顶级防火墙LooknStop的配置详解
添加时间: 2008-3-5 15:46:06 作者: 网络安全 阅读次数:255 来源: http://www.d9soft.com
“过滤类型”里提供了3种类型选择，分别为“允许”、“自定义”和“禁止”，如果用户没有为这个程序设置特殊规则，则只会在“允许”和“禁止”两种类型之间选择，否则为三种。直接双击程序名字就可以设置“过滤类型”，里面分别提供了TCP和UDP协议的端口和IP设置，LooknStop强大的灵活设置性能再次体现了出来：单独输入IP或端口，则规定这个程序只能访问用户指定的IP或端口，多个端口之间用分号“;”分隔，IP同上。
看到这里，一些用户可能会想，是不是只能设置允许访问的地址呀？其实不然，LooknStop的强大之处正是在于它能通过尽量少的对话框完成尽量多的操作——要设置程序禁止访问的IP，只需要在同样的设置对话框里设定IP或端口时在前面加一个感叹号“!”即可，可以说，LooknStop把“简洁就是美”的信奉发挥到了极致！
现在让我们来看看“进程调用”，首先我要简单介绍一下“进程调用”的概念，有时候，一个程序要访问网络并不是通过它自身实现的，而是调用了外置的DLL函数，这样的话，最终访问网络的程序就是那个DLL文件而不是程序本身，许多防火墙都认为，通过程序宿主进程启动进而访问网络的模块也是符合条件的，因此不会做任何阻拦，但是LooknStop仍然不信任任何模块，它会忠实的报告并控制每个子进程DLL的网络连接并提示用户，在如今这个“代码插上翅膀”（线程注射）越来越猖獗的年代里，这样的限制是十分有必要的，很多防火墙正因为过于信任程序调用的进程模块，导致一些DLL类型的木马得以搭载顺风车，给用户的系统安全带来威胁。针对这种情况，LooknStop提供了“进程调用”的控制功能，分别为“允许”（双箭头标志）和“禁止”（红色停止标志），一旦某个程序的“进程调用”被设置为禁止，该程序就只能通过自身访问网络了，所有通过它调用的模块都无法突破限制，这个设置对一些经常被后门搭顺风车的系统程序是很有用的，设置禁止后，我们就不用再怕灰鸽子之流通过IEXPLORE.EXE、Svchost.exe等程序突破传统意义的防火墙连接了。
最后，是一个标示为感叹号的设置项，它代表“连接记录”：灰色的点表示不记录，两个感叹号表示记录该程序的所有连接，而单独一个感叹号则是与“过滤激活”配合使用的，如果你把一个程序的“过滤激活”设置为“禁止”，以后这个程序再次请求访问网络的时候就会被LooknStop记录下来，如果一个奇怪的程序频频要求连接网络，那么它是木马的可能性将会很大！
从“应用程序过滤”这一部分就可以看出，LooknStop对程序的控制非常灵活和精巧，仅使用一个界面和一个对话框就能完成对4种程序控制方式，包括多达10个属性36种不同组合的控制能力，其对程序的控制能力可见一斑。
那么，LooknStop对网络协议的控制功能又如何呢？让我们进入“互联网过滤”，这里正是用户噩梦开始的地方。
这里同样是简洁而复杂的界面，简洁在于按钮的稀少，复杂在于太多列表控制的项目，一眼看去，几乎能让人摸不到头脑，但是这里正是所有防火墙思维的起点：防火墙规则集合。
从左到右依次为“启用规则”、“规则模式”、“匹配时记录”、“匹配规则后是否执行后续规则”、“匹配规则时声音或警报提示”。
“启用规则”里提供了3种类型选择，分别为“默认方式启用规则”、“自定义方式启用规则”和“不启用规则”，如果用户没有设置自定义规则，则只能在“默认方式启用规则”和“不启用规则”之间切换。
“自定义方式启用规则”取决于规则里定义的“应用程序”项目，表示该规则只对特定的应用程序起作用，当符合条件的程序启动后，这个暗红色带绿勾标志变为绿色带红勾标志，代表程序已经启动并处于防火墙规则控制之下。
“规则模式”允许两种选择：“拦截”和“允许”，LooknStop通过这里的标识决定符合该规则的程序是该允许访问网络还是被阻止访问网络，与其它防火墙产品对比，这样的设置方法是非常方便的，用户不需要重新进入规则设置便能直接修改规则行为。
“匹配时记录”提供了两个选项，“记录”和“不记录”，顾名思义，当一个满足规则设定的操作发生时，防火墙会根据这里的设置决定是否在日志里记录下这次操作信息。
“匹配规则后是否执行后续规则”是一个非常重要的规则行为标志，它提供两种选择，分别为“不匹配下一规则”和“匹配下一规则”，前面说过LooknStop的思想是阻止所有连接，而这里的规则设定就是其思想的具体实施方案，为了让程序能正常连接网络，同时也为了提高自身的执行效率，LooknStop提出了这个选项，它决定当一个符合防火墙设定的规则被执行后，是否要继续匹配下一条相同性质的规则，在这里我们可以方便的设置一些复杂的规则，例如我们需要增加一条允许本机打开80端口的规则，但是又不想为此开放所有低端口连接，那么就可以添加一条允许80端口的规则，并设置其“后续规则”为“不匹配”，那么就可以在保留原规则不变的同时增加本机开放80端口的功能了。
“匹配规则时声音或警报提示”有3种类型选择，分别为“声音报警”、“可视报警”和“不报警”，这个选项要与选项里的“声音”和“消息框”配合使用，第一种表示规则匹配时发出声音报警，第二种表示规则匹配时弹出消息框并同时发出声音报警，如果你觉得噪音扰民，可以设置为最后一种，还你一个安静的环境。
3.防火墙的灵魂——规则设置
任何防火墙都在各种规则的引导下运行，LooknStop也不会例外，而其恰恰正是因为规则难以配置而“闻名”的，要真正驯服这个强悍的小家伙，就必须理解并解决规则设置，在“互联网过滤”界面里点击“添加”，会弹出一个略显复杂的对话框出来。相对于大部分国内防火墙产品而言，LooknStop提供的可供设置的数据类型和模式多了不少，如果用户对各种协议的概念不是很了解，在面对这部分的时候就会很头痛了，LooknStop在这个设置对话框里提供了8大类设置，分别为“规则名称”、“方向”、“规则说明”、“以太网”、“IP”、“TCP标识”、“来源”和“目标”。
“规则名称”很容易理解，用户就是在这里设置特定规则名称的，“规则说明”则是为了描述这条规则的功能和用途，除了这两个选项不需要特别讲解以外，其他部分请仔细听好！
在开始动手之前，必须先了解一件LooknStop特有的事情，这款防火墙在编辑规则时是中性的，我们不能从这个界面里设置某条规则是给予通行还是拦截，一旦你保存这条规则，LooknStop则默认了此规则是“允许通行”的，要设置为“拦截”的话必须在保存后自行到主界面上相应的“规则模式”里设置为“拦截”。
其次，LooknStop的信任关系是基于IP地址和MAC地址双重检测的，这是一种理想的信任关系模式，IP地址和MAC地址分别都是可以欺骗的，但是如果IP和MAC结合起来，就很难实施欺骗了，而且也正是这种信任模式，它的规则设置才容易让人迷惑，其实只要理解了其思想，对这款防火墙的规则设置就不复杂了。
明白这两个基本概念后，我们正式开始吧。
首先是“以太网:类型”区，这部分到底表达了什么，笔者最初也是头痛了很久，经过多次试验后终于发现，这里其实是让防火墙知道你的机器环境是在局域网内还是互联网中的独立机器，或者说，控制某条规则是适合在局域网中使用还是在单机环境中使用。
这个区域里提供了4种选择，分别是“全部”、“IP”、“ARP”和“其它”，“全部”表示包含后面三种类型的协议，一般很少用到，除非你的机器所处的网络环境非常复杂，有多种系统一起运作，否则只需要选择“IP”类型即可，这是一种最兼容最常用的类型。
“ARP”类型只能在局域网内使用，也就是专为局域网环境设定的，由于它涉及MAC地址，故脱离了局域网环境就无效了，除非你是在局域网内使用机器，否则不要选择这个类型。
其次是“IP”区，这里又分为3个小区，最左边的“协议”用于为当前规则指定协议，LooknStop提供了9种选择，除了“全部”以外，几乎包含了各种常见协议类型，一般只需要设置TCP、UDP或ICMP其中之一即可，虽然曾经有过IGMP Nuke，可是现在也基本上没有人用Windows 98作为工作环境了吧，所以连IGMP防御都可以免了……
右侧的“碎片偏移”和“碎片标志”分别用于更详细的检测过滤IP头部的偏移位和标志位，可以用于防止特定标志位的碎片数据报攻击，不过对于普通用户来说，我们并不需要特别指定这里的内容，一般选择“全部”即可。
然后到“TCP标识”区，这里其实不是只有一个功能设定的，它还可以变为“ICMP”区或“IGMP”区，视前一个“IP”区的协议类型而定，用户只有选择了TCP协议以后才能进入TCP标识里设置要具体控制的TCP标志位，里面一共有URG、ACK、PSH、RST、SYN和FIN这6种标志位供用户选择，主要针对一些有特殊TCP要求的用户，例如某台机器被用作Internet网关时，如果想阻止局域网内的某台机器通过TCP协议连接某个外部端口，则可把TCP标志位设置为ACK，阻止远程连接传回的应答请求，该连接自然就无法成功建立，最终达到拦截的目的。
顶级防火墙LooknStop的配置详解(2) 第 [1] [2] [3] 下一页
上一篇文章: 安全防范 认识瞬时攻击的危险性 下一篇文章: Linux安全攻略：修复系统Root密码
相关文章: