網路防火牆的進階功能

網路防火牆的進階功能

隨著安全的需求愈來愈增加，目前的防火牆產品也紛紛提供了一些進階的功能，列舉如下：

◎.整合網路通信協定：
傳統TCP/IP是組不甚安全的協定，應用在網際網路上產生許多安全上的漏洞，但是由於它十分普及，因此有些解決方案是對於內部區域網路的所有主機皆採非TCP/IP的網路協定，而對於必須由TCP/IP服務的主機，可於其中安裝額外的軟體，以令其TCP/IP封包也改採區域網路協定封裝，如此，在內部網路將見不到TCP/IP封包，內部網路的通信皆採特定的區域網路協定，而對外則使用TCP/IP，故安全性較高。
◎.內部轉換：
包括IP轉換與DNS轉換，其目的是保護組織內部的資訊，使其不讓外界知悉。

1.IP轉換：防火牆的內部通常具備一個IP位址的對映機制。
將IP作轉換有兩個好處：
其一是隱藏內部網路真正的IP，使駭客無法直接攻擊內部網路。
另一好處是可以讓內部使用者使用保留的IP，這對許多IP不足的企業是很有幫助的。
2.雙重DNS：
通常的作法是是架設兩個領域名稱伺服器(DomainNameServer)，一個負責對外，另一個負責對內，如此外部網路無法獲知企業內部網路的資訊，但不影響內部網路對外界資訊的獲得。
◎.強化的身分識別機制：
一般UNIX主機是一個使用者密碼作為身分識別的機制，但是這種機制會造成密碼在網路上以明碼傳遞，有可能被欄截而得知，並不夠安全。
因此防火牆必須具備至少一種以上的強化身分驗證機制，如讓密碼不要直接在網路上傳遞、或使密碼隨著時間而改變。
防火牆也可以與其他有名的身分識別產品整合。
◎.警告功能(Alarm)：
系統被侵入常常是出人意料之外的時機，因此若防火牆軟體能提供通知遠方系統管理者的功能，當嚴重的網路安全事件發生時，可以從電子郵件、甚至以以撥呼叫器等方式來立即通知系統管理者，如此可以爭取時效，立即採取行動。
◎.管理工具：
設計圖形化的管理介面，讓系統管理者易於進行設定、管理及維護。
另外，採用集中式的管理工具，使管理者可以同時管理多個防火牆及伺服器，也是目前防火牆發展的趨勢。
◎.強化作業系統：作業系統多少都有一些安全上的漏洞，使得防火牆軟體容易由作業系統被侵入入。
因此，必須加強防火牆作業系統的安全性，甚至將防火牆直接架在作業系統上，以防範某些網路通信協定或其他原因所造成的安全缺陷。
◎.資料加解密：虛擬私有網路(VirtualPrivateNetwork，簡稱VPN)在目前逐漸受到需求與重視，但它必須對所有網路傳輸內容加密以建立一個虛擬通道，讓不同網路上的使用者可以安全且不受拘束的互相存取，感覺上像在同一個組織內部的網路之中。
所以要達到此功能，防火牆必須能快速、正確地對資料封包加解密，並試圖發展互通的加解密標準。
◎.與防毒軟體的整合：與防毒軟體互相搭配，甚至直接整合，以同時具備防火牆與防毒的功能。
◎.JAVA與ActiveX：JAVA與ActiveX在網路上帶來了一些網路安全的潛在性危機，例如用JAVA寫成的Applet雖然豐富了網頁，但使用者只要連上網頁，等於是把Applet程式抓回自己的機器來執行，有時會存取到機器上不該存取的部分，而造成一些訊息的流出，因此在其中隱藏了許多不可預知的危機。
所以，防火牆必須針對此方面作一些特殊的設計，以過濾這些類型的資訊。
◎.阻絕系統服務型(denial-of-service)攻擊：
有些使用者會對Web站台發出大量的請求，防礙了其他人對此站的連接。防火牆對這類阻絕系統服務的侵入，也必須有解決的對策。