All Internet Control Message Protoc

All Internet Control Message Protocol (ICMP) data should be denied. Pings, formally known as ICMP Echo requests, are used by internal systems administrators to ensure that clients and servers can communicate. There is virtually no legitimate use for ICMP outside the network, except to test the perimeter routers. ICMP uses port 7 to request a response to a query (e.g., “Are you there?”) and can be the first indicator of a malicious attack. It’s best to make all directly connected networking devices “black holes” to external probes. Trace route uses a variation on the ICMP Echo requests, so restricting this one port provides protection against two types of probes. Allowing internal users to use ICMP requires configuring two rules, as shown in Table 6-10.
The first of these two rules allows internal administrators (and users) to use ping. Note that this rule is unnecessary if internal permissions rules like those in rule set 2 is used. The second rule in Table 6-10 does not allow anyone else to use ping. Remember that rules are processed in order. If an internal user needs to ping an internal or external address, the firewall allows the packet and stops processing the rules. If the request does not come from an internal source, then it bypasses the first rule and moves to the second.
Rule Set 6: Telnet (terminal emulation) access to all internal servers from the public networks should be blocked. Though not used much in Windows environments, Telnet is still useful to systems administrators on Unix/Linux systems. But the presence of external requests for Telnet services can indicate an attack. Allowing internal use of Telnet requires the same type of initial permission rule you use with ping. See Table 6-11. Note that this rule is unnecessary if internal permissions rules like those in rule set 2 is used.
Rule Set 7: When Web services are offered outside the firewall, HTTP traffic (and HTTPS traffic) should be blocked from the internal networks via the use of some form of proxy access or DMZ architecture. With a Web server in the DMZ you simply allow HTTP to access the Web server, and use rule set 8, the cleanup rule (which will be described shortly), to prevent any other access. In order to keep the Web server inside the internal network, direct all HTTP requests to the proxy server and configure the internal filtering router/firewall only to allow the proxy server to access the internal Web server. The rule shown in Table 6-12 illustrates the first example. This rule accomplishes two things: it allows HTTP traffic to reach the Web server, and it prevents non-HTTP traffic from reaching the Web server. It does the latter via the cleanup

ผลลัพธ์ (ไทย) 1:

ข้อมูลทั้งหมดในอินเทอร์เน็ตควบคุมข้อความโพรโทคอล (ICMP) ควรถูกปฏิเสธ Pings ซึ่งเป็นการร้องขอ ICMP Echo ที่ใช้ดูแลระบบภายในเพื่อให้แน่ใจว่า ไคลเอนต์และเซิร์ฟเวอร์สามารถสื่อสาร มีใช้แทบไม่ถูกต้องตามกฎหมายสำหรับ ICMP นอกเครือข่าย ยกเว้นการทดสอบเราเตอร์ในขอบเขต ICMP ใช้พอร์ต 7 การร้องขอการตอบสนองที่แบบสอบถาม (เช่น, "มีคุณ") และสามารถบ่งชี้แรกของการโจมตี มันเป็นที่ดีที่สุดเพื่อให้อุปกรณ์ทั้งหมดเชื่อมต่อโดยตรง "หลุมดำ" หัววัดภายนอก ติดตามเส้นทางใช้รูปแบบในการร้องขอเอคโค ICMP ดังนั้นการจำกัดนี้หนึ่งพอร์ตช่วยป้องกันชนิดสองหัว ช่วยให้ผู้ใช้ภายในจะใช้ ICMP ต้องสองกฎ การกำหนดค่าดังแสดงในตาราง 6-10ครั้งแรกของสองกฎเหล่านี้ช่วยให้ผู้ดูแลระบบภายใน (และผู้ใช้) การใช้ ping หมายเหตุว่า กฎนี้ไม่จำเป็นถ้ากฎสิทธิ์ภายในอย่างเช่นในกฎตั้ง 2 เป็นใช้ กฎสองในตาราง 6-10 ไม่อนุญาตให้ผู้อื่นใช้ ping อย่าลืมว่า กฎการประมวลผลตามลำดับ ถ้าผู้ใช้ภายในที่ต้องการการ ping อยู่ภายใน หรือภายนอก ไฟร์วอลล์ช่วยให้แพคเก็ต และหยุดการประมวลผลกฎ ถ้าการร้องขอไม่ได้มาจากแหล่งภายใน จากนั้นก็ทะลุกฎข้อแรก และย้ายไปที่สองชุดกฎ 6: เข้าถึง Telnet (การจำลอง terminal) ไปยังเซิร์ฟเวอร์ภายในทั้งหมดจากเครือข่ายสาธารณะควรจะถูกบล็อก แม้ไม่ได้ใช้มากในสภาพแวดล้อม Windows, Telnet จะยังคงเป็นประโยชน์แก่ระบบผู้ดูแลระบบบนระบบ Unix/Linux แต่การปรากฏตัวของการร้องขอภายนอกสำหรับบริการ Telnet สามารถระบุการโจมตี อนุญาตให้ใช้ภายในของ Telnet ต้องชนิดเดียวกันของกฎสิทธิ์เริ่มต้นที่คุณใช้กับปิง ดูตารางที่ 6-11 หมายเหตุว่า กฎนี้ไม่จำเป็นถ้ากฎสิทธิ์ภายในอย่างเช่นในกฎตั้ง 2 เป็นใช้ ชุดกฎ 7: เมื่อเว็บมีบริการภายนอกไฟร์วอลล์ รับส่งข้อมูล HTTP (และปริมาณการใช้ HTTPS) ควรถูกบล็อกจากเครือข่ายภายในผ่านการใช้รูปแบบของการเข้าถึงพร็อกซีหรือสถาปัตยกรรม DMZ กับเว็บเซิร์ฟเวอร์ใน DMZ คุณเพียงแค่อนุญาต HTTP ในการเข้าถึงเว็บเซิร์ฟเวอร์ และตั้งกฎใช้ 8 ล้างกฎ (ซึ่งจะอธิบายในไม่ช้า), เพื่อป้องกันการเข้าถึงอื่น ๆ เพื่อให้เว็บเซิร์ฟเวอร์ภายในเครือข่ายภายใน โดยตรงการร้องขอ HTTP ทั้งหมดไปยังพร็อกซีเซิร์ฟเวอร์ และตั้งค่าคอนฟิกการกรองเราเตอร์/ไฟร์วอลล์ภายในเพียงเพื่อให้พร็อกซีเซิร์ฟเวอร์การเข้าถึงเว็บเซิร์ฟเวอร์ภายใน กฎการแสดงในวันที่ 6-12 ตารางแสดงตัวอย่างแรก กฎนี้สำเร็จสองสิ่ง: จะช่วยให้รับส่งข้อมูล HTTP ในการเข้าถึงเว็บเซิร์ฟเวอร์ และจะป้องกันไม่ให้การจราจรไม่ใช่ HTTP เว็บเซิร์ฟเวอร์ที่เข้าถึง ไม่ผ่านการล้างหลัง

ผลลัพธ์ (ไทย) 2:

ทั้งหมดการควบคุมอินเทอร์เน็ต Message Protocol (ICMP) ข้อมูลที่ควรได้รับการปฏิเสธ ปิงอย่างเป็นทางการที่ร้องขอ ICMP Echo จะถูกใช้โดยผู้ดูแลระบบภายในเพื่อให้มั่นใจว่าลูกค้าและเซิร์ฟเวอร์สามารถสื่อสาร นอกจากนี้แทบไม่มีการใช้งานที่ถูกต้องสำหรับ ICMP นอกเครือข่ายยกเว้นในการทดสอบเราเตอร์ปริมณฑล ICMP ใช้พอร์ต 7 การร้องขอการตอบแบบสอบถาม (เช่น "คุณมี?") และสามารถเป็นตัวบ่งชี้แรกของการโจมตีที่เป็นอันตราย มันเป็นเรื่องที่ดีที่สุดที่จะทำให้ทุกอุปกรณ์เครือข่ายที่เชื่อมต่อโดยตรง "หลุมดำ" เพื่อโพรบภายนอก ติดตามเส้นทางการใช้รูปแบบในการร้องขอ ICMP Echo ดังนั้นการ จำกัด นี้พอร์ตให้การป้องกันทั้งสองประเภทของยานสำรวจ ช่วยให้ผู้ใช้ภายในเพื่อใช้ ICMP ต้องกำหนดค่าสองกฎดังแสดงในตารางที่ 6-10.
ครั้งแรกของทั้งสองช่วยให้ผู้ดูแลกฎระเบียบภายใน (และผู้ใช้) เพื่อใช้ปิง โปรดทราบว่ากฎนี้ไม่จำเป็นถ้ากฎสิทธิ์ภายในเช่นผู้ที่อยู่ในการปกครองของชุดที่ 2 ถูกนำมาใช้ กฎข้อที่สองในตารางที่ 6-10 ไม่อนุญาตให้คนอื่นที่จะใช้ปิง โปรดจำไว้ว่ากฎมีการประมวลผลในการสั่งซื้อ หากผู้ใช้ภายในจำเป็นต้อง ping ที่อยู่ภายในหรือภายนอกไฟร์วอลล์ช่วยให้แพ็คเก็ตและหยุดการประมวลผลกฎ ถ้าขอไม่ได้มาจากแหล่งภายในแล้วมันทะลุกฎข้อแรกและย้ายไปที่สอง.
กฎชุดที่ 6: Telnet (จำลอง terminal) การเข้าถึงเซิร์ฟเวอร์ภายในทั้งหมดจากเครือข่ายประชาชนควรถูกบล็อก แม้ว่าจะไม่ได้ใช้มากในสภาพแวดล้อมของ Windows Telnet ยังคงมีประโยชน์ผู้ดูแลระบบบนระบบ Unix / Linux แต่การปรากฏตัวของการร้องขอภายนอกสำหรับบริการ Telnet สามารถบ่งบอกถึงการโจมตี ช่วยให้การใช้งานภายในของ Telnet ต้องใช้ชนิดเดียวกันของการปกครองได้รับอนุญาตครั้งแรกที่คุณใช้กับปิง ดูตารางที่ 6-11 โปรดทราบว่ากฎนี้ไม่จำเป็นถ้ากฎสิทธิ์ภายในเช่นผู้ที่อยู่ในการปกครองของชุดที่ 2 จะใช้.
ข้อบังคับตลาดหลักทรัพย์ 7: เมื่อบริการเว็บมีให้บริการภายนอกไฟร์วอลล์การจราจร HTTP (และ HTTPS จราจร) ควรถูกบล็อกจากเครือข่ายภายในผ่านการใช้งานของ รูปแบบของการเข้าถึงพร็อกซี่หรือสถาปัตยกรรม DMZ บาง กับเว็บเซิร์ฟเวอร์ใน DMZ คุณก็ช่วยให้ HTTP เพื่อเข้าถึงเว็บเซิร์ฟเวอร์และใช้กฎตั้ง 8 กฎการทำความสะอาด (ซึ่งจะอธิบายในไม่ช้า) เพื่อป้องกันการเข้าถึงอื่น ๆ เพื่อที่จะให้เว็บเซิร์ฟเวอร์ที่อยู่ภายในเครือข่ายภายในโดยตรงร้องขอ HTTP ทั้งหมดไปยังพร็อกซีเซิร์ฟเวอร์และกำหนดค่าภายในกรองเราเตอร์ / ไฟร์วอลล์เท่านั้นที่จะช่วยให้ร็อกซี่เซิร์ฟเวอร์ในการเข้าถึงเว็บเซิร์ฟเวอร์ภายใน กฎที่แสดงในตารางที่ 6-12 แสดงให้เห็นถึงตัวอย่างแรก กฎนี้สำเร็จสองสิ่ง: มันจะช่วยให้การจราจร HTTP ในการเข้าถึงเว็บเซิร์ฟเวอร์และจะป้องกันไม่ให้การจราจรไม่ใช่ HTTP จากการเข้าถึงเว็บเซิร์ฟเวอร์ มันไม่หลังผ่านการทำความสะอาด