防火墻不能取代層次化安全模式的

在我們繼續之前，我建議大家不要錯過我的文章：什么時候一個防火墻變得不再是防火墻？ 引來了持不同意見的讀者的激烈爭論。其中一部分爭論（包括了一部分回帖和朋友們發給我的郵件）是針對出站防火墻默認禁止一切出站訪問這一問題的。這樣設置的初衷是讓終端用戶自行決定哪個程序可以連接外部絡，而實際結果是所有程序都會被允許連接外部絡。

配置出站防火墻的訪問規則毫無疑問是一件痛苦的工作。一個默認為禁止一切出站訪問的防火墻會沒完沒了的彈出來問你是否允許某個程序連接外部絡。這種體驗會讓你真正認識什么叫“沒完沒了”。對一部分用戶來說，那句“Hey你，XYZ程序要訪問絡，只允許本次、允許、阻止？”足以讓他們崩潰。事實上，這正是微軟極力避免的：重復的內容提示會影響微軟所謂“Vista全新體驗”的效果。許多的評論都糾纏在這個話題上。一位名叫t_mohajir的ZDNet讀者在他的評論中這樣說道：

David，出站防火墻真的管用么？我在另一個帖子中也提出了這個問題。假設微軟部署了一個出站防火墻。對于惡意程序開發者來說，寫一個名叫“e”（或者其他常見進程的名字）的可執行程序并訪問80端口，普通用戶怎么可能知道去阻止他呢？惡意程序開發者一個小小的舉動就可以把出站防火墻變成廢物，而我們可以肯定地是更多的惡意程序開發者已經去效仿了。

怎么都能在一起！ 本站CDN由UPYUN又拍云強力驅動. 關于我們 | 加入我們 | 聯系我們 | 版權聲明 ? 爪游控 版權所有. 陜ICP備號-1 Top 其實對于間諜軟件或者惡意程序來說，我們首先應該阻止它們被安裝到計算機上。一旦它們已經在計算機里了，一個不懂技術的用戶是不可能阻止它們的。所以我不同意你的出站防火墻對終端用戶危險程度的評價。

商業應用理應使用出站防火墻，可終端用戶的水平還不足以駕馭它。出站防火墻其實不應該只是桌面級的軟件產品，它更應該是一個有效的硬件防火墻或者代理服務器。不管怎么說，對于絕大多數人來說，一個軟件級的出站防火墻的價值遠沒有我們想象得那么大。

t_mohajir還抄送了他的回帖到我的郵箱。對我來說，他的回帖提到了兩個問題。第一，依照層次化安全模式（所有的層都應該被考慮進去）考慮系統安全（桌面、絡或兩者）的需求。第二，用戶多大程度上能夠接受因為強化計算機安全而帶來的復雜操作。我是這樣認為的：

一個入站/出站防火墻本身并不能充當系統的保護神。除非一些不可避免的原因，用戶在使用Vista的時候應該工作在受限用戶級別（最好不是管理員級別的）。這本身就會阻止一些程序在用戶不知道的情況下自行安裝。就算你工作于管理員級別，一般的反病毒產品（也包括防火墻產品）也可以發現e的改變并且提示給用戶。然后用戶的反應則是回到用戶在保護系統安全中的角色這個問題。順便提一下，今天的中，一位研究人員在測試兩款常見的反病毒產品（一個是微軟的；另一個是McAfee的）的時候，發現即使它們同時工作也不能探測出所有的當前正在流行的病毒。（天！我用的可是McAfee）

出站防火墻一遍又一遍彈出的詢問窗口對用戶來說倒也是一種另類的全新體驗。但我相信為了保證系統安全，用戶必須學會習慣它。我們駕駛汽車的時候會做一系列的準備來保證我們遠離交通事故。其中一些人所作的準備會比另外一些人充分，對這些人來說，準備越充分，出事兒的機會越小。剩下的人則為圖那一時的省事兒而不去做那些簡單卻非常有效的準備。比如，系安全帶或者檢查盲點。用戶必須為此付一定的。

t_mohajir 回復我說我沒明白他的回帖。他并不是說惡意程序將真正的e（紅或其他類似進程）替換掉。他指得是惡意程序使用一個一模一樣的名字出現在進程里。在這種情況下，t_mohajir表示毫無疑問絕大多數用戶都會給惡意程序訪問權，因為他們不能分辨。

但對于t_mohajir的解釋，我一開始的回復依然是有效的。絕大多數防火墻或殺毒軟件并不只通過判斷文件名來結束某個進程。一些反惡意程序解決放案用到了文件指紋掃描。當用戶批準一個出站連接請求時，他們實際上批準的是一個文件指紋而不是文件本身。一個真正的程序和使用偽造名稱的惡意程序使用不同的指紋，這時候惡意程序依然會被標出并被系統提示。此外，為了讓用戶執行惡意程序，惡意程序的制造者還必須更改連接到程序本身的快捷方式。

最后，我還收到了一些用戶的提醒，他們說我們可以反轉Vista出站防火墻的極性。換句話說，所有出站請求全被阻止。但這樣做有一個小問題（其中一個用戶提示），那就是任何嘗試連接絡的請求都會被直接拒絕而沒有提示。這倒是一個好機會來鍛煉用戶配置例外規則。Vista中有專門的對話框來幫助用戶。