没有防火墙的安全:明智还是愚蠢？(1)

　　多年以来，信息安全专家一直把防火墙称作安全的重要组成部分，无论是在大型企业还是在一台家用电脑上都是如此。但是，位于圣地亚哥的超级计算机中心(SDSC)以出人意料的成功的方法向这个逻辑提出了挑战

　　SDSC安全技术部门的计算机安全经理Abe Singer在6月1日举行的2006年USENIX年度技术会议上介绍了该公司如何不使用防火墙保证牢固的安全的做法。他还制作了一个关于这个主题的演示文件。

　　Singer说，防火墙有一个“可怕的真相”:防火墙有性能问题、容易因为一连串的故障而受到攻击、修改网络一个地方的规则能够在网络的另一个地方造成安全漏洞。他说，IT专业人员做过一个例行性的防火墙试验，发现有若干窗口是敞开的。但是，所有问题中最大的问题就是防火墙内部的人是不能信赖的。

　　Singer说，防火墙不能保护你防止你的公司内部的人做什么。如果我要偷窃一个银行，我不会设法穿过它们的防火墙。我将在银行的邮件中心找一个工作。

　　有些人会问，SDSC为什么不使用防火墙再增加一层安全防御。原因之一就是现有的安全基础设施没有防火墙已经工作得足够好了。防火墙在一个需要开放的环境中引起的麻烦超过了它存在的价值。超级计算机资源是用来进行科学研究的，通常需要使用没有封闭的端口。

　　允许通信从每一个端口通过的防火墙不能提供任何保护作用，而不允许通信经过某些端口的防火墙只能起到防御外部攻击的作用，仅此而已。防火墙必须要允许一些通信经过，如果接收防火墙后面的通信的机器存在安全漏洞，这个机器也会被黑客攻破。

　　六年仅发生一次攻击

　　SDSC在将近六年的时间里仅发生了一次安全事件。这对于一个拥有数千台计算机和在全球范围内有6000多用户的一个机构来说是一个很好的记录。在这6000多用户中，只有大约300个用户是在公司所在地办公的，其余用户都在全球各地的研究机构。