文档介绍：WEB开发技术
题目：浅谈应用层防火墙
姓名: 班级: 教师: 日期:
报告摘要：
多种的应用层协议是用户使用电脑进行日常的操作的重要组成，也正因如 此，Web应用程序攻击是一种最常见的入侵类型。传统的网络防火墙不能检测到 。直到当日凌晨4点左右，CN根域名服务器的解 析才有部分恢复。此后，经CNNIC确认，国家域名解析节点遭受到有史以来规模 最大的拒绝服务攻击，导致访问延迟或中断，部分网站的域名解析受到影响。
•例2：
DNET安全频道10月2日国际新闻：目前已经出现一类恶意软件——Fort Disco,旨在利用暴力密码破解攻击突破电子邮件及FTP服务器。
这款恶意软件已经被DDoS攻击防御供应商Arbor Net works公司记录在案， 目前感染的Windows计算机估计超过25000台，影响范围超过6000个管理员用 户。一旦计算机受到感染，该恶意软件会定期连接到命令与控制(简称
C&C)服务 器进行指令检索，其中通常包含数千网站及密码列表、时刻尝试访问其管理员账 户。
以暴力方式攻击POP3 (Post Office Protocol version 3允许电子邮件客 户端与邮件服务器连接并检索来自现有账户中的信息)，对FTP证书进行暴力破 解。网络犯罪分子已经可以肆意窥探他人的信息。
•例3：
Telnet攻击常被用来控制主机。对于入侵者而言，telnet不是一个协议只 是一种远程登录的工具。一旦入侵者与远程主机建立了 telnet连接，入侵者便 可以使用目标主机上的软、硬件资源，而入侵者的本地机只相当于一个只有键盘 和显示器的终端而已。而入侵者就会使用这台主机当作一个“跳板”这样在入 侵过程中就不会暴露自己的IP地址，亦可以再继续恶意破坏网络。
以上的三个例子都充分的说明了应用层存在的安全隐患，由此应用层防火墙 才越来越受到关注。
应用层防火墙(Application level gateway)
也叫应用层网关，或应用层代理防火墙，通常用于描述第三代防火墙。当一 个用户在这个可信赖的网络希望连接到在不被信赖的网络的服务，这个应用专注 于在防火墙上的代理服务器。这个代理服务器有效地伪装成在因特网上的真实服 务器。它评估请求和决定允许或拒绝基于一系列被个人网络服务管理规则的请 求。
应用层防火墙是在TCP/IP堆栈的应用层上运作的。应用层防火墙可以拦截 进出某应用程序的所有封包，并且封锁其他的封包(通常是直接将封包丢弃)。理 论上，这一类的防火墙可以完全阻绝外部的数据流进到受保护的机器里。因此， 在现代计算环境中，应用层防火墙可以减少攻击面。
一个应用层防火墙有两种途径可以实现，一是主动采取措施的主动安全模型 (positive security model)，另一种是通过与已知攻击特征进行比对来认定攻 击行为的被动安全模型(negative security model)。也就相当于“代理服务器” 的能力，这样它就可以保护主体和客体，防止其直接联系。代理服务器可以在其 中进行协调，这样它就可以过滤和管理访问，也可以管理主体和客体发出和接收 的内容。这种方法可以通过以各种方式集成到现有目录而实现。应用层防火墙还 能够仿效暴露在互联