SDSC安全技術(shù)部門的計算機安全經(jīng)理Abe Singer在6月1日舉行的2006年USENIX年度技術(shù)會議上介紹了該公司如何不使用防火墻保證牢固的安全的做法。他還制作了一個關(guān)于這個主題的演示文件。

Singer說，防火墻有一個“可怕的真相”:防火墻有性能問題、容易因為一連串的故障而受到攻擊、修改網(wǎng)絡一個地方的規(guī)則能夠在網(wǎng)絡的另一個地方造成安全漏洞。他說，IT專業(yè)人員做過一個例行性的防火墻試驗，發(fā)現(xiàn)有若干窗口是敞開的。但是，所有問題中最大的問題就是防火墻內(nèi)部的人是不能信賴的。

Singer說，防火墻不能保護你防止你的公司內(nèi)部的人做什么。如果我要偷竊一個銀行，我不會設法穿過它們的防火墻。我將在銀行的郵件中心找一個工作。

有些人會問，SDSC為什么不使用防火墻再增加一層安全防御。原因之一就是現(xiàn)有的安全基礎設施沒有防火墻已經(jīng)工作得足夠好了。防火墻在一個需要開放的環(huán)境中引起的麻煩超過了它存在的價值。超級計算機資源是用來進行科學研究的，通常需要使用沒有封閉的端口。

允許通信從每一個端口通過的防火墻不能提供任何保護作用，而不允許通信經(jīng)過某些端口的防火墻只能起到防御外部攻擊的作用，僅此而已。防火墻必須要允許一些通信經(jīng)過，如果接收防火墻后面的通信的機器存在安全漏洞，這個機器也會被黑客攻破。

六年僅發(fā)生一次攻擊

SDSC在將近六年的時間里僅發(fā)生了一次安全事件。這對于一個擁有數(shù)千臺計算機和在全球范圍內(nèi)有6000多用戶的一個機構(gòu)來說是一個很好的記錄。在這6000多用戶中，只有大約300個用戶是在公司所在地辦公的，其余用戶都在全球各地的研究機構(gòu)。

該公司最近發(fā)生的一次安全突破事件是在兩年前。當時，一位16歲的黑客使用一臺劫持的計算機中的軟件嗅探出口令和其它登錄數(shù)據(jù)。后來，這臺被劫持的計算機發(fā)現(xiàn)有人登錄SDSC網(wǎng)絡，這個黑客就可以跟著登錄了。

在記錄檢查中，他被發(fā)現(xiàn)了，這個黑客在網(wǎng)絡中到處尋找可以利用的計算機。他找到了幾臺要攻破的計算機。這些計算機使用了安全補丁，但是沒有重新啟動。這個事件是攻擊許多研究機構(gòu)的一次大型攻擊活動的一部分。

Singer說，在這種攻擊中，有沒有防火墻是一樣的。入侵者是通過一個可信賴的用戶間來的，系統(tǒng)可以識別他們的身份。防火墻也不能阻止他們。他們一旦登錄之后，他們的入侵者的行為使我們發(fā)現(xiàn)了他們。

Singer介紹說，SDSC的安全方法減少了網(wǎng)絡被攻破之后的影響范圍，并且?guī)椭摴狙杆倩謴停绕渌艿接绊懙臋C構(gòu)恢復得快。

　　不用防火墻防御的關(guān)鍵

Singer認為縮小攻擊影響范圍的安全措施是基于主機的并且包括下列標準:

·知曉計算環(huán)境;

·有一個集中的設置管理環(huán)境;

·實施定期的或者經(jīng)常的打補丁措施;

·保持嚴格的身份識別，包括嚴格禁止明文的口令。

大多數(shù)公開的攻擊活動，特別是蠕蟲，都是利用已經(jīng)有了補丁的安全漏洞，有些補丁甚至已經(jīng)發(fā)布好幾個月或者幾年了。積極地使用補丁可能解決大多數(shù)公司的90%的安全問題。

Singer說，在SDSC環(huán)境中禁止使用明文的口令是非常重要的。這個政策規(guī)定，禁止使用明文口令的身份識別協(xié)議，否則，被攔截和重復使用其它秘密的信息就會在SDSC的可信賴的網(wǎng)絡和其它網(wǎng)絡之間傳遞。

對于有權(quán)限的訪問，用戶必須解釋他們?yōu)槭裁葱枰L問和簽署一個可接受的使用協(xié)議，他們的管理者也要簽署這個協(xié)議。根口令僅提供給絕對需要的地方，例如在安裝過程中需要登錄到系統(tǒng)控制臺的人。

使用明文口令的賬戶很容易被嗅探到口令的黑客攻破，例如兩年前攻破SDSC網(wǎng)絡的16歲少年。這個規(guī)定實際上可以減少壞蛋成功的機會。

不要上觀念的當

Singer知道，有很多安全專業(yè)人員認為他的沒有防火墻的方法是個難題。但是，他爭辯說，企業(yè)太依賴防火墻了，常常到了荒謬的程度了。“防火墻對于有效的網(wǎng)絡安全是必要的”這個觀點太流行了，以至于人們認為你沒有防火墻就是錯誤的。他補充說，問題是防火墻提供了一種錯誤的安全感。

Singer說，我?guī)椭粋€私營研究所制定了一個全面的安全計劃。這個安全計劃以基礎設施保護為重點。他們雇用了一個新的首席技術(shù)官。這位首席技術(shù)官通知我們說，他要一個防火墻，因為每當他與其它公司的對手討論安全問題時，他們都對他不使用防火墻的做法表示懷疑。他感到他的名譽因此受到了傷害。

在后來召開的員工會議上，Singer說，那位首席技術(shù)官宣布那個機構(gòu)現(xiàn)在安全了，因為他們有了一個防火墻。但是，他們并沒有安全。一些工作人員就因為安全問題找過他。

防火墻什么時候是有用的

Singer表示，雖然SDSC沒有防火墻也過得很好，但是，他認為有些地方防火墻還是有用的。雖然大多數(shù)機構(gòu)把90%的時間和金錢都用在了防火墻上面，但是，防火墻的作用可能還不到5%。

他說，假如你知道你要防御什么的話，防火墻能夠提供額外一層保護。有些人說，防火墻是為沒有自我保護能力的機器使用的，如打印機和Windows計算機。

Singer承認，SDSC在某些情況下也嘗試使用了防火墻，主要是用于允許出網(wǎng)通信，而不是入網(wǎng)通信的防火墻。他說，防火墻能夠減少某些暴露。它提供了一個扼制點以便監(jiān)視和封鎖行為不軌的機器攻擊我們網(wǎng)絡中的其它機器。

但是，Singer最后認為，他并不認為用于基于主機安全的防火墻在過去的幾年里為SDSC提供了很好的服務。