3.3 UTM访问控制功能的关键技术

3.3.1 状态检测技术

UTM为了提供可靠的安全性，必须跟踪流经它的所有通信信息。为了达到控制所有类型数据流的目的，UTM首先必须获得所有层次和与应用相关的信息，然后存储这些信息，还要能够重新获得以及控制这些信息。UTM仅检查独立的信息包是不够的，因为状态信息（以前的通信和其他应用信息）是控制新的通信连接的最基本的因素。对于某一通信连接，通信状态（以前的通信信息）和应用状态（其他的应用信息）是对该连接做控制决定的关键因素。因此为了保证高层的安全，UTM必须能够访问、分析和利用以下几种信息：

· 通信信息：所有应用层的数据包的信息；

· 通信状态：以前的通信状态信息；

· 来自应用的状态：其他应用的状态信息；

· 信息处理：基于以上所有元素的灵活的表达式的估算。

状态检测技术能在网络层实现所有需要的UTM访问控制能力。UTM上的状态检测模块能访问和分析从各层次得到的数据，并存储和更新状态数据及上下文信息，为跟踪无连接的协议（比如RPC和基于UDP的应用）提供虚拟的会话信息。UTM根据从传输过程和应用状态所获得的数据，以及网络设置和安全规则产生一个合适的操作，或者拒绝、或者允许、或者加密传输。但任何安全规则都没有明确允许的数据包将被丢弃或者产生一个安全警告，并向系统管理员提供整个网络的状态。

这种UTM的安全特性是非常好的，它采用了一个在网关上执行网络安全策略的软件引擎，称之为检测模块。检测模块在不影响网络正常工作的前提下，采用抽取相关数据的方法对网络通信的各层实施监测，抽取部分数据，即状态信息，并动态地保存起来作为以后制定安全决策的参考。检测模块支持多种协议和应用程序，并可以很容易地实现应用和服务的扩充。与其他安全方案不同，当用户访问到达网关的操作系统时，状态监视器要抽取有关数据进行分析，结合网络配置和安全规定做出接纳、拒绝、鉴定或给该通信加密等决定。一旦某个访问违反安全规定，安全报警器就会拒绝该访问，并做记录，向系统管理器报告网络状态。这种UTM无疑是非常坚固的，但它的配置非常复杂，而且会降低网络的速度。

UTM的状态检测有如下的优点。

1.高安全性

UTM的状态检测工作在数据链路层和网络层之间，从这里截取数据包，因为数据链路层是网卡工作的真正位置，网络层是协议栈的第一层，这样UTM确保了截取和检查所有通过网络的原始数据包。UTM截取到数据包就处理它们，首先根据安全策略从数据包中提取有用信息，保存在内存中；然后将相关信息组合起来，进行一些逻辑或数学运算，获得相应的结论，进行相应的操作，如允许数据包通过、拒绝数据包、认证连接和加密数据等。UTM的状态检测结合其他安全模块，可以对数据包进行详细而全面的检测，大大提高了安全性。

2.高效性

UTM的状态检测工作在协议栈的较低层，通过UTM的所有数据包都在低层处理，而不需要协议栈的上层处理任何数据包，这样减少了高层协议栈的开销，提高了执行效率。另外，在UTM中一旦建立一个连接，就不用再对这个连接做更多工作，系统可以去处理别的连接，明显提高了执行效率。

3.可伸缩性和易扩展性

UTM的状态检测不区分每个具体的应用，只是根据从数据包中提取的信息、对应的安全策略及过滤规则处理数据包。当有一个新的应用时，它能动态地产生新应用的新规则，而不用另外写代码，所以具有很好的伸缩性和扩展性。

4.应用范围广

UTM的状态检测不仅支持基于TCP的应用，并支持基于无连接协议的应用，如RPC和基于UDP的应用（DNS、WAIS和NFS等）。而对于无连接的协议，包过滤和应用代理对此类应用要么不支持、要么开放一个大范围的UDP端口，这样暴露了内部网络，降低了安全性。

UTM的状态检测对基于UDP应用安全的实现是通过在UDP通信之上保持一个虚拟连接来实现的。UTM保存通过网关的每一个连接的状态信息，允许记录穿过UTM的UDP请求包，当UDP包在相反方向上通过时，依据连接状态表确定该UDP包是否被授权，若已被授权，则通过，否则拒绝。如果在指定的一段时间内响应数据包没有到达，连接超时，则该连接被阻塞，这样所有的攻击都被阻塞，UDP应用安全就可以实现。

UTM的状态检测也支持RPC，因为对于RPC服务来说，其端口号是不固定的，因此简单地跟踪端口号是不能实现这种服务安全的。UTM的状态检测通过动态端口映射图记录端口号，为了验证该连接还保存连接状态、程序号等，故通过动态端口映射图可实现此类应用的安全。

3.3.2 网络地址转换技术

网络地址转换就是将一个IP地址用另一个IP地址代替。尽管最初设计网络地址转换的目的是为了增加在专用网络中可使用的IP地址数，但是它有一个隐蔽的安全特性，如内部主机隐蔽等，保证了网络的一定安全。网络地址转换主要用在两个方面：

（1）网络管理员希望隐藏内部网络的IP地址。这样，互联网上的主机无法判断内部网络的情况；

（2）内部网络的IP地址是无效的。这种情况主要是因为现在的IP地址不够用，要申请到足够多的合法IP地址很难办到，因此需要转换IP地址。

在上面两种情况下，内部网对外面是不可见的，互联网不能访问内部网，但是内部网主机之间可以相互访问。而应用网关可以部分解决这个问题，例如，可以隐藏内部IP，一个内部用户可以Telnet到网关，然后通过网关上的代理连接到互联网。但应用层网关有它的缺陷，要为每一种应用定制代理，如果没有为某种服务提供入站或出站的代理，这种服务就不能使用。由于代理是不透明的，因此即使合法的出站用户通过应用网关，也会给网关带来很大的开销。这是因为代理对数据包转发是在应用层进行的，一旦通过代理建立起到目标主机的连接，那么代理一般就不做控制了。

网络地址转换可以提供一种透明的完善的解决方案，网络管理员可以决定哪些内部的IP地址需要隐藏，哪些地址需要映射成为一个对互联网可见的IP地址。网络地址转换可以实现一种“单向路由”，这样就不存在从互联网到内部网或主机的路由。

1.网络地址转换的工作原理

网络地址转换的工作机制是当网络数据包流入UTM时，系统会检查该数据包是否符合用户设定的网络地址转换规则，如果找到符合的规则，系统会按照规则对数据包进行转换，同时建立一个网络地址转换进程。当有数据包返回时，将检查进程表，进行相应的处理。这里可以看到，网络地址转换需要对每一个TCP/IP连接建立一个对应的网络地址转换进程表项。假如不对查询算法进行优化，则在访问量大的情况下，查询网络地址转换进程表项将会占用大量的CPU时间。

在网络地址转换图（如图3-13所示）中的10.0.0.1主机处于内部网，网关为UTM内部接口10.0.0.2，UTM外网接口IP地址是202.112.108.1，互联网上有一台服务器的IP地址是202.100.10.50。用户机10.0.0.1通过UTM的网络地址转换才能访问服务器202.100.10.50，下面介绍网络地址转换的过程。

在不同网段IP地址的转换情况如表3-1所示，内部地址是10.0.0.0子网，UTM网关对外部的地址是202.112.108.1，可以将内部网的地址都转换成202.112.108.1出去。但这会遇到一个问题，所有返回数据包的目的IP都是202.112.108.1，那么UTM如何识别它们并送回内部网的真实主机呢？可以让UTM记住所有出去的包，因为每个包都有一个目的端口，每台主机的端口可能都不一样。还可以让UTM记住所有出去的包的TCP序列号，不同主机发送的包的序列号不一样，UTM会根据记录把返回的数据包送达正确的发送主机。

2.网络地址转换的工作模式

NAT可以有多种模式，主要有如下几种。

（1）静态地址转换

这种模式中，一个指定的内部主机有一个从不改变的固定的转换表，一般静态地址转换将内部地址转换成UTM的外网接口地址，如图3-14所示。静态地址转换是一种一对一的双向地址映射，主要用于内部服务器向外提供服务的情况。

（2）源地址转换

源地址转换是基于源地址的地址转换，主要用于内网访问外网，减少公有地址的数目，隐藏内部地址，如图3-15所示。

（3）目的地址转换

目的地址转换可分为目标地址映射、目标端口映射、服务器负载均衡等。目的地址转换也称为反向地址转换或地址映射。目的地址转换是一种单向的针对目标地址的映射，主要用于内部服务器向外部提供服务的情况，它与静态地址转换的区别在于它是单向的。外部可以主动访问内部，内部却不可以主动访问外部。另外，可使用目的地址转换实现负载均衡的功能，即可以将一个目标地址转换为多个内部服务器地址。也可以通过端口的映射将不同的端口映射到不同的机器上。目的地址转换如图3-16所示。

不管是以上哪种模式，都可以基于IP地址和端口方式，采用端口地址转换，管理员只需要设定一个或多个可以用作端口地址转换的公有互联网地址，用户的访问将会映射到IP池中IP的一个端口上去，这使得每个合法互联网IP可以映射六万多台内部网主机。

例如有一个小型网络，它的IP地址段是192.168.0.1-192.168.0.255，通过一台UTM上网，UTM有两个IP地址，一个是网络内部地址，如192.168.0.1，一个是合法的IP地址，如202.106.0.22，如图3-17所示。

如果局域网内部的一台电脑H4，IP地址是192.168.0.3：4000，4000是它的端口号，想访问搜狐的主页www.sohu.com，192.168.0.3：4000的请求先传到UTM 192.168.0.1上， UTM把这个IP地址转换为202.106.0.22：9000，然后以端口号为9000的这个IP地址向sohu发出请求，当sohu受到请求后，会回答，它先把回答的数据流传给202.106.0.22：9000，也就是局域网边界的UTM，UTM接收到数据后，会查找与9000这个端口号相关联的内部IP地址，当它发现是192.168.0.3：4000后，就把数据传给192.168.0.3：4000，这样，IP地址的转换就完成了。

UTM通过灵活的应用地址转换功能，在对通过UTM的数据进行全面细致检测的同时，还保证了网络的连通性，极大地提高了企业网络资源的应用。

3.3.3 防拒绝服务攻击技术

DoS即Denial Of Service，拒绝服务的缩写。DoS是指故意攻击网络协议实现的缺陷，或直接通过野蛮手段耗尽被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务或资源访问，使目标系统服务系统停止响应甚至崩溃，而在此攻击中并不包括侵入目标服务器或目标网络设备。这些服务资源包括网络带宽、文件系统空间容量、开放的进程或者允许的连接。这种攻击会导致资源匮乏，无论计算机的处理速度多快、内存容量多大、网络带宽的速度多快都无法避免这种攻击带来的后果。事实上，任何事物都有一个极限，所以总能找到一个方法使请求的值大于该极限值，因此就会故意导致所提供的服务资源匮乏，导致服务资源无法满足需求的情况。所以，千万不要认为拥有了足够宽的带宽和足够快的服务器就有了一个不怕拒绝服务攻击的高性能网站，拒绝服务攻击会使所有的资源都变得非常渺小。

其实，有个形象的比喻可以深入理解DoS。街头的餐馆是为大众提供餐饮服务，如果一群地痞流氓要对餐馆进行拒绝服务攻击的话，手段会很多，比如霸占着餐桌不结账，堵住餐馆的大门不让路，骚扰餐馆的服务员或厨子不能干活，甚至更恶劣……；相应地，计算机和网络系统是为互联网用户提供互联网资源的，如果有黑客要进行拒绝服务攻击的话，则同样有好多手段！今天最常见的拒绝服务攻击包括对计算机网络的带宽攻击和连通性攻击。带宽攻击是指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽，最后导致合法的用户请求无法通过。连通性攻击是指用大量的连接请求冲击计算机，使得所有可用的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户的请求。

传统上，攻击者所面临的主要问题是网络带宽，由于较小的网络规模和较慢的网络速度限制，攻击者无法发出过多的请求。虽然类似“the ping of death”的攻击类型只需要较少量的包就可以摧毁一个没有打过补丁的UNIX系统，但大多数的DoS攻击还是需要相当大带宽的，而以个人为单位的黑客们很难使用高带宽的资源。为了克服这个缺点，DoS攻击者开发了分布式的攻击。攻击者简单利用工具集合许多的网络带宽来同时对同一个目标发动大量的攻击请求，这就是DDoS攻击。

DDoS（Distributed Denial Of Service），分布式拒绝服务攻击，又把DoS向前发展了一大步，这种分布式拒绝服务攻击是黑客利用在已经侵入并已控制的不同的高带宽主机（可能是数百，甚至成千上万台）上安装大量的DoS服务程序，它们等待来自中央攻击控制中心的命令，中央攻击控制中心在适时将启动全体受控主机的DoS服务进程，让它们对一个特定目标发送尽可能多的网络访问请求，形成一股DoS洪流冲击目标系统，猛烈的DoS攻击同一个网站。在寡不敌众的力量抗衡下，被攻击的目标网站会很快失去反应而不能及时处理正常的访问甚至系统瘫痪崩溃。可见DDoS与DoS的最大区别是人多力量大。DoS是一台机器攻击目标，DDoS是被中央攻击中心控制的很多台机器利用高带宽攻击目标，可更容易地将目标攻下。另外，DDoS攻击方式较为自动化，攻击者可以将程序安装到网络中的多台机器上，所采用的这种攻击方式很难被攻击对象察觉，直到攻击者发下统一的攻击命令，这些机器才同时发起进攻。可以说DDoS攻击是由黑客集中控制发动的一组DoS攻击的集合，现在这种方式被认为是最有效的攻击形式，并且非常难以抵挡。

无论是DoS攻击还是DDoS攻击，简单地看，都只是一种破坏网络服务的黑客方式，虽然具体的实现方式千变万化，但都有一个共同点，就是其根本目的是使受害主机或网络无法及时接收并处理外界请求，或无法及时回应外界请求。其具体表现方式有以下几种：

（1）制造大流量无用数据，造成通往被攻击主机的网络拥塞，使被攻击主机无法正常和外界通信；

（2）利用被攻击主机提供服务或传输协议上处理重复连接的缺陷，反复高频地发出攻击性的重复服务请求，使被攻击主机无法及时处理其他正常的请求；

（3）利用被攻击主机所提供服务程序或传输协议的本身缺陷，反复发送畸形的攻击数据引发系统错误地分配大量系统资源，使主机处于挂起状态甚至死机。

1.常见的拒绝服务攻击

拒绝服务攻击是一种对网络危害巨大的恶意攻击。今天，DoS具有代表性的攻击手段包括Ping of Death、TearDrop、UDPflood、SYNflood、LandAttack、IP Spoofing DoS等。下面看看它们又是怎么实现的。

（1）PING死亡攻击：ICMP（Internet Control Message Protocol，互联网控制信息协议）在互联网上用于错误处理和传递控制信息。它的功能之一是与主机联系，通过发送一个“回音请求”（echo request）信息包看看主机是否“活着”。最普通的ping程序就是这个功能。而在TCP/IP的RFC文档中对包的最大尺寸都有严格限制规定，许多操作系统的TCP/IP协议栈都规定ICMP包大小为64KB，且在对包的标题头进行读取之后，要根据该标题头所包含的信息来为有效载荷生成缓冲区。“Ping of Death”就是故意产生畸形的测试Ping（Packet Internet Groper）包，声称自己的尺寸超过ICMP上限，也就是加载的尺寸超过64KB上限，使未采取保护措施的网络系统出现内存分配错误，导致TCP/IP协议栈崩溃，最终使接收方宕机。

（2）泪滴（Teardrop）攻击：泪滴攻击利用那些在TCP/IP协议栈实现时信任IP碎片中包的标题所包含的信息来实现攻击。IP分段含有指示该分段所包含的原信息，某些TCP/IP协议栈在收到含有重叠偏移的伪造分段时将崩溃。

（3）UDP洪水（UDPflood）：如今在Internet上UDP（用户数据包协议）的应用比较广泛，很多提供WWW和Mail等服务的设备通常使用UNIX服务器，它们默认打开一些被黑客恶意利用的UDP服务。如echo服务会显示接收到的每一个数据包，而原本作为测试功能的chargen服务会在收到每一个数据包时随机反馈一些字符。UDPflood假冒攻击就利用这两个简单的TCP/IP服务的漏洞进行恶意攻击，通过伪造与某一主机的Chargen服务之间的一次UDP连接，回复地指向开着Echo服务的一台主机，通过将Chargen和Echo服务互连，来回传送毫无用处和占满带宽的垃圾数据，在两台主机之间生成足够多的无用数据流，这一拒绝服务攻击飞快地导致网络可用带宽耗尽。

（4）SYN洪水（SYNflood）：当用户进行一次标准的TCP（Transmission Control Protocol）连接时，会有一个3次握手过程。首先是请求服务方发送一个SYN（Synchronize Sequence Number）消息，服务方收到SYN后，会向请求方回送一个SYN-ACK表示确认，当请求方收到SYN-ACK后，再次向服务方发送一个ACK消息，这样便建成了一次TCP连接。“SYNFlood”则专门针对TCP协议栈在两台主机间初始化连接握手的过程进行DoS攻击，其在实现过程中只进行前两个步骤：当服务方收到请求方的SYN-ACK确认消息后，请求方由于采用源地址欺骗等手段使得服务方收不到ACK回应，于是服务方会在一定时间处于等待接收请求方ACK消息的状态。而对于某台服务器来说，可用的TCP连接是有限的，因为只有有限的内存缓冲区用于创建连接，如果这一缓冲区充满了虚假连接的初始信息，该服务器就会对接下来的连接停止响应，直至缓冲区里的连接企图超时。如果恶意攻击方快速连续地发送此类连接请求，该服务器可用的TCP连接队列将很快被阻塞，系统可用资源急剧减少，网络可用带宽迅速缩小，长此下去，除了少数幸运用户的请求可以插在大量虚假请求中间得到应答外，服务器将无法向用户提供正常的合法服务。

（5）Land（LandAttack）攻击：在Land攻击中，黑客利用一个特别打造的SYN包——它的源地址和目标地址都被设置成某一个服务器地址进行攻击。此举将导致接受服务器向它自己的地址发送SYN-ACK消息，结果这个地址又发回ACK消息并创建一个空连接，每一个这样的连接都将保留直到超时，在Land攻击下，许多UNIX将崩溃，NT变得极其缓慢。

（6）IP欺骗DoS攻击：这种攻击利用TCP协议栈的RST位来实现，使用IP欺骗，迫使服务器把合法用户的连接复位，影响合法用户的连接。假设现在有一个合法用户（100.100.100.100）已经同服务器建立了正常的连接，攻击者构造攻击的TCP数据，伪装自己的IP为100.100.100.100，并向服务器发送一个带有RST位的TCP数据段；而服务器接收到这样的数据后，认为从100.100.100.100发送的连接有错误，就会清空缓冲区中已建立好的连接。这时，合法用户100.100.100.100再发送合法数据，服务器就已经没有这样的连接，该用户就被拒绝服务而只能重新开始建立新的连接了。

2.常见的分布式拒绝服务攻击

比较常见的DDoS攻击程序有Smurf、Fraggle攻击、Trinoo、Tribe Flood Network（TFN）、TFN2k以及Stacheldraht，其攻击思路基本相近，下面看一下它们的原理。

（1）Smurf攻击：Smurf是一种简单有效的DDoS攻击技术，Smurf还是利用ping程序进行IP假冒的直接广播进行攻击。在互联网上广播信息可以通过一定的手段（通过广播地址或其他机制）发送到整个网络中的机器。当某台机器使用广播地址发送一个ICMPecho请求包时（例如Ping），一些系统会回应一个ICMPecho回应包，这样发送一个包会收到许多的响应包。Smurf攻击就是使用这个原理来进行的，同时它还需要一个假冒的源地址。也就是说，Smurf在网络中发送的源地址为要攻击的主机地址，目的地址为广播地址的ICMPecho请求包，使许多的系统同时响应并发送大量的信息给被攻击主机（因为它的地址被攻击者假冒了）。由于Smurf是用一个伪造的源地址连续ping一个或多个计算机网络，导致了所有计算机响应的那个主机地址并不是实际发送这个信息包的攻击计算机。这个伪造的源地址，实际上就是攻击的目标，它将被极大数量的响应信息量所淹没。对这个伪造信息包做出响应的计算机网络就成为攻击的不知情的同谋。一个简单的smurf攻击最终导致网络阻塞和第三方崩溃，这种攻击方式要比ping of death洪水的流量高出一两个数量级。这种使用网络发送一个包而引出大量回应的方式也被叫做Smurf“放大”。

（2）Fraggle攻击：Fraggle攻击对Smurf攻击做了简单的修改，使用的是UDP应答消息而非ICMP。

（3）Trinoo攻击：Trinoo是复杂的DDoS攻击程序，是基于UDPflood的攻击软件。它使用“master”程序对实际实施攻击的任何数量的“代理”程序实现自动控制。当然在攻击之前，侵入者为了安装软件，已经控制了装有master程序的计算机和所有装有代理程序的计算机。攻击者连接到安装了master程序的计算机，启动master程序，然后根据一个IP地址的列表，由master程序负责启动所有的代理程序。接着，代理程序用UDP信息包冲击网络，向被攻击目标主机的随机端口发出全部为零的4字节UDP包，在处理这些超出其处理能力的垃圾数据包的过程中，被攻击主机的网络性能不断下降，直到不能提供正常服务、乃至崩溃。Trinoo攻击时对IP地址不做假，因此此攻击方法用得不多。

（4）Tribal Flood Network和TFN2K攻击：TribeFloodNetwork与Trinoo一样，使用一个master程序与位于多个网络上的攻击代理进行通信，利用ICMP给代理服务器下命令，其来源可以做假。TFN可以并行发动数不胜数的DoS攻击，类型多种多样，而且还可建立带有伪装IP地址的信息包。可以由TFN发动的攻击包括：SYNflood、UDPflood、ICMP回音请求flood及Smurf（利用多台服务器发出海量数据包，实施DoS攻击）攻击。TFN的升级版TFN2k进一步对命令数据包加密，更难查询命令内容，命令来源可以做假，还有一个后门控制代理服务器。

（5）Stacheldraht攻击：Stacheldraht也是基于TFN和Trinoo一样的用户机/服务器模式，其中Master程序与潜在的成千个代理程序进行通信。在发动攻击时，侵入者与master程序进行连接。Stacheldraht增加了新的功能：攻击者与master程序之间的通信是加密的，对命令来源做假，而且可以防范一些路由器用RFC2267过滤，若检查出有过滤现象，它将只做IP地址最后8位，从而让用户无法了解到底是哪几个网段的哪台机器被攻击；同时使用rcp（remotecopy，远程复制）技术对代理程序进行自动更新。Stacheldraht同TFN一样，可以并行发动数不胜数的DoS攻击，类型多种多样，而且还可建立带有伪装IP地址的信息包。Stacheldraht所发动的攻击包括UDP冲击、TCPSYN冲击、ICMP回音应答冲击。

3.如何防止拒绝服务攻击

自从互联网络诞生以来，DoS攻击就伴随着互联网络的发展而一直存在，也不断发展和升级。值得一提的是，要找DoS的工具一点不难，黑客群居的网络社区都有共享黑客软件的传统，并会在一起交流攻击的心得经验，可以很轻松地从互联网上获得这些工具，像以上提到的这些DoS攻击软件都是可从网上随意找到的公开软件。所以任何一个上网者都可能构成网络安全的潜在威胁。DoS攻击给飞速发展的互联网络安全带来重大的威胁。然而从某种程度上可以说，DoS攻击永远不会消失而且从技术上目前还没有根本的解决办法。

面对凶多吉少的DoS险滩，该如何应对随时出现的黑客攻击呢？首先分析一下DoS攻击的如下一些原因。

（1）软件弱点是包含在操作系统或应用程序中与安全相关的系统缺陷，这些缺陷大多是由于错误的程序编制、粗心的源代码审核、无心的副效应或一些不适当的绑定所造成的。由于使用的软件几乎完全依赖于开发商，所以对于由软件引起的漏洞只能依靠打补丁，安装Hotfixes和Servicepacks来弥补。当某个应用程序被发现有漏洞存在时，开发商会立即给出一个更新的版本来修正这个漏洞。而由开发协议固有的缺陷导致的DoS攻击，则可以通过简单的补丁来加以弥补。

（2）错误配置也会成为系统的安全隐患。这些错误配置通常发生在硬件装置、系统或者应用程序中，大多是由于一些没经验的、无责任员工或者错误的理论所导致的。如果对网络中的路由器、防火墙、交换机以及其他网络连接设备都进行正确的配置，则会减小这些错误发生的可能性，因此这种漏洞应当请教专业的技术人员来修正这些问题。

（3）重复请求导致过载的拒绝服务攻击。当对资源的重复请求大大超过资源的支付能力时就会造成拒绝服务攻击（例如，对已经满载的We b服务器进行过多的请求使其过载）。

要避免系统免受DoS攻击，从前两点来看，网络管理员要积极谨慎地维护系统，确保无安全隐患和漏洞；而针对第三点的恶意攻击方式则需要安装UTM等安全设备过滤DoS攻击，同时强烈建议网络管理员应当定期查看安全设备的日志，以便及时发现对系统的安全威胁行为。

UTM设备一般配置在网关的位置，比较容易遭受DoS攻击。UTM设备通过调用内部的防DOS模块（如图3-18所示），大大提高了抵御DoS攻击的能力，有力地保障了网络的正常运行。

UTM的访问控制作为设备最基本的技术，除了将其对用户的访问控制功能发挥到极致外，还会不停地融合各种新技术，起到一个稳定的平台作用。UTM安全网关正在不断提高其算法的计算能力，大大缩短用户通过UTM检测所耗费的时间，提高访问控制功能的可用性；同时，它还可积极调用IPS、防病毒等各种功能和访问控制原有的安全策略功能，全方位地对通过UTM的信息进行扫描，将访问控制的安全性能全面提升。因此，UTM作为一种优秀的边界安全设备，在安全领域的主导地位正在逐步显现。