用应用代理构筑网络系统第一道防线

随着企业对网络的依赖性日益增强，每天都要进行大量的网页浏览、邮件收发及大容量的数据传输，网络安全性已成为网络时代继速度问题后随之而来的又一重要问题。Application Proxy即应用代理程序，在网络安全领域里，它作为一种防火墙技术，能有效弥补数据包过滤和应用网关技术存在的缺点，全面保护网络的安全。
Application Proxy应用代理防火墙内置了专门为提高安全性而编制的应用代理程序，能够透彻地理解相关的服务命令，对来往的数据包进行安全化处理。我们知道包过滤只检测包头，而应用代理程序则透视数据包的内容，阻隔恶意的代码，如执行文档、Java的程序，ActiveX等等。
同时，应用代理程序同样对内容进行检测以确保它与协议标准相吻合。例如，一些发送metacharacters旨在欺骗受害机器的电脑攻击形式，以及其他以过量的数据淹没机器的攻击，应用代理程序能发现非法的字符或过长的数据源然后阻截他们。此外，应用代理程序能提供状态包过滤所能提供的一切功能。由于具备以上所有的优点，应用代理程序被认为是网络通信最安全的方法。由于他们要扫描所有的包，因此在流量进程中要比包过滤的速度慢。然而，这种“慢”是相对而言的；例如，在Watchguard Firebox III 1000型号产品里，带有3RJ-45 10/100快速以太网接口的有状态包过滤技术吞吐量达到200Mbps，HTTP应用代理程序吞吐量达到43Mbps，这比许多组织的Internet连接快很多倍。通常，Internet连接速度本身是整个网络速度的瓶颈。因此，在某些实验室的评测基准中，应用代理程序可能会减慢网络的通信流量，但在实际的应用环境中，是不会让用户觉察到网络速度会减慢的。
事实上，应用代理程序有许多种，不同的应用代理程序处理不同的Internet流量。WatchGuard每种产品的应用代理程序都具备多种的配置功能和设置，能通过Windows界面轻松控制。应用代理程序的结合连同WatchGuard其他的防火墙管理工具，能给网络管理员强大的能力去控制网络安全，以达到很好的效果。最重要的Firebox应用代理程序保护利用互联网进行的日常交易功能，其中包括：SMTP、HTTP、FTP和DNS Proxy功能。
SMTP应用代理程序监控接收和发送的邮件的内容，以保护网络的安全。其中的一些功能包括：防止邮件服务器超载及受到邮件炸弹袭击，并依据邮件的类型和名称来辨别邮件是否携带有蠕虫或者特洛伊木马之类的病毒。当黑客对您进行邮件攻击的时候，SMTP Proxy应用代理程序能够自行阻击攻击行动，拦截所有隐瞒“回邮地址”的邮件。同时，通过Firebox III防火墙的SMTP Proxy程序，企业能隐藏或改变内部的IP地址，以及隐藏更多的内部资料，避免一切受到攻击的可能性。
HTTP应用代理程序检测由用户接入万维网时进出网络的流量。它选择性地过滤内容，保护网络浏览用户和其他依赖Internet的应用免受基于HTML的攻击。它的主要功能包括：有效检测和控制内部用户接入Internet时的网络流量，同时有选择性地过滤内容，过滤Java和ActiveX控制，删除客户连接的信息，删除cookies，避免一切基于HTTP浏览而受到攻击的可能。
许多机构利用Internet从点到点传递大量的数据文件。其中较小的文件以邮件附件的形式进行传递，较大的文件则经常通过文件传输协议（FTP）进行发送。黑客往往喜欢攻击FTP服务器，因其可以提供现成的存储文件空间。WatchGuard FTP应用代理程序提供以下的保护：把进入连接或者出去连接都限制为“只读”，设定有效连接的时间，禁止利用FTP登录站点命令，从而避免黑客进行恶意的连串攻击，有效保护公司资源。
基于DNS的攻击并不是太多人知道，因为它一般要求具备较高的技术水平，而大多数的攻击者还不具备全部的技术水平。然而，当我们所知的攻击技术成功时，黑客就获得了系统总体的控制权。所以，WatchGuard提供创新的DNS应用代理程序，通过确保协议的一致性和有选择性地过滤包头内容，全面保护企业的网络。

作者:Watchguard公司技术支援工程师 查理