【正文】 將接納此數(shù)據(jù)包；網卡在設置為直接模式時，只有當數(shù)據(jù)包的目的地址為網卡自己的地址時，網卡才接受它；網卡在設置為混雜模式時，它將接受所有經過的數(shù)據(jù)包。這些用戶自定義的過濾器將決定一個數(shù)據(jù)包是否被接受以及數(shù)據(jù)包中的那些內 容應該被保存下來。它充分考慮了各種性能和效率的優(yōu)化，在內核層實現(xiàn)了數(shù)據(jù)包的捕獲和過濾。由于本系統(tǒng)是基于 Windows操作系統(tǒng)的，所以數(shù)據(jù)包捕獲功能是在 Winpcap軟件開發(fā)包的基礎上實現(xiàn)的。本系統(tǒng)實際上是一個小型的基于 Windows 的網絡入侵檢測系統(tǒng)，雖然只需要安裝在整個共享網段的 某臺機器上，但能夠對整個網段提供入侵檢測的保護。 ? 智能的入侵檢測 入侵方法的越來越多樣化和復雜化，傳統(tǒng)的入侵檢測方法還存在著不少不足，盡管已經有智能代理、神經網絡與遺傳算法在入侵檢測領域應用研究，但這只是一 些嘗試性的研究工作，需要對智能代理的 IDS 加以進一步的研究以解決其自學習與自適應能力。 除此以外，入侵檢測系統(tǒng)還可以按數(shù)據(jù)分析發(fā)生的時間、入侵攻擊的響應方式等方法分類。首先根據(jù)主題的歷史活動記錄，為每個主體建立正?；顒拥摹盎顒雍啓n”；將當前的主體活動與“活動簡檔”進行比較，如果差異大于某個預定義的值，就認為這是一次入侵。它監(jiān)視的對象是整個共享子網，能夠為整個共享子網提供保護。 數(shù)據(jù)分析模塊的作用在于對數(shù)據(jù)進行深入的分析，發(fā)現(xiàn)攻擊并根據(jù)分析的結果產生事件，傳遞給結果處理模塊。 入侵檢測和其他的檢測技術有相同原理：從一組數(shù)據(jù)中，檢測出符合某一特點的數(shù)據(jù)。入侵檢測技術就是實現(xiàn) P2DR 模型中 ” Detection” 部分的主要技術手段。 安全性：入侵檢測系統(tǒng)自身必須安全，如果入侵檢測系統(tǒng)自身的安全性得不到保障，首先意味著信息的無效，而更嚴重的是入侵者控制了入侵檢測系統(tǒng)即獲得了對系統(tǒng)的控制權 。 2. 入侵檢測基礎 當我們無法完全防止入侵時，那么只能希望系統(tǒng)在受到攻擊時，能盡快檢測出入侵，而且最好是實時的，以便可以采取相應的措施來對付入侵，這就是入侵檢測系統(tǒng)要做的，它從計算機網絡中的若干關鍵點收集信息，并分析這些信息，檢查網絡中是否有違反安全策略的行為和遭到襲擊的跡象。 雖然網絡安全已經超越了純技術領域，但網絡安全技術仍然是解決網絡安全最重要的基礎和研究方向。 （ 3）訪問控制技術 訪問控制是從計算機系統(tǒng)的處理能力方面對信息提供保護機制，它按照事先確定的規(guī)則決定主體對客體的訪問是否合法。網絡中的數(shù)據(jù)加密，除了選擇加密算法和密鑰外，主要問題是加密 的方式以及實現(xiàn)加密的網絡協(xié)議層次和密鑰的分配管理。同時，市場的激烈競爭，促使商家需要更快地推出產品，軟件的快速開發(fā)也增大了遺留更多隱患的可能性。網絡是一個有眾多環(huán)節(jié)構成的復雜系統(tǒng)。 篡 改（ modification）：攻擊者故意篡改網絡上傳播的報文。 本文首先介紹了網絡入侵檢測的基本原理和實現(xiàn)入侵檢測的技術。 Data packet capture。 畢業(yè)設計 ( 論文 ) 基于 Windows 入侵檢測系統(tǒng)的研究與設計 檢測模塊設計 論文作者姓名： 申請學位專業(yè)： 申請學位類別： 指導教師姓名（職稱）： 論文提交日期： 基于 windows 入侵檢測系統(tǒng)的研究與設計 檢測模塊設計 摘 要 當今是信息時代，互聯(lián)網正在給全球帶來翻天覆地的變化。 關鍵詞 : 入侵檢測系統(tǒng)； 數(shù)據(jù)包捕獲；數(shù)據(jù)包分析 The Research and Design of Intrusion Detection System Based on Windows —— Design of Detective Module Abstract Nowadays, it is information age, and Inter brings the great change to the whole world. With Inter development at full speed, in the global, the popularization day by day of the work technology, the work security question bees more and more outstanding too. The security of puter work is a internationalize problem, the whole world lose up to tens of billion dollars every year caused by that the security system of the puter work is destroyed. Traditional fire wall technology is no doubt important, however, it is also important to develop the work intrusion detection and early warning technology. It is the rational supplement of the fire wall , and is helpful to deal with work attacks for system, thus offer protect to the attacks from inside, the attacks from outside and operations by mistake in real time. At first, the paper introduces the principle of intrusion detection system (IDS), and then gives the implementation of a work intrusion detective module based on packet of Winpcap of Windows. The module has the function of capture and analysis on data Packets in Share Network Segment and so on. It is an important part of the whole work intrusion detection system, which is the base of response module and is designed in order to supply the necessary data to the responsible module. Key words: Intrusion detection system。入侵檢測被認為是防火墻之后的第二道安全防線，提供對內部攻擊、外部攻擊和誤操作的實時保護。 中斷（ interruption）：攻擊者有意中斷他人在網絡上的通信。 網絡安全隱患的來源 網絡安全隱患主要來自于四個方面： （ 1）網絡的復雜性?，F(xiàn)代網絡已經是軟件驅動的發(fā)展模式，對軟件的更多依賴性加大了軟件質量對網絡安全的負面影響。 （ 1）數(shù)據(jù)加密技術 數(shù)據(jù)加密是網絡安全中采用的最基本的安全技術，目的是保護數(shù)據(jù)、文件、口令以及其他信息在網絡上的安全傳輸，防止竊聽。按照鑒別對象的不同，鑒別 技術可分為消息源鑒別和通信雙方互相鑒別，按照鑒別內容的不同，鑒別技術可分為用戶身份鑒別和消息內容鑒別，鑒別的方法有很多種，主要有通過用戶標識和口令、報文鑒別、數(shù)字簽名等方式。網絡反病毒技術主 要包括檢查病毒和殺出病毒。主要測試了檢測模塊實現(xiàn)的各種功能。 時效性：必須及時的發(fā)現(xiàn)各種入侵行為，理想情況是在事前發(fā)現(xiàn)攻擊企圖，比較現(xiàn)實的情況則是在攻擊行為發(fā)生的過程中檢測到。 P2DR 模型闡述了這樣一個結論：安全的目標實際上就是盡可能地增大保護時間，盡量減少檢測時間和響應時間。它能在不影響網絡性能或輕負載的情況下，檢測網絡并實現(xiàn)對內部攻擊、外部攻擊和誤操作的實時保護。數(shù)據(jù)提取模塊在獲得數(shù)據(jù)后，需要對數(shù)據(jù)進行簡 單的處理，如簡單的過濾、數(shù)據(jù)格式標準化等，然后將經過處理后的數(shù)據(jù)提交給數(shù)據(jù)分析模塊。實際實現(xiàn)時，一般是把入侵檢測系統(tǒng)所在的主機的網卡設為混雜模式，從而捕獲經過它的所有網絡數(shù)據(jù)包。它的基本假設是入侵活動具有不同于正常用戶活動的特征，即入侵活動表現(xiàn)為異常。但是，異常檢測方法的優(yōu)點讓研究人員向往不已，大部分的研究工作都集中在異常檢測方面，人 們 提出了各種各樣的新方法企圖使異常檢測實用化。許多基于客戶、服務器結構與中間件技術及對象技術的大型應用，需要應用層的入侵檢測保護。 3 基于 Windows 入侵檢測系統(tǒng)的設計 本系統(tǒng)的全稱為《基于 Windows 入侵檢測系統(tǒng)的設計與實現(xiàn)》，系統(tǒng)的開發(fā)環(huán)境為 Windows 操作系統(tǒng)。簡單的說，可以將其分為兩個部分，即數(shù)據(jù)包的捕獲和數(shù)據(jù)包的分析。 2．使用 Winpcap 可以提供很高的應用效率。 BPF 負責將數(shù)據(jù)包傳遞給每個監(jiān)控進程的過濾器。 數(shù)據(jù)包捕獲的具體實現(xiàn) 網卡有以下幾個工作模式；廣播模式 (broadcast module)、多播模式(multicast module)、直接模式 (direct module)和混雜模式 (promisc module)。 /*網絡接口 */ struct bpf_program bpf_filter。 /*獲得地址 */ pcap_handle=pcap_open_live(_interface,BUFSIZ,1,1,error_content)。 本段代碼的功能是循環(huán)捕獲以太網數(shù)據(jù)包，其中調用了網絡接口函數(shù)、規(guī)則函數(shù)和數(shù)據(jù)包捕獲函數(shù)。 （ 4）設置過濾器： 函數(shù)原型： char * pcap_setfilter(pcap_t*p,struct bpf_program*fp) 功能：通過調用本函數(shù)，設置內核過濾器使得編譯了的過濾生效。 網絡數(shù)據(jù)包分析模塊的實現(xiàn) 當完成對數(shù)據(jù)包的捕獲之后 ,接下來要完成的是數(shù)據(jù)包的分析過程。 u_char *pkt。 u_int16_t datasize。 u_int32_t sip。 協(xié)議的解析是圍繞核心數(shù)據(jù)結構 Data Packet 展開的，其中定義有進行協(xié)議解析所需的數(shù)據(jù)結構和保存結果信息的數(shù)據(jù)結構。 else u_int8_t ip_hlen:4, ip_ver:4。 struct in_addr ip_src。圖上所顯示的是檢測模塊捕獲的數(shù)據(jù)包在通過協(xié)議分析后所輸出的信息。當然，無論采取何種措施，安全總是相對的，沒有絕對的網絡安全；應該隨網絡安全狀況及安全需求的變化，適度地調整安全策略，使之總能提供最佳的 Intra 安全保障。本系統(tǒng)只實現(xiàn)簡單的數(shù)據(jù)包捕獲和分析，還要提高分析的準確性，來提取有效數(shù)據(jù)。 [7] Stevens[美 ].TCP/IP 詳解卷 1:協(xié)議 [M].范建華等譯 .北京 : 機械工業(yè)出版社 ,。 （ 4）學?？稍试S學位論文被查閱或借閱。t know what that is! The journey of the witches on broomsticks is well enough known that journey is taken on St. John39。 as if a man that negotiates between two princes, to draw them to join in a war against the third, doth extol the forces of either of them above measure, the one to the other: and sometimes, he that deals between man and man, raiseth his own credit with both by pretending greater interest than he hath in either. And in these, and the like kinds, it often falls out that somewhat is produced of nothing: for lies are sufficient to breed opinion, and opinion brings on substance. In military manders and soldiers, vainglory is an essential point。 In mending another, you do your self right。 for these are the offences which are and have been, and willever be, the source of all the aforesaid evils. The greatest of themare excesses and insolences of youth, and are offences against thegreatest when they are done against religio