防火墻的攻擊防范功能能夠檢測出多種類型的網(wǎng)絡攻擊，并能采取相應的措施保護內(nèi)部網(wǎng)絡免受惡意攻擊，保證內(nèi)部網(wǎng)絡主機的正常運行

攻擊防范功能可以抵御傳統(tǒng)的單包攻擊，也能防御常見的DDoS攻擊

單包攻擊

單包攻擊主要包括掃描類攻擊、畸形報文類攻擊、特殊報文類攻擊

掃描類攻擊：一種潛在的攻擊行為，并不具有直接的破壞行為，通常是攻擊者發(fā)動真正攻擊前的網(wǎng)絡探測行為（如IP地址掃描攻擊、端口掃描攻擊等）

畸形報文類攻擊：通常指攻擊者發(fā)送大量有缺陷的報文，從而造成主機或服務器在處理這類報文時系統(tǒng)崩潰（ping of death攻擊、Smurf攻擊、fraggle攻擊、land攻擊等）

特殊報文類攻擊：也是一種潛在的攻擊行為，不具有直接的破壞行為，攻擊者通過發(fā)送特殊控制報文探測網(wǎng)絡結構，為后續(xù)發(fā)送真正的攻擊做準備（icmp重定向攻擊、tracert攻擊等）

DDoS攻擊

DDoS攻擊是一種分布式的DoS攻擊，DoS即拒絕服務，利用TCP/IP協(xié)議缺陷，通過占用協(xié)議棧資源或發(fā)起大量流量，導致鏈路擁塞，消耗目標主機性能或服務器資源、帶寬資源等，致使無法向合法用戶提供服務

DDoS即分布式拒絕服務，在DoS攻擊的基礎上，將多個計算機聯(lián)合起來作為攻擊平臺，對一個或多個目標發(fā)動DDoS攻擊，從而成倍的提高拒絕服務攻擊的威力，致使目標服務器無法提供正常服務