在校園內開辟1個消防安全教育宣傳欄。

4、學校組織開展了“消防安全宣傳教育月”活動。向學生傳授日常防火、火場逃生自救等消防常識。

五、輸導結合，形式多樣，重視法制宣教工作

采取多種形式，開展安全教育。學校利用升旗、班會、健康教育課對學生進行安全意識教育和自救自護的常識教育。組織師生開展消防疏散演練活動，教會學生火災逃生自救的方法。

學校消防安全工作是學校工作的重要組成部分。做好這項工作是維護穩定大局的需要，是學校生存、發展的需要。我校消防安全工作，取得了一些成績，但與上級領導的要求相比，與日益變化的客觀形勢要求相比還存在一定的差距。三年“防火墻”工程雖已結束，但我們絕不會松懈、放松警惕，我們仍將一如既往，加大工作力度，促使我校消防安全學校工作再上新的臺階。

2012年10月28日