计算机网络安全

《网络攻击技术与防御》

  学    号：     1 10   

  姓    名：               

  专业班级：       

  指导教师：               

目录

1、网络安全现状。

2、网络攻击常用步骤。

3、网络攻击工具介绍。

4、怎样防御网络工具的攻击。

5、几种不同类型工具与防御方法。

6、总结。

 

1、网络安全现状

  随着计算机和通信技术的发展，网络信息的安全和保密已成为一个至关重要且急需解决的问题。计算机网络所具有的开放性、互连性和共享性等特征使网上信息安全存在着先天不足，再加上系统软件中的安全漏洞以及所欠缺的严格管理，致使网络易受攻击，因此网络安全所采取的措施应能全方位地针对各种不同的威胁，保障网络信息的保密性、完整性和可用性。现有网络系统和协议还是不健全、不完善、不安全的。

2、网络攻击常用步骤

  一般网络攻击都分为三个阶段，即攻击的准备阶段、攻击的实施阶段和攻击的善后阶段。 

  攻击的准备阶段：确定攻击目的、准备攻击工具和收集目标信息。 

  攻击的实施阶段：实施具体的攻击行动。一般步骤如下： 1. 隐藏自己的位置 2. 利用收集到的信息获取帐号和密码，登陆主机。 3. 利用漏洞或者其他方法获得控制权并窃取网络资源和特权。  

  攻击的善后阶段：消除攻击的痕迹、植入后门，退出。

3、网络攻击工具介绍

  3.1 WinNuke

  通过发送OOB漏洞导致系统蓝屏；Bonk通过发送大量伪造的UDP数据包导致系统重启；TearDrop通过发送重叠的IP碎片导致系统的TCP/IP栈崩溃；WinArp通过发特殊数据包在对方机器上产生大量的窗口；Land通过发送大量伪造源IP的基于SYN的TCP请求导致系统重启动；FluShot通过发送特定IP包导致系统凝固；Bloo通过发送大量的ICMP数据包导致系统变慢甚至凝固；PIMP通过IGMP漏洞导致系统蓝屏甚至重新启动；Jolt通过大量伪造的ICMP和UDP导致系统变的非常慢甚至重新启动。

  3.2 BO2000(BackOrifice)

  它是功能最全的TCP／IP构架的攻击工具，可以搜集信息，执行系统命令，重新设置机器，重新定向网络的客户端／服务器应用程序。BO2000支持多个网络协议，它可以利用TCP或UDP来传送，还可以用XOR加密算法或更高级的3DES加密算法加密。感染BO2000后机器就完全在别人的控制之下，黑客成了超级用户，你的所有操作都可由BO2000自带的“秘密摄像机”录制成“录像带”。

  3.3 “冰河”

  冰河是一个国产木马程序，具有简单的中文使用界面，且只有少数流行的反病毒、防火墙才能查出冰河的存在。冰河的功能比起国外的木马程序来一点也不逊色。 它可以自动跟踪目标机器的屏幕变化，可以完全模拟键盘及鼠标输入，即在使被控端屏幕变化和监控端产生同步的同时，被监控端的一切键盘及鼠标操作将反映在控端的屏幕。它可以记录各种口令信息，包括开机口令、屏保口令、各种共享资源口令以及绝大多数在对话框中出现过的口令信息；它可以获取系统信息；它还可以进行注册表操作，包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作。

  3.4  NetSpy

  可以运行于Windows95／98／NT／2000等多种平台上，它是一个基于TCP／IP的简单的文件传送软件，但实际上你可以将它看作一个没有权限控制的增强型FTP服务器。通过它，攻击者可以神不知鬼不觉地下载和上传目标机器上的任意文件，并可以执行一些特殊的操作。

  3.5  Glacier

  该程序可以自动跟踪目标计算机的屏幕变化、获取目标计算机登录口令及各种密码类信息、获取目标计算机系统信息、限制目标计算机系统功能、任意操作目标计算机文件及目录、远程关机、发送信息等多种监控功能，类似于BO2000。

  3.6 KeyboardGhost

  Windows系统是一个以消息循环(MessageLoop)为基础的操作系统。系统的核心区保留了一定的字节作为键盘输入的缓冲区，其数据结构形式是队列。键盘幽灵正是通过直接访问这一队列，使键盘上输入你的电子邮箱、代理的账号、密码Password（显示在屏幕上的是星号）得以记录，一切涉及以星号形式显示出来的密码窗口的所有符号都会被记录下来，并在系统根目录下生成一文件名为KG.DAT的隐含文件。

  3.7 ExeBind

  这个程序可以将指定的攻击程序捆绑到任何一个广为传播的热门软件上，使宿主程序执行时，寄生程序也在后台被执行，且支持多重捆绑。实际上是通过多次分割文件，多次从父进程中调用子进程来实现的。

4、怎样防御网络工具的攻击

  为了防御这些越来越复杂和自动化的攻击工具，企业应该先部署有效和标准的反恶意控制软件，保护自己不受恶意软件的威胁，而控制新恶意软件并不是重点。企业用于防御未来攻击的防御措施也会随时间变化，但是企业必须启动一个安全计划，持续评估这些安全措施是否有效，是否能够对抗最新的攻击。许多攻击工具使用网络钓鱼或受攻击的网站发起攻击。企业可以部署反网络钓鱼工具，降低这种风险；也可以使用基于网络的工具，阻挡恶意软件，防止恶意代码感染受攻击网站的客户端系统。
　　由于许多此类工具集过去主要针对于金融机构，所以这些组织还需要采用其他一些特殊防范措施。对金融系统进行强有力检查和平衡，发现和阻止恶意交易，有利于尽早检测出金融领域的攻击，从而减少金融偷盗事件。为了确定恶意攻击，可以将金融系统的访问限制在已知的安全系统上；每当它们连接金融系统时，还需要都它们进行评估。企业可能还要了解基于异常的检测系统，它们可以帮助检测出受攻击的主机或者恶意软件，这些恶意软件带有某些之前的发现特征。
　　一定要关注安全工具的最新动态。可惜，通常使用自动化工具的攻击只有在启动之后才会被发现，但是注意最新的攻击工具趋势，有利于了解短期内需要特别关注的攻击模式。

5、几种不同类型工具与防御方法

  5.1 服务拒绝攻击

  定义：服务拒绝攻击企图通过使你的服务计算机崩溃或把它压跨来阻止你提供服务，服务拒绝攻击是最容易实施的攻击行为。

  (1) 死亡之ping

  攻击：由于在早期的阶段，路由器对包的最大尺寸都有限制，许多操作系统对TCP/IP栈的实现在ICMP包上都是规定64KB，并且在对包的标题头进行读取之后，要根据该标题头里包含的信息来为有效载荷生成缓冲区，当产生畸形的，声称自己的尺寸超过ICMP上限的包也就是加载的尺寸超过64K上限时，就会出现内存分配错误，导致TCP/IP堆栈崩溃，致使接受方当机。

  防御：现在所有的标准TCP/IP实现都已实现对付超大尺寸的包，并且大多数防火墙能够自动过滤这些攻击，包括：从windows98之后的windows,NT(service pack 3之后)，linux、Solaris、和Mac OS都具有抵抗一般ping ofdeath攻击的能力。此外，对防火墙进行配置，阻断ICMP以及任何未知协议，都讲防止此类攻击。

  （2）泪滴（teardrop）

  攻击：泪滴攻击利用那些在TCP/IP堆栈实现中信任IP碎片中的包的标题头所包含的信息来实现自己的攻击。IP分段含有指示该分段所包含的是原包的哪一段的信息，某些TCP/IP（包括servicepack 4以前的NT）在收到含有重叠偏移的伪造分段时将崩溃。

  防御：服务器应用最新的服务包，或者在设置防火墙时对分段进行重组，而不是转发它们。

  （3）UDP洪水（UDP flood）

  攻击：各种各样的假冒攻击利用简单的TCP/IP服务，如Chargen和Echo来传送毫无用处的占满带宽的数据。通过伪造与某一主机的Chargen服务之间的一次的UDP连接，回复地址指向开着Echo服务的一台主机，这样就生成在两台主机之间的足够多的无用数据流，如果足够多的数据流就会导致带宽的服务攻击。

  防御：关掉不必要的TCP/IP服务，或者对防火墙进行配置阻断来自Internet的请求这些服务的UDP请求。

  （4）SYN洪水（SYN flood）

  攻击：一些TCP/IP栈的实现只能等待从有限数量的计算机发来的ACK消息，因为他们只有有限的内存缓冲区用于创建连接，如果这一缓冲区充满了虚假连接的初始信息，该服务器就会对接下来的连接停止响应，直到缓冲区里的连接企图超时。在一些创建连接不受限制的实现里，SYN洪水具有类似的影响。

  防御：在防火墙上过滤来自同一主机的后续连接。     未来的SYN洪水令人担忧，由于释放洪水的并不寻求响应，所以无法从一个简单高容量的传输中鉴别出来。

  （5）Land攻击

  攻击：在Land攻击中，一个特别打造的SYN包它的原地址和目标地址都被设置成某一个服务器地址，此举将导致接受服务器向它自己的地址发送SYN-ACK消息，结果这个地址又发回ACK消息并创建一个空连接，每一个这样的连接都将保留直到超时掉，对Land攻击反应不同，许多UNIX实现将崩溃，NT变的极其缓慢（大约持续五分钟）。

  防御：打最新的补丁，或者在防火墙进行配置，将那些在外部接口上入站的含有内部源地址滤掉。（包括10域、127域、192.168域、172.16到172.31域）。

  （6）Smurf攻击

  攻击：一个简单的smurf攻击通过使用将回复地址设置成受害网络的广播地址的ICMP应答请求（ping）数据包来淹没受害主机的方式进行，最终导致该网络的所有主机都对此ICMP应答请求作出答复，导致网络阻塞，比pingof death洪水的流量高出一或两个数量级。更加复杂的Smurf将源地址改为第三方的受害者，最终导致第三方雪崩。

  防御：为了防止黑客利用你的网络攻击他人，关闭外部路由器或防火墙的广播地址特性。为防止被攻击，在防火墙上设置规则，丢弃掉ICMP包。

  （7）Fraggle攻击

  攻击：Fraggle攻击对Smurf攻击作了简单的修改，使用的是UDP应答消息而非ICMP。

  防御：在防火墙上过滤掉UDP应答消息。

  （8）电子邮件炸弹

  攻击：电子邮件炸弹是最古老的匿名攻击之一，通过设置一台机器不断的大量的向同一地址发送电子邮件，攻击者能够耗尽接受者网络的带宽。

  防御：对邮件地址进行配置，自动删除来自同一主机的过量或重复的消息。

  （9）畸形消息攻击

  攻击：各类操作系统上的许多服务都存在此类问题，由于这些服务在处理信息之前没有进行适当正确的错误校验，在收到畸形的信息可能会崩溃。

  防御：打最新的补丁。

  5.2 利用拒绝攻击

  定义：利用型攻击是一类试图直接对你的机器进行控制的攻击。

  （1）口令猜测

  攻击：一旦黑客识别了一台主机而且发现了基于NetBIOS、Telnet或NFS这样的服务的可利用的用户帐号，成功的口令猜测能提供对机器控制。 

  防御：要选用难以猜测的口令，比如词和标点符号的组合。确保像NFS、NetBIOS和Telnet这样可利用的服务不暴露在公共范围。如果该服务支持锁定策略，就进行锁定。

  （2）特洛伊木马

  攻击：特洛伊木马是一种或是直接由一个黑客，或是通过一个不令人起疑的用户秘密安装到目标系统的程序。一旦安装成功并取得管理员权限，安装此程序的人就可以直接远程控制目标系统。     最有效的一种叫做后门程序，恶意程序包括：NetBus、BackOrifice和BO2k,用于控制系统的良性程序如：netcat、VNC、pcAnywhere。理想的后门程序透明运行。

  防御：避免下载可疑程序并拒绝执行，运用网络扫描软件定期监视内部主机上的监听TCP服务。

  （3）缓冲区溢出

  攻击：由于在很多的服务程序中大意的程序员使用象strcpy(),strcat()类似的不进行有效位检查的函数，最终可能导致恶意用户编写一小段利用程序来进一步打开安全豁口然后将该代码缀在缓冲区有效载荷末尾，这样当发生缓冲区溢出时，返回指针指向恶意代码，这样系统的控制权就会被夺取。

  防御：利用SafeLib、tripwire这样的程序保护系统，或者浏览最新的安全公告不断更新操作系统。

  5.3 假消息攻击

  定义：用于攻击目标配置不正确的消息，主要包括：DNS高速缓存污染、伪造电子邮件。  

  （1）DNS高速缓存污染

  攻击：由于DNS服务器与其他名称服务器交换信息的时候并不进行身份验证，这就使得黑客可以将不正确的信息掺进来并把用户引向黑客自己的主机。  

  防御：在防火墙上过滤入站的DNS更新，外部DNS服务器不应能更改你的内部服务器对内部机器的认识。

  （2）伪造电子邮件 

  攻击：由于SMTP并不对邮件的发送者的身份进行鉴定，因此黑客可以对你的内部客户伪造电子邮件，声称是来自某个客户认识并相信的人，并附带上可安装的特洛伊木马程序，或者是一个引向恶意网站的连接。 

  防御：使用PGP等安全工具并安装电子邮件证书。

2、企业网络防御措施

（1）在Internet接入处，放置高性能硬件防火墙（包括防火墙+带宽管理+流探测+互动IDS等）。防火墙要支持包过滤和应用级代理两种技术，具有三种管理方式，能够很方便的设置防火墙的各种安全策略，并且能够与网络入侵检测系统进行互动，相互配合，阻挡黑客的攻击。
（2）在内网快速以大网交换机上连接一个网络入侵检测系统，对进入内网的数据包进行检查，确保没有恶意的数据包进入，从而影响内网数据服务器的正常工作。
（3）使用互联网入侵检测系统对DMZ区和内网的服务器（包括Web服务器/应用服务器、数据服务器、DNS服务器、邮件服务器和管理服务器等），以及桌面计算机进行扫描和评估，进行人工安全分析，以确定其存在的各种安全隐患和漏洞，并根据扫描的结果提出加固建议，保护企业网络系统的正常工作。
（4）在各主要服务器上安装服务器防病毒产品，对服务器进行病毒防护，确保病毒不会进入各服务器，并且不会通过服务器进行传播。
（5）用一台专用的PC服务器安装服务器防病毒系统，并在内网上安装工作站防病毒产品，通过服务器防病毒系统对这些工作站进行管理和升级。

6、总结

  网络安全技术指致力于解决诸如如何有效进行介入控制，以及何如保证数据传输的安全性的技术手段，主要包括物理安全分析技术，网络结构安全分析技术，系统安全分析技术，管理安全分析技术，及其它的安全服务和安全机制策略。
  21世纪全世界的计算机都将通过Internet联到一起,信息安全的内涵也就发生了根本的变化.它不仅从一般性的防卫变成了一种非常普通的防范,而且还从一种专门的领域变成了无处不在.当人类步入21世纪这一信息社会,网络社会的时候,我国将建立起一套完整的网络安全体系,特别是从政策上和法律上建立起有中国自己特色的网络安全体系.
  一个国家的信息安全体系实际上包括国家的法规和政策,以及技术与市场的发展平台.我国在构建信息防卫系统时,应着力发展自己独特的安全产品,我国要想真正解决网络安全问题,最终的办法就是通过发展民族的安全产业,带动我国网络安全技术的整体提高.
  网络安全产品有以下几大特点:第一,网络安全来源于安全策略与技术的多样化,如果采用一种统一的技术和策略也就不安全了;第二,网络的安全机制与技术要不断地变化;第三,随着网络在社会个方面的延伸,进入网络的手段也越来越多,因此,网络安全技术是一个十分复杂的系统工程.为此建立有中国特色的网络安全体系,需要国家政策和法规的支持及集团联合研究开发.安全与反安全就像矛盾的两个方面,总是不断地向上攀升,所以安全产业将来也是一个随着新技术发展而不断发展的产业.
  信息安全是国家发展所面临的一个重要问题.对于这个问题,我们还没有从系统的规划上去考虑它,从技术上,产业上,政策上来发展它.政府不仅应该看见信息安全的发展是我国高科技产业的一部分,而且应该看到,发展安全产业的政策是信息安全保障系统的一个重要组成部分,甚至应该看到它对我国未来电子化,信息化的发展将起到非常重要的作用.

第二篇：《计算机网络安全》模拟试题一及答案

《计算机网络安全》模拟试题一

（120分钟）

一、 单选题（每题1分，共10分）

1．各种通信网和TCP/IP之间的接口是TCP/IP分层结构中的（ 　）

A. 数据链路层　　    B. 网络层　　

C. 传输层            D. 应用层

2. 下面不属于木马特征的是（　）

A. 自动更换文件名，难于被发现     B. 程序执行时不占太多系统资源

C. 不需要服务端用户的允许就能获得系统的使用权       

D. 造成缓冲区的溢出，破坏程序的堆栈

3. 下面不属于端口扫描技术的是（　）

A. TCP connect()扫描          B. TCP FIN扫描

C. IP包分段扫描              D. Land扫描

4. 负责产生、分配并管理PKI结构下所有用户的证书的机构是（　）

A. LDAP目录服务器          B. 业务受理点

C. 注册机构RA              D. 认证中心CA

5．防火墙按自身的体系结构分为（　）

A. 软件防火墙和硬件防火墙         B.包过滤型防火墙和双宿网关       

C. 百兆防火墙和千兆防火墙        D. 主机防火墙和网络防火墙 

  

6．下面关于代理技术的叙述正确的是（    ）

A．能提供部分与传输有关的状态      

B．能完全提供与应用相关的状态和部分传输方面的信息

C．能处理和管理信息    

D．ABC都正确

7．下面关于ESP传输模式的叙述不正确的是（    ）

A．并没有暴露子网内部拓扑        B．主机到主机安全      

C．IPSEC的处理负荷被主机分担    D．两端的主机需使用公网IP 

8. 下面关于网络入侵检测的叙述不正确的是（    ）

A．占用资源少                 B．攻击者不易转移证据      

C．容易处理加密的会话过程     D．检测速度快

9. 基于SET 协议的电子商务系统中对商家和持卡人进行认证的是（    ）

A．收单银行           B．支付网关

C．认证中心           D．发卡银行

10. 下面关于病毒的叙述正确的是（    ）

A．病毒可以是一个程序     B．病毒可以是一段可执行代码

C．病毒能够自我复制       D． ABC都正确

二、 填空题（每空1分，共25分）

1.  IP协议提供了           的          的传递服务。

2.  TCP/IP链路层安全威胁有：          ，          ，          。

3.  DRDoS与DDoS的不同之处在于：                         。

4.  证书的作用是：             和            。

5.  SSL协议中双方的主密钥是在其          协议产生的。

6.  VPN的两种实现形式：              和               。

7.  IPSec是为了在IP层提供通信安全而制定的一套              ，是一个应用广泛、开放的              。

8.  根据检测原理，入侵检测系统分为             ，             。

9.  病毒技术包括：      技术，      技术，       技术和      技术。

10. 电子商务技术体系结构的三个层次是        ，        和        ，一个支柱是        。

11. 防火墙的两种姿态               和                。

三、 判断题(每题1分，共15分)

1． 以太网中检查网络传输介质是否已被占用的是冲突监测。（　　）

2． 主机不能保证数据包的真实来源，构成了IP地址欺骗的基础。（　　）

3． 扫描器可以直接攻击网络漏洞。（　　）

4． DNS欺骗利用的是DNS协议不对转换和信息性的更新进行身份认证    这一弱点。（　　）

5． DRDoS攻击是与DDoS无关的另一种拒绝服务攻击方法。（　　）

6． 公钥密码比传统密码更安全。（　　）

7． 身份认证一般都是实时的，消息认证一般不提供实时性。（　　）

8． 每一级CA都有对应的RA。（　　）

9． 加密/解密的密钥对成功更新后，原来密钥对中用于签名的私钥必须安全销毁，公钥进行归档管理。（　　）

10．防火墙无法完全防止传送已感染病毒的软件或文件。（　　）

11．所有的协议都适合用数据包过滤。（　　）

12．构建隧道可以在网络的不同协议层次上实现。（　　）

13．蜜网技术（Honeynet）不是对攻击进行诱骗或检测。（　　）

14．病毒传染主要指病毒从一台主机蔓延到另一台主机。（　　）

15．电子商务中要求用户的定单一经发出，具有不可否认性。（　　）

四、 简答题（每题5分，共30分）

１．  TCP/IP的分层结构以及它与OSI七层模型的对应关系。

２．  简述拒绝服务攻击的概念和原理。

３．  简述交叉认证过程。

                          

４．  简述SSL安全协议的概念及功能。

５．简述好的防火墙具有的5个特性。

６．简述电子数据交换（EDI）技术的特点。

五、 综述题（20分）

１．简述ARP的工作过程及ARP欺骗。（10分）

２．简述包过滤型防火墙的概念、优缺点和应用场合。（10分）

模拟题1答题要点

一、 单选题

1、A  2、D  3、D  4、D  5、B  6、D  7、A  8、C  9、B  10、D

二、 填空题：

1、数据报    尽力而为

2、以太网共享信道的侦听   MAC地址的修改   ARP欺骗

3、攻击端不需要占领大量傀儡机

4、用来向系统中其他实体证明自己的身份   分发公钥

5、握手

6、Client-LAN    LAN-LAN

7、协议簇   VPN安全协议体系

8、异常入侵检测   误用入侵检测

9、寄生  驻留  加密变形   隐藏

10、网络平台   安全基础结构   电子商务业务   公共基础部分

11、拒绝没有特别允许的任何事情    允许没有特别拒绝的任何事情

三、 判断题

1、×  2、√  3、×  4、√  5、×  6、×  7、√  8、√  9、×  10、√

11、×  12、√  13、√  14、×  15、√ 

四、 简答题

答：

1、  

2、  

拒绝服务攻击的概念：

广义上讲，拒绝服务（DoS，Denial of service）攻击是指导致服务器不能正常提供服务的攻击。确切讲，DoS攻击是指故意攻击网络协议实现的缺陷或直接通过各种手段耗尽被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务，使目标系统停止响应，甚至崩溃。

拒绝服务攻击的基本原理是使被攻击服务器充斥大量要求回复的信息，消耗网络带宽或系统资源，导致网络或系统超负荷，以至于瘫痪而停止提供正常的网络服务。

3、  

首先，两个CA建立信任关系。双方安全交换签名公钥，利用自己的私钥为对方签发数字证书，从而双方都有了交叉证书。其次，利用CA的交叉证书验证最终用户的证书。对用户来说就是利用本方CA公钥来校验对方CA的交叉证书，从而决定对方CA是否可信；再利用对方CA的公钥来校验对方用户的证书，从而决定对方用户是否可信。

4、  

SSL全称是：Secure Socket Layer (安全套接层)。在客户和服务器两实体之间建立了一个安全的通道，防止客户/服务器应用中的侦听、篡改以及消息伪造，通过在两个实体之间建立一个共享的秘密，SSL提供保密性，服务器认证和可选的客户端认证。其安全通道是透明的，工作在传输层之上，应用层之下，做到与应用层协议无关，几乎所有基于TCP的协议稍加改动就可以在SSL上运行。

5、  

(1)所有在内部网络和外部网络之间传输的数据都必须经过防火墙；(2)只有被授权的合法数据，即防火墙系统中安全策略允许的数据，可以通过防火墙；(3)防火墙本身不受各种攻击的影响；(4)使用目前新的信息安全技术，如一次口令技术、智能卡等；(5)人机界面良好，用户配置使用方便，易管理，系统管理员可以对发防火墙进行设置，对互连网的访问者、被访问者、访问协议及访问权限进行限制。

6、  

特点：使用对象是不同的组织之间；所传送的资料是一般业务资料；采用共同标准化的格式；尽量避免人工的介入操作，由收送双方的计算机系统直接传送、交换资料。

五、 综述题

1、

ARP的工作过程：

(1)主机A不知道主机B的MAC地址，以广播方式发出一个含有主机B的IP地址的ARP请求；(2)网内所有主机受到ARP请求后，将自己的IP地址与请求中的IP地址相比较，仅有B做出ARP响应，其中含有自己的MAC地址；(3)主机A收到B的ARP响应，将该条IP-MAC映射记录写入ARP缓存中，接着进行通信。

ARP欺骗：

ARP协议用于IP地址到MAC地址的转换，此映射关系存储在ARP缓存表中。当ARP缓存表被他人非法修改将导致发送给正确主机的数据包发送给另外一台由攻击者控制的主机，这就是所谓的“ARP欺骗”。

2、

       包过滤型防火墙的概念：

包过滤防火墙用一台过滤路由器来实现对所接受的每个数据包做允许、拒绝的决定。过滤规则基于协议包头信息。

包过滤型防火墙的优缺点：

包过滤防火墙的优点：处理包的速度快；费用低，标准的路由器均含有包过滤支持；包过滤防火墙对用户和应用讲是透明的。无需对用户进行培训，也不必在每台主机上安装特定的软件。

包过滤防火墙的缺点：维护比较困难；只能阻止外部主机伪装成内部主机的IP欺骗；任何直接经过路由器的数据包都有被用作数据驱动式攻击的潜在危险；普遍不支持有效的用户认证；安全日志有限；过滤规则增加导致设备性能下降；包过滤防火墙无法对网络上流动的信息提供全面的控制。

包过滤型防火墙的应用场合：

非集中化管理的机构；没有强大的集中安全策略的机构；网络的主机数比较少；主要依靠于主机来防止入侵，但当主机数增加到一定程度的时候，依靠主机安全是不够的；没有使用DHCP这样的动态IP地址分配协议。