16、防火墙服务模块（FWSM）的配置、管理与安全防护

防火墙服务模块（FWSM）的配置、管理与安全防护

1. ActiveX和Java的配置与过滤

1.1 功能与风险

ActiveX控件和Java小程序在功能上有相似之处，但ActiveX控件能以运行应用程序的用户相同权限运行，因此具备更多能力。不过，这两者都存在被恶意利用的潜在风险。幸运的是，FWSM具备过滤HTTP流量中ActiveX对象和/或Java小程序的能力。

1.2 过滤方式

过滤ActiveX时，会用注释替换对象和小程序标签。 filter activex 命令还会注释掉嵌入在对象标签内的Java文件、图像和对象。需要注意的是，分片的数据包无法被阻止。

1.3 配置步骤

若要使用ActiveX或Java过滤，必须先启用HTTP检查，否则过滤将无法生效。若使用默认全局策略，需添加以下命令：

policy-map global_policy
 class inspection_default
 inspect http

使用以下命令集配置ActiveX和Java过滤：

filter {activex | java} {port[-port] | except} local_ip local_mask foreign_ip foreign_mask

例如，从192.168.1.23过滤ActiveX到任何目的地的配置如下： </