什么是防火墙安全？如何保护基础设施

25多年来，防火墙一直是网络安全的第一道防线。它在安全、受控且可信的内部网络与不可信的外部网络之间建立屏障。例如，对于拥有仅限内部访问的网络或通过互联网开展业务的任何公司而言，防火墙对保护数据至关重要。防火墙可以采用硬件、软件、软件即服务（SaaS）、公有云或私有云（虚拟）等形式。

了解防火墙安全

防火墙是一种网络安全解决方案，可保护网络免受不必要流量的影响。防火墙根据一组预先设定的规则，阻止恶意软件等传入威胁。现代防火墙还具备入侵防御系统（IPS）和URL过滤等附加功能，使安全团队能够扩充规则，防止网络内的用户访问特定网站和应用。

NGFW与WAF的主要区别在于，NGFW主要监控出站流量及由此产生的返回流量，防止风险随返回流量进入企业网络。相比之下，WAF可保护Web应用免受传入威胁。

防火墙基于一个简单的理念：来自安全性较低环境（例如通过互联网连接的外部来源）的网络流量，在进入安全性较高的环境之前，应经过身份验证和检查。这有助于防止未经授权的用户、设备和应用进入受保护的网络环境或网段。如果没有防火墙，网络中的计算机和设备可能容易遭到黑客入侵，使其更易成为攻击目标。然而，随着云应用和基于SaaS的应用得到广泛采用，网络边界已基本消失。

面对当今复杂且不断变化的网络威胁形势，大多数组织在部署防火墙的同时，还会采用其他安全解决方案来加强防护。不过，防火墙仍被视为构建完善网络安全体系的基础要素。

作为抵御网络攻击的第一道防线之一，防火墙可对所有流量进行必要的监控和过滤，包括出站流量、应用层流量、在线交易、通信和连接（如IPSec或SSL VPN），以及动态工作流。正确配置防火墙也至关重要，因为默认功能可能无法充分抵御网络攻击。新一代防火墙（NGFW）等现代防火墙可能会集成这些功能。

如今，随着越来越多的设备、用户和应用跨越网络边界，包括数量不断增长的物联网（IoT）设备和终端用户设备，数字环境日益复杂。同时，IT和安全团队的整体集中控制也在减弱。

所有这些因素都可能使企业更容易遭受网络攻击。因此，必须了解防火墙的工作原理、可用类型，以及哪些类型更适合保护网络的不同区域。

防火墙安全机制的工作原理

每种防火墙都有各自的优势和局限，组织通常会组合使用多种类型，构建分层的网络级防御策略。防火墙主要分为五种类型，可提供逐级增强的防护。

1. 包过滤防火墙：此类防火墙会检查数据“包”在网络中传输时的情况。它们会分析数据包标头信息，例如源和目标IP地址、端口及协议，并根据预定义规则允许或阻止数据包。包过滤防火墙相对简单且高效，但无法检查数据包的内容。
   
2. 状态检测防火墙：将数据包过滤方法与其他功能相结合。此类防火墙会记录网络连接的状态，并利用这些信息更准确地判断是允许还是阻止数据包。由于能够跟踪连接状态，它们可以识别并防范某些类型的攻击，包括IP欺骗。
3. 应用层网关（代理防火墙）：应用层网关又称代理防火墙，在网络协议栈的应用层运行。它们充当客户端与服务器之间的中介，在应用层检查和过滤流量。它们可以分析数据包内容，从而更有效地检测和阻止特定类型的威胁。但有时，组织可能会发现代理功能会导致延迟。
4. 下一代防火墙（NGFW）：此类解决方案集成了网络防火墙、入侵防御系统（IPS）、URL过滤和安全Web网关、恶意软件防护以及VPN连接等功能，是企业防御体系中的主要工具。
5. Web应用防火墙（WAF）：WAF是一项关键的临时防护措施，可缓解可能对组织造成严重影响的高危漏洞。现代WAF结合使用特征码、威胁情报和行为分析，可抵御多种威胁，包括应用层拒绝服务（L7 DoS）攻击，以及个人身份信息（PII）等敏感数据泄露。

防火墙在网络安全中的作用

防火墙仍是抵御网络威胁的重要可靠防线。以下介绍其工作原理，以及如何帮助防止未经授权访问您的网络。

防火墙：第一道防线

我们都知道，浏览网页时点击未知链接或弹出式广告可能带来危险，但仅仅避免这些操作并不足以保障设备和网络安全。因此，防火墙是保护网络和数据的第一道防线。

防火墙通过过滤和阻止潜在黑客访问敏感数据来发挥作用。防火墙有多种类型，采用不同的策略来保护信息安全。防火墙还可以保护计算机免受恶意软件侵害，避免由此引发各种安全问题。

入侵防御与检测

防火墙用于抵御网络和系统面临的各种潜在威胁。以下是其旨在阻止的一些主要威胁。

• 未经授权的访问：防火墙可保护网络，防止黑客使用各种工具侵入，例如，后门、拒绝服务（DoS）攻击、远程登录、网络钓鱼邮件、社会工程和垃圾邮件。
• 网络威胁：防火墙充当守门人，旨在缓解病毒等外部威胁。它们会检查并验证网络流量中的所有数据包，然后才允许这些数据包进入更安全的环境。

应用层过滤

在应用层进行流量过滤是一项安全措施。与传统数据包过滤相比，它可以更精细地控制进出网络的内容。数据包过滤可根据IP地址和端口号阻止或允许特定类型的流量，而应用层过滤则更进一步，会检查数据的实际内容。

ALF支持根据SMTP、POP3、DNS和HTTP等应用层协议过滤流量。这样有助于防范利用这些协议漏洞发起的攻击，例如缓冲区溢出、Web服务器攻击，以及隐藏在SSL隧道中的攻击代码。

应用层流量过滤还支持：

• 防范应用层攻击：通过分析数据包内容，ALF可以检测并阻止不合规或利用应用层协议漏洞的恶意流量。
• 防止数据泄露：通过检查数据包内容，ALF可以检测并阻止敏感信息流出网络。
• 控制对特定应用的访问：ALF支持根据所使用的特定应用或协议，选择性地允许或拒绝流量。
• 实施安全策略：ALF支持在应用层定义并实施安全策略，确保仅允许授权流量通过。

防火墙在网络威胁防范中的作用

防火墙是防范各种网络威胁的重要工具。

分布式拒绝服务（DDoS）防护

防火墙通过识别并过滤过量流量，帮助缓解DDoS攻击。虽然防火墙可以采用流量限制、负载均衡和将IP地址列入拒绝列表等技术来抵御DDoS攻击，但可能无法有效区分合法流量与恶意流量。此外，防火墙具有状态感知特性，并依赖有状态数据包检测（SPI），因此容易受到状态耗尽攻击。

为实现有效防护，建议部署智能DDoS缓解解决方案。该解决方案应以无状态或半无状态方式运行，或具备强大的连接管理和连接清理能力。。这些解决方案主要采用无状态数据包处理技术，并集成OSI模型第3层、第4层和第7层的流量清洗等功能。通过单独处理每个传入的数据包，而不阻止来自某个IP地址的所有流量，这些解决方案可以有效缓解DDoS攻击。在大多数情况下，需要使用云清洗来防止大流量DDoS攻击耗尽入站带宽。

恶意软件和病毒防御

在阻止恶意软件和感染病毒的数据渗入网络方面，防火墙可以根据预先设定的安全规则过滤入站流量，从而提供一定程度的防护。防火墙可以阻止已知的恶意IP地址、限制对特定端口的访问，并检查网络数据包中是否存在可疑内容。但是，仅靠防火墙不足以全面防范恶意软件和病毒。

为有效应对恶意软件和病毒威胁，组织通常会综合采用多种安全措施，包括：

• 防病毒软件：防病毒软件会扫描文件和程序，查找已知的恶意软件特征和行为模式，帮助检测并清除受感染系统中的恶意代码。
• 入侵检测和防御系统（IDS/IPS）：IDS/IPS解决方案可监控网络流量中的恶意活动迹象，并可阻止可疑行为或发出警报。
• 电子邮件过滤：电子邮件过滤解决方案有助于防止恶意软件和病毒通过电子邮件附件或链接传播。
• 用户教育与安全意识：向用户普及安全浏览习惯、避免可疑下载以及识别网络钓鱼企图，可显著降低恶意软件感染风险。

现代NGFW已发展为一种安全架构，可针对网络、云、端点和电子邮件等威胁载体提供统一防御。

此外，现代WAF已演变为Web应用和API保护（WAAP）平台，可统一提供应用安全、API保护、机器人管理和DDoS缓解功能。

将这些安全措施与防火墙相结合，组织可以构建更强大的防御体系，以应对新兴威胁。

网络防火墙安全

复杂网络通常由多个网段组成，这些网段是大型网络中较小的物理或逻辑组件。这样一来，安全团队可在出现威胁时迅速隔离部分网络，同时简化对庞大企业网络架构的管理。

为实现网段之间的通信，流量需经过路由器或防火墙，以便在进入其他网段前接受检查。此策略可在整个系统中增加冗余安全措施，并增强网络的整体安全性。

实施网络级防火墙

在网络入口和出口部署防火墙，通过监控和控制流量来增强安全性。虽然内部网络确实会处理机密数据，但内部网络之间的连接可以采用比内外部网络之间的连接更宽松的策略。不过，由于用户之间需要频繁传输敏感数据，仍需考虑内部网络特有的威胁。安全团队可以在每个网段中设置多种边界，并提供不同程度的安全防护。

流量监控与访问控制

防火墙，无论是物理防火墙还是软件防火墙，都会根据防火墙提供商、贵公司的IT服务或与防火墙交互的其他软件所创建并启用的规则，分析传入和传出的数据。通过过滤这些数据，防火墙可以判断流量是否合法，以及是否应允许其到达最终目的地。

访问控制列表（ACL）是按顺序排列的权限列表，用于定义防火墙允许或拒绝的流量。防火墙使用ACL，根据源、目标、端口及其他条件过滤流量。ACL应用于防火墙接口的入站或出站方向。防火墙检查通过网络特定部分的流量，并根据ACL作出决策。NGFW和WAF可感知应用，并能检查流量的其他方面，包括DNS、URL查询和Web内容。

虚拟专用网络（VPN）和防火墙

依赖VPN连接的公司使用防火墙来帮助保护这些连接。防火墙可过滤网络流量，阻止来自可疑来源的入站流量，从而为VPN提供支持。防火墙可保护设备与网络之间传输的数据免受威胁。当防火墙安装在VPN服务器后端时，可通过过滤器配置为仅允许VPN专用数据包通过。同样，当防火墙安装在VPN前端时，可配置为仅允许其互联网接口上的隧道数据传递到服务器。

传输层安全性（TLS）与防火墙

TLS是一种广泛采用的安全协议，旨在为互联网通信提供隐私和数据安全保障。防火墙可配置为在应用层检查和过滤网络流量，包括使用TLS加密的流量。通过解密和检查TLS加密流量，防火墙可以分析数据包内容并应用安全策略，以防范威胁和漏洞。

某些防火墙支持TLS检查，其过程包括解密TLS加密流量，检查其中是否存在潜在威胁或违反策略的情况，然后重新加密并转发至目的地。这样，防火墙便可分析加密流量，并根据解密后的内容采取安全措施，例如阻止恶意或未经授权的流量。实施TLS检查时应谨慎，以确保加密通信的隐私性和完整性。

互联网防火墙安全

在当今的商业环境中，通过互联网开展业务已成为必然选择。为了随时随地触达客户和员工，并近乎实时地响应其请求，企业需要建立覆盖广泛、可靠且安全的互联网连接。如果企业通过互联网接收和传输数据，则必须将防火墙纳入网络安全策略。

用于互联网连接的防火墙与用于内部网络的防火墙工作方式大致相同。当数据尝试从互联网进入您的网络时，防火墙会先进行评估。如果防火墙判定数据安全，则允许其进入公司网络；否则，将立即阻止该数据。

保护Web应用安全

对用于保护内部网络免受外部连接（互联网）影响的防火墙实施严格控制至关重要。恶意攻击不仅可能来自外部，数据泄露也是一个重大问题。防火墙可以阻止不需要的内容或未经授权的用户访问网络或应用。它还可以根据协议设置和IP地址帮助保障安全。防火墙旨在从多个方面保护数据和运营。然而，随着系统向基于API的架构演进，现代应用日益复杂；漏洞、滥用、配置错误和绕过访问控制也在扩大风险面，因此需要采用WAF和WAAP平台提供的更专业防护。

内容过滤和URL阻止

从更精细的层面来看，防火墙可以充当计算机或网络与互联网之间的守门人，从而提供帮助。还可以根据预定义的类别和其他规则配置防火墙，以确定允许哪些类型的流量通过，并阻止相应的Web流量。例如，可以将内容过滤功能设置为阻止所有已知归类为“游戏”或“社交网络”的网站。

URL过滤可阻止特定URL在公司网络中加载。可以通过手动输入特定URL，或选择要阻止的URL类别来配置防火墙。如果员工尝试访问被阻止的URL，系统会将其重定向到一个页面，告知该内容已被阻止。

通过这种方式，这些防火墙可提供一致、可靠的用户体验，让用户仅访问所需内容。

面向互联网的防火墙所面临的挑战

互联网环境不断变化，面向互联网的防火墙可能会遇到各种挑战，影响其有效性。以下是一些常见挑战：

• 软件漏洞：与任何软件一样，防火墙也可能存在可被攻击者利用的漏洞。固件漏洞同样会带来风险，并可能导致安全事件。定期更新防火墙的软件和固件，对于修复已知漏洞和保护网络至关重要。
  
• 配置错误：是导致防火墙遭到入侵的主要原因之一。当用户操作失误或调查不充分，导致防火墙设置不正确时，就会出现配置错误。配置错误可能使贵组织面临未经授权的访问、数据泄露和计划外中断等风险。
• 依赖专有威胁情报：一些防火墙依赖专有且封闭的威胁情报来检测和阻止威胁，这会限制其适应不断变化的威胁形势的能力。务必确保防火墙能够获取最新的威胁情报，从而有效保护网络。
• 应用层攻击：传统网络防火墙可能无法有效阻止利用跨站脚本、SQL注入、强制浏览和Cookie投毒等漏洞的应用层攻击。这些攻击专门针对应用，需要采用Web应用防火墙（WAF）等专用防护机制来降低风险。
• 广泛采用的SSL/TLS连接：互联网流量大多经过加密，而许多传统防火墙和NGFW并非为大规模解密而设计。此外，大多数安全生态系统需要使用多种工具进行检查，因此需要集中式解密和加密代理，以兼顾安全性与用户隐私。

防火墙管理实践指南

要充分发挥防火墙的性能，必须持续优化配置、功能和运营。以下是一些有助于充分发挥防火墙解决方案价值的最佳实践。

全面规划防火墙部署：部署防火墙时，应考虑网络接口、区域和管理要求。在高可用性集群中部署两个或更多防火墙，可确保安全连续性。

强化并正确配置防火墙：确保防火墙操作系统已安装补丁并完成强化。可参考供应商及第三方提供的指南，例如互联网安全中心（CIS）指南和《SANS防火墙检查清单》。

保护防火墙：禁用不安全的协议，安排定期备份，启用系统变更审计，并将日志发送到外部的安全位置或防火墙管理解决方案。

清理网络：识别直接向防火墙发送被拒绝的出站请求和受恶意软件感染的数据包的服务器、PC或特定应用程序，并通知服务器管理员。

删除未使用的规则和对象：随着防火墙规则库不断修改和调整，未使用的规则和软件可能会逐渐累积，造成规则库臃肿。这可能会降低流量处理速度和效率，甚至可能导致不安全的流量通过。请定期安排维护，删除过时的规则和对象。

优先处理最重要的防火墙策略规则：确保常用的防火墙策略规则与Windows等操作系统相匹配，并高效处理入站流量。

避免使用DNS对象：避免使用需要对所有流量持续执行DNS查询的DNS对象。这对于依赖稳定互联网连接的小型企业尤为重要。

将防火墙与VPN分离：将防火墙与VPN分离，以便管理VPN流量，并减轻网络防火墙的负载。

管理广播流量：尽量减少对广播流量的日志记录，以改善网络流量传输并提高带宽利用率。

遵循这些建议并及时更新软件，有助于让防火墙解决方案保持出色性能。

F5如何提供帮助

无论是在内部网络还是互联网上，防火墙对于保护数据都至关重要。作为第一道防线，防火墙可以阻止不需要的流量和不安全流量，还可通过配置以其他方式保护数据。然而，选择符合需求的防火墙并非易事。可选方案众多，从基本的包过滤防火墙，到具备入侵防御系统和复杂规则管理工具等附加功能的高级下一代解决方案，不一而足。应充分考虑具体需求并咨询专家，以便做出明智的决定。

在F5，持续、全面且敏捷的网络安全已融入我们的日常工作。我们在根据贵组织的需求实施适当的防火墙安全措施方面拥有丰富经验。

在F5，始终如一、全面且敏捷的网络安全理念贯穿我们的工作。我们在实施符合贵组织需求的防火墙安全方案方面拥有丰富经验。

通过维护稳健的防火墙安全基础设施，保护网络免受外部威胁。

• 了解我们的卓越如何保护应用，并确保应用持续顺畅、安全地运行，为客户提供可靠服务。
• 了解F5 Distributed Cloud WAF如何保护云端、本地和边缘之间的流量。
• 立即开始免费试用BIG-IP Advanced Firewall Manager，让F5与您携手专注于本地DDoS缓解。

借助合适的防火墙，保护数据、流量和用户信息的安全。