波仔
📡 第五章 防火墙功能与防范威胁的对策
📄 一句话概括

防火墙是门卫：它管得了「谁进来」，管不了「进来之后干什么」。 所以指望它防住一切，是对它职责的误解，不是它能力不足。

📝 本节和前面几节的关系

这一节给的是「能力边界」，不是「功能清单」。 能力边界比功能清单重要，因为功能清单会过时，边界不会。

一、它确实防得住的三类

一、外部扫描：扫描的本质是「试很多端口看哪个开着」， 而防火墙的工作恰好是「没开的就不回应」。这是它最擅长的事，几乎零成本。

二、未授权访问：「默认拒绝」这一条策略，就挡掉了绝大多数「顺手试试」的行为。 而现实中的攻击，很大一部分就止步于此。

三、协议畸形包： LAND、泪滴、超大分片这些，特征是「合法字段的非法组合」，而防火墙恰好有完整的包头可以做一致性检查。

三类的共同点：判断依据全在包头里，不需要知道「内容是什么」。 这就是「它防得住什么」的判据。

二、它防不住的三类

一、内容层的东西： 钓鱼邮件、恶意附件、网页挂马——它们都「走合法的端口、发合法的包」，区别只在载荷里。

二、身份与权限：一个合法用户用合法账号拷走数据，防火墙看到的是「正常的 443 流量」。 它没有「这个人该不该看这份文件」的信息。

三、内部横向：同一网段内两台主机互相攻击，流量根本不经过防火墙。 这也是「微隔离」这类技术出现的原因。

三类的共同点：判断依据不在包头里，而在「内容」「身份」「位置」上。 而这三样，都不是一个网络层设备能拿到的。

三、正确的期待

把防火墙当成「一层」而不是「一道墙」，是理解它职责的关键。

层 管什么 典型手段

网络层 谁能连谁 防火墙、ACL 主机层 这台机器能干什么 终端防护、EDR 应用层 这份内容有没有害 邮件网关、沙箱 身份层 这个人该不该有权限 认证、权限系统

四层各管一段，缺一层就漏一段。 所以「买了防火墙为什么还被钓鱼」这个问题本身问错了——钓鱼是应用层的事，不归网络层管。

反过来说也成立： 只有终端防护没有防火墙，同样漏——因为被攻陷的主机会「从内部」发起连接，终端防护未必拦得住。 分层防御不是「多买几台设备」，是「每层都有人管」。

四、动手 Demo：哪些威胁防火墙真防得住

这段把七类常见威胁列出来，逐条判断防火墙能不能做、做得到什么程度，再看「能」的那两条是什么性质。

rows = [
    (u"外部扫描", u"按策略丢弃", u"能"),
    (u"未授权访问", u"默认拒绝", u"能"),
    (u"SYN 洪水", u"阈值与代理", u"能缓解不能根除"),
    (u"钓鱼邮件", u"看不了邮件正文", u"基本不能"),
]
for a, b, c in rows:
    T([a, b, c], [0, 0, 0])

实跑输出：

--------------------------------------------------------------------
哪些威胁防火墙真防得住
--------------------------------------------------------------------
**防火墙是「网络层与传输层的门卫」**，**它管得了地址与端口，管不了人和内容。**

  威胁               防火墙能做的             防得住吗
  --------------------------------------------------------------
  外部扫描           按策略丢弃               能
  未授权访问         默认拒绝                 能
  SYN 洪水           阈值与代理               能缓解不能根除
  蠕虫横向扩散       区域隔离                 能拖慢
  钓鱼邮件           看不了邮件正文           基本不能
  内部人员拷数据     流量认得，意图认不得     不能
  零日漏洞利用       没有签名                 不能

**七条里只有两条是「能」**，**而这两条恰好是最常见、最便宜挡的那两类。**

**这就是为什么防火墙后面还要有终端防护、邮件网关、EDR**——**不是防火墙不行，是它只负责它那一层。**

七条里只有两条是「能」，这个比例要记住： 它说明防火墙的价值不在「全能」，在「把最便宜的那部分威胁挡在门外」。 而现实中的攻击量，恰好大部分就是那部分。

「能缓解不能根除」这一档最容易被误解：SYN 洪水打的是「连接建立的成本差」， 防火墙能做的是「替服务器先握手」或者「按源限速」， 但只要攻击流量大于链路带宽，什么设备都救不了。

最后那张四层表是本节的落点：把它抄下来，再把你手上的安全设备逐个对号入座， 缺哪一层一眼就能看出来。 这比背「防火墙有哪些功能」有用得多。

30 秒实验

  1. 列出你单位现有的安全设备，按四层分类，看哪一层是空的。
  2. 想一想：为什么内部横向攻击防火墙管不到？
  3. 查一下「微隔离」是什么，它补的是哪一层。

常见误区

  1. 以为防火墙能防病毒。病毒在载荷里，包过滤看不见。
  2. 以为有了防火墙就不用终端防护。被攻陷的主机从内部发起连接。
  3. 以为「挡不住」就是「没用」。它挡掉的是量最大的那一部分。
自测三问（点开对答案） 1. 防火墙防得住的三类威胁，共同点是什么？ —— 判断依据全在包头里，不需要知道内容是什么。 2. 为什么防火墙防不住内部横向攻击？ —— 同网段主机之间的流量不经过防火墙，它根本看不到。 3. 分层防御的四层分别是什么？ —— 网络层、主机层、应用层、身份层，各管一段，缺一层漏一段。

下一节：进第五章的核心——把防火墙的功能一个一个拆开，从会话管理开始。

相关笔记