: 推 agoodjob:防火墙真的有必要吗?我没用防火墙还不是用的好好的！ 11/21 09:39 : → tonitoni:回楼上...我觉得其实对於我们普通使用者 => 用心安^_^ 11/21 09:46 : 推 MixCopy:没必要就不会有防火墙了.... 11/21 12:24 : → way7344: 有点类似你家的墙,有必要吗? 一样遮风避雨防偷看 11/21 12:44 : 推 Raza:感觉没必要+1 不过我公司有装，有时候可以挡MIS乱连XD 11/21 19:42 引言恕删。 我认为防火墙是必要的。 有板友举了许多的例子，认为防火墙是多余的累赘，但是有许多的观念我不赞同。 我很喜欢用机车作为例子，我认为实体安全和网路安全常有很多接近的地方： 在台湾机车被窃是很常见的事，而大家也知道机车停在路边要锁大锁， 但是锁大锁不代表不会被盗，甚至碟煞锁暗锁磁石锁都锁了还是可能整台搬走， 而锁了大锁，遇到谢文苑教官之类的神手，可能十秒就开了。 "锁了大锁还是有被偷的可能"，"大锁根本防不住真正的高手"，这都是众所皆知的事实， 但是我们把机车停在路边还是会乖乖的锁大锁，这是为什麽呢？ 最主要的原因是： 1.车子可能会被偷，但是我们不希望车子被偷 2.锁大锁可以降低被偷的风险 3.锁大锁的成本很低(只要一分钟，而且大锁买一次可以用很久) 同理： 1.电脑可能中毒，但是我们不希望电脑中毒 / 个人资料外泄 2.安装防毒软体 / 防火墙可以降低中毒 / 个人资料外泄的风险 3.防毒软体 / 防火墙的成本(价格或是运算资源)可以很低，视你的选择而定 ◎ 下面我将一项项的描述我的观点： 1.电脑可能透过网路而中毒 / 被入侵 定期的更新作业系统与应用软体，可以降低中毒 / 被入侵的机会， 但是当一个弱点被发现，软体却还没有更新，你的电脑就存在着被侵入的风险， 所谓的0-day Exploit(漏洞)就是指这种状况。不伟大，但是它很危险，很容易快速扩散， 尤其是在防毒软体的特徵码还无法辨识该种病毒的时候(注1)， 只要你的电脑接上网际网路，就会有被新的弱点攻击的可能性。 另一种常听到的说法是：我只是个无名小卒，我的电脑又没什麽重要的资料， 骇客(Cracker)没事何必来入侵我的电脑？因此不用装防火墙也没有关系。 这种说法，有点低估了你的电脑对骇客的价值。 首先，发动攻击的往往不是本领高超的骇客，而是自动扩散的蠕虫(worm)， 这些恶意的程式进入受害者的电脑後，便开始全自动的在网路上随意搜寻其他的电脑， 如果找到了存在着漏洞的电脑，就透过漏洞复制一份自己，感染这台新的电脑後， 再一次的周而复始的寻找下一个受害者。 这些蠕虫写作者最终的目的，除了个人资料之外，更可能连电脑的控制权一起拿走， 於是，某个人就可以利用你的电脑作为跳板，来攻击其他人的电脑而避免追查； (更惨的是，如果有什麽犯罪行为，追查下去，查到的会是你的电脑的IP Address)(注2) 或是在感染的电脑累积到一定数量後，动用这些电脑对某人进行大规模的分散式攻击， 这些被控制的一大群电脑我们俗称botnet，而这些电脑的使用者往往完全不知情。 如果某个利用0-day漏洞的蠕虫问世，那麽就可能造重大的危害。 抱着"下一个不会是我"的侥幸心态，而让自己的电脑缺乏保护， 不但可能害了自己，也可能会造成更多的感染。 2.安装防火墙可以降低中毒 / 个人资料外泄的风险 运作正常的防火墙，可以防止蠕虫攻击，甚至是0-day攻击， 因为，防火墙可以阻挡外来的，不正常的连线进入，进而降低被攻击的风险， 用来触发漏洞的不正常的连线被挡下来了，自然漏洞就无法用来被攻击。(注4) 有板友提到"防火墙遇到规则没定义的就放行"，这边有一点错误， 任何功能完整的防火墙，遇到未知规则时，预设动作应该是阻挡或是询问，而不是放行； 如果对未知的规则做放行，那不是防火墙本身功能不完整，就是设定有误。 另外有板友提到，防火墙列出的记录档(log)洋洋洒洒列了一大堆， 其目的根本是威胁要你购买商业软体的理论，我认为是有一点多心了。 正常的防火墙软体，只会把所监控到的事实给写入记录档， 而事实就是每天来自蠕虫的攻击次数，远远的超过一般人的想像。 正因为如此，防火墙才是这麽的必要。 另一种情况，如果电脑被木马(trojan)感染了，而防毒软体没有侦测到这个病毒， 那麽，运作正常的防火墙，应该也可以侦测到不明的程式试着向外连线(注3)， 此时，我们也可以发现异常，并且做出处里。 甚至有时候，明明是正常的软体，我们却不希望它存取网路时，防火墙也可以派上用场。 那麽防火墙软体如果本身有漏洞的话，是不是反而会造成电脑的弱点？ 没错，而且这种状况也有发生过，像早期就出现过针对ZoneAlarm的弱点攻击的蠕虫， 但是我认为，防火墙软体的漏洞被攻击的可能性， 比起其他软体，甚至是作业系统的漏洞被攻击的可能性要低的多， 因此我认为，安装防火墙可以降低电脑被入侵 / 中毒的可能性。 3.防火墙的成本 这里所指的成本，包含两个项目，一个是软体授权的价格，一个是运算资源的成本。 市面上有很多防毒软体都有内建防火墙的功能，比起单独防毒软体的版本约贵了数百元， 也有许多需要付费的软体防火墙，价格在数百元到数千元不等。 是不是有这个需求，或是软体值不值得这个价钱，则要看各人而定。 但是，经济不景气的状况下，在板上大家最常推荐的还是免费软体， 目前有很多防火墙除了付费版外，另有提供免费的版本， 这些免费软体大多可以满足一般使用，甚至有些功能上还超越部分付费软体， 如果你是Unix-Like作业系统的使用者，更是有ipfw或是pf之类的软体可供选择， 如果不想再额外安装软体，WindowsXP在SP2以後也内建了半套的防火墙(注3)。 在不用钱的状况下，我们所需要考虑的就剩下运算资源的成本了。 软体是免费的，但是任何的软体都会占用CPU / 记忆体 / 硬碟的资源，这些也是成本， 但是，以我个人的经验，防火墙在今日的个人电脑，其资源占用量都不会太大。 以我手边现在有的软体来说： Comodo Personal Firewall常驻约占掉22MB的虚拟记忆体，硬碟空间57MB(不含LOG)， ZoneAlarm在常驻时约占掉32MB的虚拟记忆体，硬碟空间32MB(不含LOG); CPU使用率难以观测，在我的AthlonX2 3800+上，开启跟关闭Comodo感觉不到任何差异， 在我的P3-800上面，ZoneAlarm平时常驻的状况，CPU使用率约在0% - 1% 之间摆动。 如果你的电脑速度不快，或许你可以考虑较省资源的产品，有很多选择可供参考。 但是，以今日电脑的运算能力与记忆体大小，防火墙应该不会是太大的负担。 电脑在网路(网际网路或是区域网路)上被攻击的次数很频繁， 被入侵後所造成的损失可能会很大，而且可能连带的危害到别人， 但是只需要少数的运算资源，就可以降低电脑被入侵 / 中毒的可能性， 因此我认为，防火墙软体是必要的。 如果是不了解网路相关知识，只会会基本操作的使用者， 我建议开启Windows内建的防火墙，一般使用上感觉不到差异，却可以避免很多危险。 如果你了解网路，并且对电脑操作小有心得，我建议你选择一套软体防火墙， 依照自己的需求自订规则，把规则以外的连线设为"询问"，藉以掌握自己的连线状况。 另外，我认为软体防火墙使用上，有下面几点要注意的： 首先，防火墙也要定期更新，才能避免防火墙自己的漏洞变成弱点的可能性， 接着，防火墙应该设为常驻，并且当出现警示时，仔细的阅读讯息後，再做出判断。 就像板标说的，装了防火墙设为不防护那装它干麻...... 最後，也是最重要的，保持良好的习惯，才是保持自己电脑安全的最好方法。 没有一套防毒软体可以100%保证使用者不会中毒， 也没有一套防火墙可以100%保证绝对不会被入侵，不管是硬体或是软体防火墙。 如果内文有误，或是有遗漏之处，欢迎各位先进补完。 补充： 如果有人有兴趣想转载本篇文章，本篇文章采用CC-BY-NC-SA 2.5的方式授权，请参考 http://creativecommons.org/licenses/by-nc-sa/2.5/tw/ 注1：这也是很多防毒软体要加入启发式扫描 / 行为脚本的原因； 但是这篇主题不是防毒软体，所以不想扯太远。 注2：数位监识(digital forensic)是一门很大的学问，不是只有纪录IP位址而已， 但是一般受到了什麽攻击，第一个得到的资讯大概就是LOG中的IP位址， 至於被作为跳板的电脑能不能查到原来的凶手是谁，则很不一定。 现实的状况是，往往被作为跳板後，计中把你的IP停权，而不会把你的电脑拿来找真凶。 注3：微软在WindowsXP内建的防火墙似乎只监控外面连入的连线， 而无法监控从内连外的连线，因此我认为他只算是半套防火墙。 但是就算是半套，能挡下不请自来的外部连现已经可以档下很多的攻击了。 注4：这和漏洞的位置是在哪里也有关联。 如果在packet handler就有漏洞，那可能还没到防火墙那层就爆了...... 这也是IP分享器可以拿来充当简易硬体防火墙的原因， 因为它内部是一个NAT，所以躲在NAT後面外面铁定连不进来， 除非你要把机器的RTOS给攻下来，这又是另一种状况了...... ------------------------------------------------------------------------- 已获得转载同意！ 转载自防毒软体板（AntiVirus），文章代码：#18yLQhe9 作者：vintw，文章名称：防毒软体的必要性 -- ╭─────────────────────────────────╮ │[教学] 教你怎麽上BBS 推广PTT你我一起来 http://tinyurl.com/42k73l │ ╰─────────────────────────────────╯ --

※ 发信站: 批踢踢实业坊(ptt.cc) ◆ From: 114.47.44.88 ※ 编辑: cbate 来自: 114.47.45.106 (12/07 13:01)