防御保护—安全策略

本文介绍: 防火墙安全策略的作用在于加强网络系统的安全性，保护网络免受恶意攻击、非法访问和数据泄露的威胁。它可以限制和控制网络流量，识别和阻止网络攻击，过滤和审查数据内容，提供安全的远程访问，并监控和记录网络活动。

文章目录

目录

一.安全策略概述

概述：

安全策略的作用：

安全策略与传统防火墙的区别

二.案例分析

练习

一.安全策略概述

概述：

防火墙安全策略的作用在于加强网络系统的安全性，保护网络免受恶意攻击、非法访问和数据泄露的威胁。它可以限制和控制网络流量，识别和阻止网络攻击，过滤和审查数据内容，提供安全的远程访问，并监控和记录网络活动。

安全策略的作用：

访问控制：防火墙通过在网络边界上设置访问规则，控制网络流量的进出，限制不必要的访问并阻止潜在的威胁。它可以根据源IP地址、目标IP地址、端口号和协议类型等信息来定义规则，仅允许经过授权的流量通过。
防止网络攻击：防火墙可以检测和阻止常见的网络攻击，如端口扫描、DDoS攻击、SQL注入和跨站脚本攻击等。它可以根据预定义的攻击模式或异常行为来识别和阻止恶意流量。
数据过滤和内容审查：防火墙可以根据设定的规则对网络流量进行内容过滤和审查。它可以检测和阻止包含敏感数据、恶意软件或违反政策的数据传输。这有助于保护网络系统免受数据泄露、恶意软件和非法内容的影响。
虚拟专用网络（VPN）安全：防火墙可以提供VPN服务，通过加密和隧道技术为远程访问用户提供安全的连接。它可以验证用户的身份并加密数据传输，确保远程访问的安全性和隐私性。
监控和日志记录：防火墙可以监控网络流量，记录和分析网络活动。它可以生成日志文件，记录访问尝试、攻击行为和异常流量等信息。这有助于及时检测和应对网络安全事件，并进行安全审计和调查。

具体流程如下图：

安全策略与传统防火墙的区别

防火墙安全策略和传统防火墙列表在实现网络安全方面有一些区别。以下是一些主要的区别：

精细化的访问控制：传统防火墙列表通常基于IP地址、端口号等常规规则进行访问控制。而防火墙安全策略可以更灵活地基于更多因素来决定是否允许或禁止特定流量，例如应用程序、用户身份、数据包内容等。这样可以实现更精细化的访问控制。
上下文感知的安全策略：传统防火墙列表通常只能基于单个数据包进行决策，而防火墙安全策略可以基于整个会话的上下文信息来做出决策。这意味着它可以考虑到会话的历史、状态和目的地等信息，从而更全面地评估安全威胁。
内容过滤和检测：防火墙安全策略可以对数据包内容进行更深入的检测和过滤。它可以检测和拦截包含恶意代码、病毒、垃圾邮件等不安全内容的数据包。
适应性安全策略：防火墙安全策略可以根据实时的网络情况和威胁情报进行调整和更新。它可以通过学习网络流量模式和威胁情报来自动适应不断变化的安全环境。

总的来说，防火墙安全策略相对于传统防火墙列表具有更高的灵活性、精细化的访问控制、上下文感知的安全决策、内容过滤和适应性安全策略等优势，颗粒度更细致，这使得它能够更有效地保护网络免受各种威胁和攻击。

具体区别如下图：

二.案例分析

需求：

DMZ区存在两台服务器，现在要求生产区的设备仅能在办公时间（9：00 – 18：00）访问，办公区的设备全天都可以访问。

基础配置：（正常疏数通）

SW3配置

[Huawei]sysname sw3	
[sw3]undo info-center enable 
Info: Information center is disabled.
[sw3]vlan 2
[sw3-vlan2]q
[sw3]vlan 3
[sw3-vlan3]q
[sw3]interface GigabitEthernet 0/0/2
[sw3-GigabitEthernet0/0/2]port link-type access 	
[sw3-GigabitEthernet0/0/2]port default vlan 2
[sw3-GigabitEthernet0/0/2]q
[sw3]interface GigabitEthernet 0/0/3
[sw3-GigabitEthernet0/0/3]port link-type access 
[sw3-GigabitEthernet0/0/3]port default vlan 3
[sw3-GigabitEthernet0/0/3]q
[sw3]interface GigabitEthernet 0/0/1
[sw3-GigabitEthernet0/0/1]port link-type trunk 
[sw3-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 3

FW1配置

[USG6000V1]interface GigabitEthernet 0/0/0
[USG6000V1-GigabitEthernet0/0/0]ip address 169.254.93.22 16
[USG6000V1-GigabitEthernet0/0/0]service-manage all permit