<p class="ql-block">防火墻可以根據(jù)包的起點(diǎn)和終點(diǎn)來(lái)判斷是否允許其通過(guò)，但僅憑起點(diǎn)和終點(diǎn)并不能篩選出所有有風(fēng)險(xiǎn)的包。（包：網(wǎng)絡(luò)包）</p> <p class="ql-block">比如，假設(shè)Web服務(wù)器在收到含有特定數(shù)據(jù)的包時(shí)會(huì)引起宕機(jī)。</p><p class="ql-block">但是防火墻只關(guān)心包的起點(diǎn)和終點(diǎn)，因此即便包中含有特定數(shù)據(jù)，防火墻也無(wú)法發(fā)現(xiàn)，于是包就被放行了。</p> <p class="ql-block">然后，當(dāng)包到達(dá)Web服務(wù)器時(shí)，就會(huì)引發(fā)服務(wù)器宕機(jī)。</p><p class="ql-block">通過(guò)這個(gè)例子大家可以看出，只有檢查包的內(nèi)容才能識(shí)別這種風(fēng)險(xiǎn)，因此防火墻對(duì)這種情況無(wú)能為力。</p> <p class="ql-block">要應(yīng)對(duì)這種情況有兩種方法。這個(gè)問(wèn)題的根源在于Web服務(wù)器程序的Bug，因此修復(fù)Bug防止宕機(jī)就是其中一種方法。</p><p class="ql-block">這類Bug中，危險(xiǎn)性較高的會(huì)作為安全漏洞公布出來(lái)，開發(fā)者會(huì)很快發(fā)布修復(fù)了Bug的新版本，因此持續(xù)關(guān)注安全漏洞信息并更新軟件的版本是非常重要的。</p> <p class="ql-block">另一種方法就是在防火墻之外部署用來(lái)檢查包的內(nèi)容并阻止有害包的設(shè)備或軟件。</p><p class="ql-block">當(dāng)然，即便是采用這種方法也并不是完美無(wú)缺的，因?yàn)榘膬?nèi)容是否有風(fēng)險(xiǎn)，是由Web服務(wù)器有沒(méi)有Bug決定的。</p> <p class="ql-block">因此當(dāng)服務(wù)器程序中有潛在的Bug并且尚未被發(fā)現(xiàn)時(shí)，我們也無(wú)法判斷包中的風(fēng)險(xiǎn)，也無(wú)法阻止這樣的包。</p><p class="ql-block">也就是說(shuō)，我們無(wú)法抵御未知的風(fēng)險(xiǎn)。</p> <p class="ql-block">從這一點(diǎn)來(lái)看，這種方法和直接修復(fù)Bug的方法是基本等效的。</p><p class="ql-block">但如果服務(wù)器數(shù)量較多，更新軟件版本需要花費(fèi)一定的時(shí)間，或者容易忘記更新軟件，這時(shí)對(duì)包的內(nèi)容進(jìn)行檢查就會(huì)比較有效。</p>