防火牆的問題(10分)

企業及組織為確保內部網路及系統的安全，均紛紛建置不同層次的資訊安全解決機制，而防火牆 (Firewall) 就是各企業及組織在建置資安控管解決方案當中最常被優先考量的安全控管機制。根據可靠的統計數據顯示，幾乎有90%甚至以上的企業組織均有建置防火牆。由於防火牆往往扮演的是為企業及組織網路安全把關的第一道防線，在考慮防火牆的安全管理時不可不慎。
防火牆發展至今，技術已相當成熟同時其概念亦為資訊人員所瞭解。一般而言，所有進出企業的網路封包皆必須經過防火牆，由防火牆對於所有通過防火牆介面的封包提供基本的 permit/deny 動作。不過科技發展至今，雖然 Internet 所提供附加服務的增加(例如：Web、Audio、Video、VoIP 以及 Java/ActiveX)，防火牆的角色並沒有改變，只是防火牆的運作參數之複雜程度也相對提高。一般在討論防火牆，也大都從防火牆的功能、特性及建置來作探討，然而，除了這些技術層面的問題之外，在下列文章中，我們將從另一管理角度來看防火牆，當企業或組織大部分都已經建置了防火牆之後，接下來要如何更進一步做好管理工作，以強固防火牆整體的安全控管機能。
防火牆管理的重要性
在進入到防火牆的管理主題時，不妨先就防火牆的功能面，對防火牆運作功能及其限制作一簡單陳述。
防火牆可以做什麼？
防火牆可以集中控管所有通過與防火牆連接網路區段之網路交通 (network traffic)。
透過安全政策的制定，防火牆可以強制執行對於通過防火牆各網路區段交通 (traffic) 的安全政策。
防火牆提供紀錄 (log) 網路交通 (network traffic) 資訊的中央控制點。
防火牆無法做什麼？
防火牆無法控管未通過這個防火牆的網路交通。
防火牆只能控管 TCP/IP 網路交通，例如：防火牆並不支援 SNA。
防火牆無法防止內部未經授權，惡意破壞的使用者。
事實上現今市面上恐怕沒有任何一種防火牆系統廠商敢誇言，其產品可以提供百分之百的安全保障。新的網路威脅不斷被發現，而防火牆系統的廠商亦需時時研制新的修正程式以解決問題。然而，對防火牆管理及維護的正確態度和定期的安全檢核將有助於降低防火牆的安全風險。防火牆的管理者及其管理動作將直接影響防火牆安全程度的高低，過多防火牆管理者或不適當的管理行為都將引發防火牆淺在的威脅及暴露防火牆的弱點。而強化防火牆安全功能的做法，除了選擇一個功能完整、適合企業及組織的防火牆產品之外，更重要的，是建置防火牆所需特別注意的安全問題以及防火牆建置完成之後的管理工作。
防火牆安全管理建議
接下來，我們將從防火牆的功能及技術，針對防火牆的建置以及安全管理提出下列建議：
關於防火牆的實作建議：
最少的特權（Least privilege）－ 減少因為職務或特權影響開放防火牆的限制條件，並將防火牆規則的預設限制動作設為 "deny"，也就是任何未經特別允許的連線一律禁止。
徹底防禦（Defense in depth）－ 防火牆過濾規則盡可能使用多個限制規則取代單一限制條件。
最少資訊（Minimal information）－ 勿將跟企業組織或網路上定有關的資訊暴露出來。
KISS (Keep It Short and Simple) － 複雜的配置設定容易造成錯誤並因此導致安全的漏洞，因此，讓 firewall 的設定及配置盡可能的簡單化。
防火牆系統只能控制有經過防火牆的網路連線，因此，防火牆應該必須為連上 Internet 的唯一閘道 (gateway)。
防火牆硬體的安全配置建議：
將防火牆管理主控台分開－目前許多廠牌防火牆系統皆提供從遠端透過另一平台管理 firewall 的能力，未來如有 firewall 增加的需要，也可以將 firewall 的管理工作集中控管。
防火牆實體放置地區－建議應當將 firewall 放置於安全環境的實體位置，也就是一天24小時有專人操作控管的環境。
防火牆配置建議：
身分確認及認證 (Identification and Authentication)
使用支援對於認證資訊加密的任證機制來限制使用者使用存取 Internet 的服務。
配置 firewall 成可以顯示某標題以便提醒使用者在存取服務之前必須先對 firewall 作他們身份的確認。例如：
" This system is for XX Company authorized user only. "
" Unauthorized users may be prosecuted."
機密性 (Confidentiality) － 強烈建議任何對於 firewall 的遠端管理都必須透過加密的管道。
完整性 (Integrity) － 為維護系統的完整性，安裝 firewall 機器的作業系統必須針對安全設定作進一步的強化安全性處理。
可用性 (Availability)
在完成 firewall 系統的安裝及測試之後，建立一份完整的系統備份並將它存放在安全的地方。
安裝新版本作業系統或防火牆系統軟體，或實行維護時，防火牆系統應該終止所有的網路連結，在經完整測試確定沒問題之後再恢復網路連結。
獲得以及安裝防火牆相關的修正程式 (Fix)。
稽核 (Audit)：
Firewall 系統上具有安全性考量的機密事件必須要進行追蹤 (trace)，設定作業系統上的稽核功能來追蹤對於作業系統以及 firewall 軟體檔案具有寫 (write) 或執行 (execute) 的動作。
開啟 firewall 系統上的紀錄功能，對於被拒絕動作的稽核要以較詳細的格式紀錄，對於允許動作的稽核則可以以較短的格式紀錄。如果紀錄的數量太大量而影響正常運作時，可以選擇幾個規則將它們的紀錄功能關閉。
防火牆系統的管理建議：
身分確認及認證 (Identification and Authentication)：
系統管理者必須選擇一個在其他所使用的系統上所未曾使用的密碼。
每位使用者在同一系統上必須要有各自不同的帳號，不可互相共用帳號。
登錄的帳號及密碼不可在 LAN 或 WAN 上以明文傳送。
權限管理(Privilege management)：
指定給防火牆管理者不超過所需權限的帳號，例如：給沒有編輯防火牆安全政策權限管理者只有 "read" 權限的帳號。
在防火牆系統上盡量不要有使用者帳號存在，最好只有系統管理者可以有帳號在防火牆系統上，End user 不允許存取防火牆系統。
防火牆安全政策 (security policy)管理：
防火牆系統的所有配置更動均需以文件記載，文件中變更的紀錄要有誰在何時對防火牆做了什麼變更。
再對防火牆的安全政策有變更之後，必須對防火牆作測試以卻定變更可以如預期的執行。
在任何配置變更之後，對防火牆系統作備份並且儲存在安全的地方。
防火牆紀錄及警訊管理
系統應該將系統的稽核紀錄送至一集中稽核彙整系統，防火牆的紀錄檔案必須保存歸檔在另一系統上而不是保存在防火牆本身系統上，並且應該存檔至少一年以上。
將防火牆系統的警訊機制設定成將警訊傳送至真正做監控的管理工作站，至少防火牆應該透過 email 傳送給防火牆管理者。基於管理技術考量，防火牆應該將警訊透過 SNMP trap 傳送至網路監控工作站。
如果防火牆上設定成具有提供 SNMP 功能，必須確定有加以限制成只有內部網路的適當管理工作站才能存取。
測試防火牆
再變更或維護之後，必須對防火牆做完整的測試。測試是否妳所希望允許的網路連線真的被允許通過，測試是否其他的網路連線如期望的被拒絕 (rejected) 或丟棄 (dropped)，檢查對於所有的變更，紀錄及警訊功能是否可以正常運作。
結論
在今日分散式及開放的網路環境中，資訊安全的考慮變得複雜而難以掌控，資訊安全已是企業及組織必須面對及重視的重要課題，然而，完整的資訊安全規劃應該著重在管理層面，而不僅是單純的資訊安全產品的建置。一個完整的安全規劃將會較各個安全產品的選擇重要；資訊安全的管理策略將比產品功能重要，故尋求建置前全面的安全規劃，建置後完整且持續的管理才是最有安全效率的作法。

2007-04-27 19:43:00 補充：
Ｑ2：為什麼需要防火牆？ Ａ：Internet防火牆主要是為了防範駭客三種蓄意破壞的方式： 1）入侵：最常見的破壞方式，入侵後就可以正當使用電腦。入侵者希望自己能變成合法的使用者，任意使用電腦。

發問者是普通家庭用戶吧？但答覆卻花了大部份篇幅談論企業的防衛。有點離題了。

Very good & free 防火牆 :
http://www.personalfirewall.comodo.com/

講真...我玩MSN成兩年都無話有咩事...
其實你ge 屋企人可能試過太多呢D情況...


你用ZoneAlarm...啦...
http://www.zonealarm.com/store/content/home.jsp
去FreeDown啦..
免費ge 防火牆... 真係幾好ga...