网络安全与执法,BSD与网络安全

BSD与网络安全 - 网络安全 - 电脑教程网

BSD与网络安全

日期:2006-09-10   荐:
  最近几年来可以说是网络安全行业大发展的时期,由于越来越多的用户连接到公共网络上,越来越多的用户依赖公共网络提供的资源,这些用户总要保护自己内部信息的安全,必然需要各种网络安全设备、网络安全措施以及网络安全服务。在网络安全领域中,BSD Unix毫无疑问占据了重要地位,很多网络安全设备就是基于BSD Unix构建的,例如Nokia等厂家的防火墙设备等。当然,网络安全设备操作系统也有采用其他操作系统的,例如Linux或者其他专用操作系统。大量的网络安全设备采用BSD Unix,是因为BSD Unix本身就具备了相当丰富的网络安全技术的基础,本身的灵活性、稳定性也都十分优秀。1. BSD中的网络安全技术在BSD Unix本身,就包含了多种有效的网络安全技术,从代理服务器、网络地址转换、包过滤到数据加密等等。由于代理服务器本身是一个应用层次上的技术,软件本身的可移植性是非常良好的。特别是很多代理服务器本身就是在Unix系统下开发的,因此,BSD Unix对他们的支持是自然而然的。BSD Unix下可以运行多种代理服务器软件,如著名的squid、fwtk等等。毫无疑问,包过滤技术在BSD Unix中很早就应用了,网络地址转换也是最早在BSD Unix下实现的。当然,随着学习Linux内核的开发人员的不断增加,目前编写一个简单的包过滤软件并不困难,但一个全功能的、高度可靠和稳定的包过滤软件,仍然并不容易实现。在BSD Unix中应用的ipfilter,毫无疑问是功能最强大的、最为可靠的、支持平台最广泛的包过滤软件之一。除了ipfilter之外,还有FreeBSD下的ipfw/natd,在OpenBSD下还有pf,都能比较好的完成包过滤和地址转换的任务。除了上述的防火墙技术之外,另一个比较重要的网络安全技术是VPN,目前VPN的核心是IPSEC,也有一些其他相关的协议,例如PPTP、L2TP等等,但这些协议通常只应用于特殊领域,例如L2TP主要用在ISP的接入方面。BSD Unix是最早支持IPSEC的系统之一,目前能够完善的支持这些协议,BSD Unix甚至还支持硬件的加密卡,以便加速IPSEC的加密解密处理。此外,攻击检测系统IDS目前也越来越重要了,但事实上现有的IDS系统都不是十分理想,特别是网络攻击检测系统,主要是由于网络性能方面的影响,使得IDS系统比较难于获得可能的网络攻击信息。在IDS系统中,一个重要的自由软件为snort,有关报道表明,snort在很多方面要优于很多商业的攻击检测系统。事实上,很多商业攻击检测系统就是基于snort进行的二次开发。有一些用户在实际使用中,报告说snort在Linux下的性能要优于FreeBSD,由于性能对于IDS系统是至关重要的,因此他们就对BSD的网络性能提出了疑问。为了解释这个问题,事实上需要了解snort的工作方式。作为一个应用程序,snort工作在用户模式下,所有的网络数据包需要从内核传递给snort,然后由snort执行分析。这个传递过程通常是通过libpcap库来完成的,由于这个库能够支持多种平台,因而snort就可以支持多种平台。在Linux下,从内核向应用程序传递数据包是直接的,不进行任何判断,而在BSD Unix下,这通常是要通过一个BPF的过滤器来完成,这个过滤器能在内核中完成一定的分析判断,从而减少内核和应用程序的通信量,提高性能。然而,对于snort这样的系统,几乎将所有的数据包都传递到用户程序中进行处理,这样就导致没有利用BPF的功能,反而多了一道处理步骤。因此,真正发挥BSD Unix性能优势的IDS系统,应该将BPF的能力利用起来,这样在性能方面并不会差于,甚至要优于其他种类的系统。当然,具体的网络性能还要受到包括网卡驱动的性能等多方面的影响。2. BSD的可定制性众多网络设备使用BSD的另一个原因是BSD Unix具备的高度可定制性。例如,可以将系统定制的比较小,以至于能运行在Flash中,这样就可以使得整个系统没有机械部件,减少机械故障的发生几率。BSD Unix很早就具备了支持嵌入式系统的这些可定制版本,例如FreeBSD下的PicoBSD,用户可以非常简单的,通过菜单形式的定制,就可以生成可以放置在一个软盘中的BSD系统。最近,又出现了embedbsd、closedbsd等类似的嵌入式BSD系统,事实上,即便不使用这些系统,也可以很容易的定制出一个足够小,可以运行在Flash系统上的小BSD系统。当然,虽然BSD Unix能够很容易的进行这些定制,但并不意味着BSD Unix完全进入嵌入式系统领域,目前,嵌入式系统的焦点位于PDA、机顶盒领域,这些领域中通常要求对GUI和用户程序的定制,已经有不少嵌入式Linux厂家在这些领域努力并开拓着。但对于更看重网络处理能力的网络安全设备而言,BSD Unix更受欢迎。3. BSD的许可对于商业网络安全厂商而言,采用BSD Unix还有一个重要的因素,就是许可权因素。虽然,BSD Unix和Linux等系统下,已经包括了很多这些丰富的网络安全功能,但是如果一个安全厂商只是简单的应用这些功能,那么他对于其他厂商而言有什么优势呢?而且作为自由软件和通用软件,这些网络安全功能通常考虑是软件本身的结构、可移植性等等,并没有极端追求某种性能,也可能缺乏一些比较少用的安全功能。因此,比较好的网络安全设备供应商,应该提供对系统进行比较多的开发和定制,甚至重新开发相关软件,或者设计一些特殊的加速处理硬件,并在自己的系统进行支持。然而,按照Linux使用的GPL许可权,这些相关的改动应该公布出去。事实上,很少有厂家这么做,这可能有两种不同的原因,一个是他们本来就没有进行什么有意义的开发,只不过进行了一些简单的定制,将系统装到了工控机系统中而已,另一种可能就是他们进行了开发,但不愿意公布,那么事实上他们违反了GPL。这样一来,使用BSD Unix的厂商更为诚实一些,因为BSD许可权并没有强制商业厂商一定要公布他们自己修改系统的代码。这样的厂商,应该是比另一类厂商更值得信赖吧!4.基于硬件和软件的网络安全设备从前面的讨论,我们可以看出,如果没有一些特殊的优化和功能性的改进,一个基于BSD或Linux的网络安全设备是非常容易实现的,因为基本的功能,BSD或Linux系统本身已经完全具备了,厂商所需要的开发任务也就是对系统的定制,和管理界面的开发等相对简单的任务。这也就是最近两年来,国内出现了无数家网络安全设备提供商的原因。这么多网络安全设备提供商,就使得网络安全市场非常混乱,最终用户很难搞清楚一个厂商是对系统进行了特殊开发,提供了必要的安全功能,还是只是声称进行了特殊开发,其实系统内核仍然只是BSD或Linux。因为是否进行特殊开发对于用户来讲是不可见的,但对于厂商来讲,必然涉及重要的成本投入,影响设备的最终价格。这个时候,用户也只好将分析判断的能力交给品牌等其他的因素,就个人的意见而言,国内的一些所谓知名网络安全品牌,也没有做什么特殊的开发。当然,进行过特殊开发的网络安全设备,在一些安全指标上还是会显著的优势的。例如抗DOS攻击能力,一个普通的系统,大约十几兆的syn flooding攻击包就可以将系统完全瘫痪,但具备这个防护能力的安全系统就会仍然正常运行,更优秀的安全系统还会保护正常连接的正常通信。如果一个安全设备具备了这些特殊的安全特性,用户花费几万、十几万的费用去采购这样的一个设备还是物有所值的,否则,如果只是获得的一个简单定制过的BSD/Linux系统,作为一个网络安全行业的旁观者,说实话,对此感到特别的悲哀。当然,虽然进行特殊的开发能够增强网络安全,从另一方面来讲,更多的低端市场并不需要这些高级功能,很可能一些基础的防火墙功能就足够了,这样的话,简单定制过的BSD/Linux系统,也是可以满足低端用户的需要的。但是,虽然相关的安全指标还有不少,遗憾的是,用户很难获得权威的第三方中立评测机构对不同系统的评测,将市场正确的划分为高中低端,指导用户对安全设备的采购。这就使得目前市场如此的混乱,用户无法进行正确的判断。既然很多低端设备本身就是一个简单的BSD或Linux,那为何还要迷信硬件安全设备呢?在国外,软件形式已经开始成为低端网络安全市场中非常重要的一部分,很多Linux厂商都发行了安全系统软件,包括标准的操作系统和安全相关的管理界面,以及预先定制好的安全策略等等,用户只需要简单安装,就可以在普通服务器系统中实现一个基本的网络安全设备,这样的系统并不次于所谓的硬件设备,而且要灵活的多,用户也比较容易承担和实施。但是考虑到国内的实际情况,国内IT决策人员对硬件设备存在一种近乎迷信的信任,总认为硬件设备要比软件强,这样就导致例如checkpoint这样在国外只做软件的公司,在国内竟然也做硬件设备起来了,此外,安全厂商也存在盗版的顾虑,宁愿开发硬件版本,因此这种低端市场软件化的进程会比国外要慢得多,但它显然也是网络安全市场的低端领域的一个重要发展方向。5.网络安全服务使用网络安全设备的好处是比较简单,只需要将设备连接上,简单配置之后,就可以实施相应的网络安全策略。但是,这些基于网络安全设备的安全策略,实质上是比较简单的,用户的网络状况多种多样,具体的安全需求也多种多样,这就导致真正的网络安全策略是比较复杂的,需要有网络安全方面的专家根据具体的需求量身定做,这就给安全服务提供了生存空间。事实上,很多厂商转向网络安全服务也是不得已的行为,因为BSD和Linux的出现,使得网络安全设备的门槛极度降低,这么多安全设备厂商,又没有比较权威的评测,这么混乱的状态,就使得一些厂商转而去提供安全服务,提供网络安全评估、分析并提出建议,甚至帮助进行系统实施等等。事实上,网络安全服务对于真正需要实施网络安全的网络系统而言,是十分必要的,这就体现了个性化的安全需求。但是对于大部分普通用户,如果没有那么高的安全需求,也许低端的网络安全设备或安全软件就已经能够满足需要了。
[1] [2]  

(出处:http://www.sheup.com)


 [1] [2] 

标签: