計算機網路防火牆不能防止數據驅動式攻擊

A. 防火牆能夠防範什麼不能防範什麼

防火牆在配置上是防止來自網路外部的，未經授權的互動式登錄。這大大有助於防止破壞者登錄到你網路中的計算機上。一些設計更為精巧的防火牆可以防止來自外部的傳輸流進入內部，但又允許內部的用戶可以自由地與外部通信。

防火牆不能防止數據驅動的攻擊：即通過將某種東西郵寄或拷貝到內部主機中，然後它再在內部主機中運行的攻擊。

要使防火牆發揮作用，防火牆就必須成為整個機構安全架構中不可分割的一部分。防火牆的策略必須現實，能夠反映出整個網路安全的水平。例如，一個保存著絕密數據的網路伺服器根本不需要防火牆：它根本不應當被接入到Internet上，這樣的網路和Internet必須做到物理上的隔離。

(1)計算機網路防火牆不能防止數據驅動式攻擊擴展閱讀：

防火牆功能：

1、入侵檢測功能

網路防火牆技術的主要功能之一就是入侵檢測功能，主要有反埠掃描、檢測拒絕服務工具、檢測CGI/IIS伺服器入侵、檢測木馬或者網路蠕蟲攻擊、檢測緩沖區溢出攻擊等功能，可以極大程度上減少網路威脅因素的入侵，有效阻擋大多數網路安全攻擊。

2、網路地址轉換功能

利用防火牆技術可以有效實現內部網路或者外部網路的IP地址轉換，可以分為源地址轉換和目的地址轉換，即SNAT和NAT。SNAT主要用於隱藏內部網路結構，避免受到來自外部網路的非法訪問和惡意攻擊，有效緩解地址空間的短缺問題，而DNAT主要用於外網主機訪問內網主機，以此避免內部網路被攻擊。

3、網路操作的審計監控功能

通過此功能可以有效對系統管理的所有操作以及安全信息進行記錄，提供有關網路使用情況的統計數據，方便計算機網路管理以進行信息追蹤。

4、強化網路安全服務

防火牆技術管理可以實現集中化的安全管理，將安全系統裝配在防火牆上，在信息訪問的途徑中就可以實現對網路信息安全的監管。

B. 防火牆到底是什麼呢

防火牆簡介

防火牆簡介
防火牆是一類防範措施的總稱，它使得內部網路與Internet之間或者與其他外部網路互相隔離、限制網路互訪用來保護內部網路。防火牆簡單的可以只用路由器實現，復雜的可以用主機甚至一個子網來實現。設置防火牆目的都是為了在內部網與外部網之間設立唯一的通道，簡化網路的安全管理。
防火牆的功能有：
1、過濾掉不安全服務和非法用戶
2、控制對特殊站點的訪問
3、提供監視Internet安全和預警的方便端點
由於互連網的開放性，有許多防範功能的防火牆也有一些防範不到的地方：
1、防火牆不能防範不經由防火牆的攻擊。例如，如果允許從受保護網內部不受限制的向外撥號，一些用戶可以形成與Internet的直接的連接，從而繞過防火牆，造成一個潛在的後門攻擊渠道。
2、防火牆不能防止感染了病毒的軟體或文件的傳輸。這只能在每台主機上裝反病毒軟體。
3、防火牆不能防止數據驅動式攻擊。當有些表面看來無害的數據被郵寄或復制到Internet主機上並被執行而發起攻擊時，就會發生數據驅動攻擊。
因此，防火牆只是一種整體安全防範政策的一部分。這種安全政策必須包括公開的、以便用戶知道自身責任的安全准則、職員培訓計劃以及與網路訪問、當地和遠程用戶認證、撥出撥入呼叫、磁碟和數據加密以及病毒防護的有關政策。
防火牆的特點
一般防火牆具備以下特點：
1、廣泛的服務支持：通過將動態的、應用層的過濾能力和認證相結合，可實現WWW瀏覽器、HTTP伺服器、 FTP等；
2、對私有數據的加密支持：保證通過Internet進行虛擬私人網路和商務活動不受損壞；
3、客戶端認證只允許指定的用戶訪問內部網路或選擇服務：企業本地網與分支機構、商業夥伴和移動用戶間安全通信的附加部分；
4、反欺騙：欺騙是從外部獲取網路訪問權的常用手段，它使數據包好似來自網路內部。防火牆能監視這樣的數據包並能扔掉它們；
5、C/S模式和跨平台支持：能使運行在一平台的管理模塊控制運行在另一平台的監視模塊。
實現防火牆的技術
防火牆的實現從層次上大體上可以分兩種：報文過濾和應用層網關。
報文過濾是在IP層實現的，因此，它可以只用路由器完成。報文過濾根據報文的源IP地址、目的IP地址、源埠、目的埠及報文傳遞方向等報頭信息來判斷是否允許報文通過。現在也出現了一種可以分析報文數據區內容的智能型報文過濾器。
報文過濾器的應用非常廣泛，因為CPU用來處理報文過濾的時間可以忽略不計。而且這種防護措施對用戶透明，合法用戶在進出網路時，根本感覺不到它的存在，使用起來很方便。報文過濾另一個也是很關鍵的弱點是不能在用戶級別上進行過濾，即不能識別不同的用戶和防止IP地址的盜用。如果攻擊者把自己主機的IP地址設成一個合法主機的IP地址，就可以很輕易地通過報文過濾器。
報文過濾的弱點可以用應用層網關解決。在應用層實現防火牆，方式多種多樣，下面是幾種應用層防火牆的設計實現。
1、應用代理伺服器（Application Gateway Proxy）
在網路應用層提供授權檢查及代理服務。當外部某台主機試圖訪問受保護網路時，必須先在防火牆上經過身份認證。通過身份認證後，防火牆運行一個專門為該網路設計的程序，把外部主機與內部主機連接。在這個過程中，防火牆可以限制用戶訪問的主機、訪問時間及訪問的方式。同樣，受保護網路內部用戶訪問外部網時也需先登錄到防火牆上，通過驗證後，才可訪問。
應用網關代理的優點是既可以隱藏內部IP地址，也可以給單個用戶授權，即使攻擊者盜用了一個合法的IP地址，也通不過嚴格的身份認證。因此應用網關比報文過濾具有更高的安全性。但是這種認證使得應用網關不透明，用戶每次連接都要受到認證，這給用戶帶來許多不便。這種代理技術需要為每個應用寫專門的程序。
2、迴路級代理伺服器
即通常意義的代理伺服器，它適用於多個協議，但不能解釋應用協議，需要通過其他方式來獲得信息，所以，迴路級代理伺服器通常要求修改過的用戶程序。
套接字伺服器（Sockets Server）就是迴路級代理伺服器。套接字(Sockets)是一種網路應用層的國際標准。當受保護網路客戶機需要與外部網交互信息時，在防火牆上的套伺服器檢查客戶的User ID、IP源地址和IP目的地址，經過確認後，套伺服器才與外部的伺服器建立連接。對用戶來說，受保護網與外部網的信息交換是透明的，感覺不到防火牆的存在，那是因為網路用戶不需要登錄到防火牆上。但是客戶端的應用軟體必須支持 「Socketsified API」，受保護網路用戶訪問公共網所使用的IP地址也都是防火牆的IP地址。
3、代管伺服器
代管伺服器技術是把不安全的服務如FTP、Telnet等放到防火牆上，使它同時充當伺服器，對外部的請求作出回答。與應用層代理實現相比，代管伺服器技術不必為每種服務專門寫程序。而且，受保護網內部用戶想對外部網訪問時，也需先登錄到防火牆上，再向外提出請求，這樣從外部網向內就只能看到防火牆，從而隱藏了內部地址，提高了安全性。
4、IP通道（IP Tunnels）
如果一個大公司的兩個子公司相隔較遠，通過Internet通信。這種情況下，可以採用IP Tunnels來防止Internet上的黑客截取信息，從而在Internet上形成一個虛擬的企業網。
5、網路地址轉換器(NAT Network Address Translate)
當受保護網連到Internet上時，受保護網用戶若要訪問Internet，必須使用一個合法的IP地址。但由於合法Internet IP地址有限，而且受保護網路往往有自己的一套IP地址規劃（非正式IP地址）。網路地址轉換器就是在防火牆上裝一個合法IP地址集。當內部某一用戶要訪問Internet時，防火牆動態地從地址集中選一個未分配的地址分配給該用戶，該用戶即可使用這個合法地址進行通信。同時，對於內部的某些伺服器如Web伺服器，網路地址轉換器允許為其分配一個固定的合法地址。外部網路的用戶就可通過防火牆來訪問內部的伺服器。這種技術既緩解了少量的IP地址和大量的主機之間的矛盾，又對外隱藏了內部主機的IP地址，提高了安全性。
6、隔離域名伺服器（Split Domain Name Server ）
這種技術是通過防火牆將受保護網路的域名伺服器與外部網的域名伺服器隔離，使外部網的域名伺服器只能看到防火牆的IP地址，無法了解受保護網路的具體情況，這樣可以保證受保護網路的IP地址不被外部網路知悉。
7、郵件技術（Mail Forwarding）
當防火牆採用上面所提到的幾種技術使得外部網路只知道防火牆的IP地址和域名時，從外部網路發來的郵件，就只能送到防火牆上。這時防火牆對郵件進行檢查，只有當發送郵件的源主機是被允許通過的，防火牆才對郵件的目的地址進行轉換，送到內部的郵件伺服器，由其進行轉發。
防火牆的體系結構及組合形式
1、屏蔽路由器（Screening Router）
這是防火牆最基本的構件。它可以由廠家專門生產的路由器實現，也可以用主機來實現。屏蔽路由器作為內外連接的唯一通道，要求所有的報文都必須在此通過檢查。路由器上可以裝基於IP層的報文過濾軟體，實現報文過濾功能。許多路由器本身帶有報文過濾配置選項，但一般比較簡單。
單純由屏蔽路由器構成的防火牆的危險帶包括路由器本身及路由器允許訪問的主機。它的缺點是一旦被攻陷後很難發現，而且不能識別不同的用戶。
2、雙穴主機網關（Dual Homed Gateway）
這種配置是用一台裝有兩塊網卡的堡壘主機做防火牆。兩塊網卡各自與受保護網和外部網相連。堡壘主機上運行著防火牆軟體，可以轉發應用程序，提供服務等。
雙穴主機網關優於屏蔽路由器的地方是：堡壘主機的系統軟體可用於維護系統日誌、硬體拷貝日誌或遠程日誌。這對於日後的檢查很有用。但這不能幫助網路管理者確認內網中哪些主機可能已被黑客入侵。
雙穴主機網關的一個致命弱點是：一旦入侵者侵入堡壘主機並使其只具有路由功能，則任何網上用戶均可以隨便訪問內網。
3、被屏蔽主機網關（Screened Host Gateway）
屏蔽主機網關易於實現也很安全，因此應用廣泛。例如，一個分組過濾路由器連接外部網路，同時一個堡壘主機安裝在內部網路上，通常在路由器上設立過濾規則，並使這個堡壘主機成為從外部網路唯一可直接到達的主機，這確保了內部網路不受未被授權的外部用戶的攻擊。
如果受保護網是一個虛擬擴展的本地網，即沒有子網和路由器，那麼內網的變化不影響堡壘主機和屏蔽路由器的配置。危險帶限制在堡壘主機和屏蔽路由器。網關的基本控制策略由安裝在上面的軟體決定。如果攻擊者設法登錄到它上面，內網中的其餘主機就會受到很大威脅。這與雙穴主機網關受攻擊時的情形差不多。
4、被屏蔽子網 （Screened Subnet）
這種方法是在內部網路和外部網路之間建立一個被隔離的子網，用兩台分組過濾路由器將這一子網分別與內部網路和外部網路分開。在很多實現中，兩個分組過濾路由器放在子網的兩端，在子網內構成一個「非軍事區」DMZ。有的屏蔽子網中還設有一堡壘主機作為唯一可訪問點，支持終端交互或作為應用網關代理。這種配置的危險帶僅包括堡壘主機、子網主機及所有連接內網、外網和屏蔽子網的路由器。
如果攻擊者試圖完全破壞防火牆，他必須重新配置連接三個網的路由器，既不切斷連接又不要把自己鎖在外面，同時又不使自己被發現，這樣也還是可能的。但若禁止網路訪問路由器或只允許內網中的某些主機訪問它，則攻擊會變得很困難。在這種情況下，攻擊者得先侵入堡壘主機，然後進入內網主機，再返回來破壞屏蔽路由器，整個過程中不能引發警報。
建造防火牆時，一般很少採用單一的技術，通常是多種解決不同問題的技術的組合。這種組合主要取決於網管中心向用戶提供什麼樣的服務，以及網管中心能接受什麼等級風險。採用哪種技術主要取決於經費，投資的大小或技術人員的技術、時間等因素。一般有以下幾種形式：
1、使用多堡壘主機；
2、合並內部路由器與外部路由器；
3、合並堡壘主機與外部路由器；
4、合並堡壘主機與內部路由器；
5、使用多台內部路由器；
6、使用多台外部路由器；
7、使用多個周邊網路；
8、使用雙重宿主主機與屏蔽子網。

C. 防火牆有哪些局限性

防火牆有十大局限性：
一、防火牆不能防範不經過防火牆的攻擊。沒有經過防火牆的數據，防火牆無法檢查。
二、防火牆不能解決來自內部網路的攻擊和安全問題。防火牆可以設計為既防外也防內，誰都不可信，但絕大多數單位因為不方便，不要求防火牆防內。
三、防火牆不能防止策略配置不當或錯誤配置引起的安全威脅。防火牆是一個被動的安全策略執行設備，就像門衛一樣，要根據政策規定來執行安全，而不能自作主張。
四、防火牆不能防止可接觸的人為或自然的破壞。防火牆是一個安全設備，但防火牆本身必須存在於一個安全的地方。
五、防火牆不能防止利用標准網路協議中的缺陷進行的攻擊。一旦防火牆准許某些標准網路協議，防火牆不能防止利用該協議中的缺陷進行的攻擊。
六、防火牆不能防止利用伺服器系統漏洞所進行的攻擊。黑客通過防火牆准許的訪問埠對該伺服器的漏洞進行攻擊，防火牆不能防止。
七、防火牆不能防止受病毒感染的文件的傳輸。防火牆本身並不具備查殺病毒的功能，即使集成了第三方的防病毒的軟體，也沒有一種軟體可以查殺所有的病毒。
八、防火牆不能防止數據驅動式的攻擊。當有些表面看來無害的數據郵寄或拷貝到內部網的主機上並被執行時，可能會發生數據驅動式的攻擊。
九、防火牆不能防止內部的泄密行為。防火牆內部的一個合法用戶主動泄密，防火牆是無能為力的。
十、防火牆不能防止本身的安全漏洞的威脅。防火牆保護別人有時卻無法保護自己，目前還沒有廠商絕對保證防火牆不會存在安全漏洞。因此對防火牆也必須提供某種安全保護。

D. 防火牆能否防止病毒的攻擊

防火牆不能有效地防範像病毒這類東西的入侵。在網路上傳輸二進制文件的編碼方式太多了，並且有太多的不同的結構和病毒，因此不可能查找所有的病毒。換句話說，防火牆不可能將安全意識（security-consciosness）交給用戶一方。總之，防火牆不能防止數據驅動的攻擊：即通過將某種東西郵寄或拷貝到內部主機中，然後它再在內部主機中運行的攻擊。過去曾發生過對不同版本的郵件寄送程序和幻像腳本（ghostscript）和免費PostScript閱讀器的這類攻擊。
對病毒十分憂慮的機構應當在整個機構范圍內採取病毒控制措施。不要試圖將病毒擋在防火牆之外，而是保證每個脆弱的桌面系統都安裝上病毒掃描軟體
，只要一引導計算機就對病毒進行掃描。利用病毒掃描軟體防護你的網路將可以防止通過軟盤、數據機和Internet傳播的病毒的攻擊。試圖御病毒於防火牆之外只能防止來自Internet的病毒，而絕大多數病毒是通過軟盤傳染上的。
盡管如此，還是有越來越多的防火牆廠商正提供「病毒探測」防火牆。這類防火牆只對那種交換Windows-on-Intel執行程序和惡意宏應用文檔的毫無經驗的用戶有用。不要指望這種特性能夠對攻擊起到任何防範作用。

E. 防火牆的局限性是什麼

防火牆有十大局限性：
一、防火牆不能防範不經過防火牆的攻擊。沒有經過防火牆的數據，防火牆無法檢查。
二、防火牆不能解決來自內部網路的攻擊和安全問題。防火牆可以設計為既防外也防內，誰都不可信，但絕大多數單位因為不方便，不要求防火牆防內。
三、防火牆不能防止策略配置不當或錯誤配置引起的安全威脅。防火牆是一個被動的安全策略執行設備，就像門衛一樣，要根據政策規定來執行安全，而不能自作主張。
四、防火牆不能防止可接觸的人為或自然的破壞。防火牆是一個安全設備，但防火牆本身必須存在於一個安全的地方。
五、防火牆不能防止利用標准網路協議中的缺陷進行的攻擊。一旦防火牆准許某些標准網路協議，防火牆不能防止利用該協議中的缺陷進行的攻擊。
六、防火牆不能防止利用伺服器系統漏洞所進行的攻擊。黑客通過防火牆准許的訪問埠對該伺服器的漏洞進行攻擊，防火牆不能防止。
七、防火牆不能防止受病毒感染的文件的傳輸。防火牆本身並不具備查殺病毒的功能，即使集成了第三方的防病毒的軟體，也沒有一種軟體可以查殺所有的病毒。
八、防火牆不能防止數據驅動式的攻擊。當有些表面看來無害的數據郵寄或拷貝到內部網的主機上並被執行時，可能會發生數據驅動式的攻擊。
九、防火牆不能防止內部的泄密行為。防火牆內部的一個合法用戶主動泄密，防火牆是無能為力的。
十、防火牆不能防止本身的安全漏洞的威脅。防火牆保護別人有時卻無法保護自己，目前還沒有廠商絕對保證防火牆不會存在安全漏洞。因此對防火牆也必須提供某種安全保護。

F. 防火牆能有效防範病毒的入侵嗎為什麼

防火牆不能有效地防範像病毒這類東西的入侵。在網路上傳輸二進制文件的編碼方式太多了，並且有太多的不同的結構和病毒，因此不可能查找所有的病毒。換句話說，防火牆不可能將安全意識（security-consciosness）交給用戶一方。總之，防火牆不能防止數據驅動的攻擊：即通過將某種東西郵寄或拷貝到內部主機中，然後它再在內部主機中運行的攻擊。

G. 防火牆有哪些功能和局限性

防火牆主要優點:
（1）防火牆能強化安全策略。
（2）防火牆能有效地記錄Internet上的活動。
（3）防火牆限制暴露用戶點。防火牆能夠用來隔開網路中一個網段與另一個網段。這樣，能夠防止影響一個網段的問題通過整個網路傳播。
（4）防火牆是一個安全策略的檢查站。所有進出的信息都必須通過防火牆，防火牆便成為安全問題的檢查點，使可疑的訪問被拒絕於門外。
防火牆有十大局限性：
一、防火牆不能防範不經過防火牆的攻擊。沒有經過防火牆的數據，防火牆無法檢查。
二、防火牆不能解決來自內部網路的攻擊和安全問題。防火牆可以設計為既防外也防內，誰都不可信，但絕大多數單位因為不方便，不要求防火牆防內。
三、防火牆不能防止策略配置不當或錯誤配置引起的安全威脅。防火牆是一個被動的安全策略執行設備，就像門衛一樣，要根據政策規定來執行安全，而不能自作主張。
四、防火牆不能防止可接觸的人為或自然的破壞。防火牆是一個安全設備，但防火牆本身必須存在於一個安全的地方。
五、防火牆不能防止利用標准網路協議中的缺陷進行的攻擊。一旦防火牆准許某些標准網路協議，防火牆不能防止利用該協議中的缺陷進行的攻擊。
六、防火牆不能防止利用伺服器系統漏洞所進行的攻擊。黑客通過防火牆准許的訪問埠對該伺服器的漏洞進行攻擊，防火牆不能防止。
七、防火牆不能防止受病毒感染的文件的傳輸。防火牆本身並不具備查殺病毒的功能，即使集成了第三方的防病毒的軟體，也沒有一種軟體可以查殺所有的病毒。
八、防火牆不能防止數據驅動式的攻擊。當有些表面看來無害的數據郵寄或拷貝到內部網的主機上並被執行時，可能會發生數據驅動式的攻擊。
九、防火牆不能防止內部的泄密行為。防火牆內部的一個合法用戶主動泄密，防火牆是無能為力的。
十、防火牆不能防止本身的安全漏洞的威脅。防火牆保護別人有時卻無法保護自己，目前還沒有廠商絕對保證防火牆不會存在安全漏洞。因此對防火牆也必須提供某種安全保護。

H. 什麼是數據驅動式攻擊防火牆為什麼不能防止數據驅動式攻擊

數據驅動攻擊是通過向某個程序發送數據，以產生非預期結果的攻擊，通常為攻擊者給出訪問目標系統的許可權，數據驅動攻擊分為緩沖區溢出攻擊、格式化字元串攻擊、輸入驗證攻擊、同步漏洞攻擊、信任漏洞攻擊等。

防火牆不能防止數據驅動式攻擊，因為防火牆不能防範由於內部用戶不注意所造成的威脅，很難防治受到病毒感染的軟體或文件在網路上傳輸。

防火牆不能防範不經由防火牆的攻擊；防火牆不能防止感染了病毒的軟體或文件的傳輸；防火牆不能防止數據驅動式攻擊。

(8)計算機網路防火牆不能防止數據驅動式攻擊擴展閱讀：

軟體防火牆及硬體防火牆中還有的其他功能，例如CF（內容過濾）IDS（入侵偵測）IPS（入侵防護）以及VPN等等的功能。也就是說硬體防火牆是指把防火牆程序做到晶元裡面，由硬體執行這些功能，能減少CPU的負擔，使路由更穩定。

硬體防火牆是保障內部網路安全的一道重要屏障。它的安全和穩定，直接關繫到整個內部網路的安全。因此，日常例行的檢查對於保證硬體防火牆的安全是非常重要的。系統中存在的很多隱患和故障在爆發前都會出現這樣或那樣的苗頭，例行檢查的任務就是要發現這些安全隱患，並盡可能將問題定位，方便問題的解決。

I. 防火牆能防什麼，不能防什麼 詳細�0�3

另一些防火牆則提供不太嚴格的保護措施，僅僅攔阻一些眾所周知存在問題的服務。 一般來說，防火牆在配置上是防止來自網路外部的，未經授權的互動式登錄。這大大有助於防止破壞者登錄到你網路中的計算機上。一些設計更為精巧的防火牆可以防止來自外部的傳輸流進入內部，但又允許內部的用戶可以自由地與外部通信。如果你切斷防火牆的話，它可以保護你免受網路上任何類型的攻擊。 防火牆不能防範不經過防火牆的攻擊。許多接入到Internet 的企業對通過 Internet 接入服務提供商(例如中國電信、中國網通等)的專用數據數據泄露非常擔心。不幸得是，對於這些擔心來說，一個U 盤可以泄露涉密數據。許多機構的管理層對Internet 接入非常恐懼，它們對應當如何保護通過數據機撥號訪問沒有連慣的政策。如果有人住在一所木屋中，卻安裝了一扇六英尺厚的鋼制安全門。大家都會認為這樣的行為很愚蠢。然而，有許多機構購買了價格昂貴的防火牆，但卻忽視了通往其網路中的其它幾扇後門。要使防火牆發揮作用，防火牆就必須成為整個機構安全架構中不可分割的一部分。防火牆的策略必須現實，能夠反映出整個網路安全的水平。例如，一個保存著絕密數據的網路伺服器根本不需要防火牆：它根本不應當被接入到Internet 上，這樣的網路和Internet 必須做到物理上的隔離。 防火牆不能真正保護你防止的另一種危險是你網路內部的叛變者或白痴。盡管一個工業間諜可以通過防火牆傳送信息，但他更有可能利用電話、傳真機、 U 盤、移動硬碟等來傳送信息。U 盤遠比防火牆更有可能成為泄露你機構秘密的媒介！如果攻擊者能找到內部的一個"對他有幫助"的雇員，通過欺騙他進入數據機池，攻擊者可能會完全繞過防火牆打入你的網路。 另外，防火牆不能有效地防範像病毒這類東西的入侵。在網路上傳輸二進制文件的編碼方式太多了，並且有太多的不同的結構和病毒，因此不可能查找 所有的病毒。換句話說，防火牆不可能將安全意識(security-consciosness)交給用戶一方。總之，防火牆不能防止數據驅動的攻擊：即通過將某種東西郵寄或拷貝到內部主機中，然後它再在內部主機中運行的攻擊。過去曾發生過對不同版本的郵件寄送程序和幻像腳本(ghostscript)和免費PostScript 閱讀器的這類攻擊。一些防火牆只允許電子郵件通過，因而保護了網路免受除對電子郵件服務攻擊之外的任何攻擊。另一些防火牆則提供不太嚴格的保護措施，僅僅攔阻一些眾所周知存在問題的服務。 一般來說，防火牆在配置上是防止來自網路外部的，未經授權的互動式登錄。這大大有助於防止破壞者登錄到你網路中的計算機上。一些設計更為精巧的防火牆可以防止來自外部的傳輸流進入內部，但又允許內部的用戶可以自由地與外部通信。如果你切斷防火牆的話，它可以保護你免受網路上任何類型的攻擊。 防火牆不能防範不經過防火牆的攻擊。許多接入到Internet 的企業對通過 Internet 接入服務提供商(例如中國電信、中國網通等)的專用數據數據泄露非常擔心。不幸得是，對於這些擔心來說，一個U 盤可以泄露涉密數據。許多機構的管理層對Internet 接入非常恐懼，它們對應當如何保護通過數據機撥號訪問沒有連慣的政策。如果有人住在一所木屋中，卻安裝了一扇六英尺厚的鋼制安全門。大家都會認為這樣的行為很愚蠢。然而，有許多機構購買了價格昂貴的防火牆，但卻忽視了通往其網路中的其它幾扇後門。要使防火牆發揮作用，防火牆就必須成為整個機構安全架構中不可分割的一部分。防火牆的策略必須現實，能夠反映出整個網路安全的水平。例如，一個保存著絕密數據的網路伺服器根本不需要防火牆：它根本不應當被接入到Internet 上，這樣的網路和Internet 必須做到物理上的隔離。 防火牆不能真正保護你防止的另一種危險是你網路內部的叛變者或白痴。盡管一個工業間諜可以通過防火牆傳送信息，但他更有可能利用電話、傳真機、 U 盤、移動硬碟等來傳送信息。U 盤遠比防火牆更有可能成為泄露你機構秘密的媒介！如果攻擊者能找到內部的一個"對他有幫助"的雇員，通過欺騙他進入數據機池，攻擊者可能會完全繞過防火牆打入你的網路。 另外，防火牆不能有效地防範像病毒這類東西的入侵。在網路上傳輸二進制文件的編碼方式太多了，並且有太多的不同的結構和病毒，因此不可能查找所有的病毒。換句話說，防火牆不可能將安全意識(security-consciosness)交給用戶一方。總之，防火牆不能防止數據驅動的攻擊：即通過將某種東西郵寄或拷貝到內部主機中，然後它再在內部主機中運行的攻擊。

J. 防火牆不能防止以下那些攻擊行為

防火牆不能防止內部網路用戶的攻擊、傳送已感染病毒的軟體和文件、數據驅動型的攻擊。防火牆主要是藉助硬體和軟體的作用於內部和外部網路的環境間產生一種保護的屏障，從而實現對計算機不安全網路因素的阻斷。只有在防火牆同意情況下，用戶才能夠進入計算機內。

在外部的用戶要進入到計算機內時，防火牆就會迅速的發出相應的警報，並提醒用戶的行為，並進行自我的判斷來決定是否允許外部的用戶進入到內部，只要是在網路環境內的用戶，這種防火牆都能夠進行有效的查詢，同時把查到信息朝用戶進行顯示。

(10)計算機網路防火牆不能防止數據驅動式攻擊擴展閱讀：

內部網路和外部網路之間的所有網路數據流都必須經過防火牆。這是防火牆所處網路位置特性，同時也是一個前提。因為只有當防火牆是內、外部網路之間通信的通道，才可以全面、有效地保護企業網部網路不受侵害。

根據美國國家安全局制定的《信息保障技術框架》，防火牆適用於用戶網路系統的邊界，屬於用戶網路邊界的安全保護設備。所謂網路邊界即是採用不同安全策略的兩個網路連接處，比如用戶網路和互聯網之間連接、和其它業務往來單位的網路連接、用戶內部網路不同部門之間的連接等。