【文章內(nèi)容簡(jiǎn)介】 策略和恢復(fù)機(jī)制。 ? 與其他網(wǎng)絡(luò)安全部件的協(xié)作、與其他安全技術(shù)的結(jié)合 隨著黑客入侵手段的提高，尤其是分布式、協(xié)同式、 復(fù)雜模式攻擊的出現(xiàn)和發(fā)展，傳統(tǒng)的單一、缺乏協(xié)作的入侵檢測(cè)技術(shù)已經(jīng)不能滿足需求，需要有充分的協(xié)作機(jī)制。 此外，單一的入侵檢測(cè)系統(tǒng)并非萬能，因此需要結(jié)合身份認(rèn)證、訪問控制、數(shù)據(jù)加密、防火墻、安全掃描、 PKI 技術(shù)、病毒防護(hù)等眾多網(wǎng)絡(luò)安全技術(shù)，來提 供完整的網(wǎng)絡(luò)安全保障。 3 基于 Windows 入侵檢測(cè)系統(tǒng)的設(shè)計(jì) 本系統(tǒng)的全稱為《基于 Windows 入侵檢測(cè)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)》，系統(tǒng)的開發(fā)環(huán)境為 Windows 操作系統(tǒng)。本系統(tǒng)實(shí)際上是一個(gè)小型的基于 Windows 的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，雖然只需要安裝在整個(gè)共享網(wǎng)段的 某臺(tái)機(jī)器上，但能夠?qū)φ麄€(gè)網(wǎng)段提供入侵檢測(cè)的保護(hù)。 整個(gè)系統(tǒng)分主要分為兩個(gè)模塊，即檢測(cè)模塊和響應(yīng)模塊。檢測(cè)模塊主要是通過監(jiān)聽共享網(wǎng)段，捕獲該網(wǎng)段上的數(shù)據(jù)包并對(duì)其進(jìn)行分析，從而剝離出一些與入侵特征相關(guān)的標(biāo)志。響應(yīng)模塊則負(fù)責(zé)將檢測(cè)模塊剝離出的標(biāo)志與現(xiàn)有的入侵特征進(jìn)行模式匹配，從而偵測(cè)出存在于網(wǎng)絡(luò)中的入侵活動(dòng)，并且利用一些響應(yīng)手段向網(wǎng)絡(luò)管理員發(fā)出告警信息并采取相應(yīng)的行動(dòng)。除了這兩大模塊以外，本系統(tǒng)還有一個(gè)中央控制臺(tái)模塊，該模塊主要是給系統(tǒng)的使用者提供方便的操作界面，以及顯示系統(tǒng)輸出的各項(xiàng)數(shù)據(jù)。 本論文將重點(diǎn)討論檢測(cè) 模塊的設(shè)計(jì)與實(shí)現(xiàn)。 系統(tǒng)總體結(jié)構(gòu)如圖 31 所示： 圖 31 系統(tǒng)總體結(jié)構(gòu)圖 基于 Windows入侵檢測(cè)系統(tǒng) 檢測(cè)模塊 響應(yīng)模塊 數(shù)據(jù)捕獲 數(shù)據(jù)分析 規(guī)則庫 規(guī)則匹配引擎 響應(yīng)單元 日志庫 本系統(tǒng)所采用的開發(fā)語言是 C/C++，下表 31為系統(tǒng)開發(fā)所用到的相關(guān)部件： 表 31 系統(tǒng)開發(fā)軟體環(huán)境 部件名稱 軟體 系統(tǒng)平臺(tái) Microsoft Windows 開發(fā)工具 VC++ 編譯環(huán)境 VC++ 運(yùn)行環(huán)境 Microsoft Windows 數(shù)據(jù)庫 MYSQL 開發(fā)包 winpcap、 libnids 4. 檢測(cè)模塊的設(shè)計(jì)與實(shí)現(xiàn) 檢測(cè)模塊是任何一個(gè)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)都必須具備的模塊之一，它主要實(shí)現(xiàn)了數(shù)據(jù)提取的功能，和對(duì)提取到的數(shù)據(jù)進(jìn)行簡(jiǎn)單的分析，從而提取一些與入侵特征相關(guān)的標(biāo)志。簡(jiǎn)單的說，可以將其分為兩個(gè)部分，即數(shù)據(jù)包的捕獲和數(shù)據(jù)包的分析。由于本系統(tǒng)是基于 Windows操作系統(tǒng)的，所以數(shù)據(jù)包捕獲功能是在 Winpcap軟件開發(fā)包的基礎(chǔ)上實(shí)現(xiàn)的。 Winpcap 軟件開發(fā)包簡(jiǎn)介 Winpcap(windows packet capture)是 windows 平臺(tái)下一個(gè) 網(wǎng)絡(luò)數(shù)據(jù)包捕獲開 發(fā)包，是為 Libpcap 在 Windows 平臺(tái)下實(shí)現(xiàn)數(shù)據(jù)包的捕獲而設(shè)計(jì)的。在設(shè)計(jì)Winpcap 時(shí)參照了 Libpcap，使用方法與 Libpcap 相似。它的使用非常廣泛，幾乎所有在 Windows平臺(tái)下要使用數(shù)據(jù)包捕獲功能的軟件都可以使用 Winpcap開發(fā)包。 開發(fā) winpcap這個(gè)項(xiàng)目的目的在于為 win32應(yīng)用程序提供訪問網(wǎng)絡(luò)底層的能力 ，其核心功能是捕獲網(wǎng)絡(luò)數(shù)據(jù)包，其他功能包括數(shù)據(jù)包過濾、數(shù)據(jù)包發(fā)送、流量統(tǒng)計(jì)和數(shù)據(jù)包存儲(chǔ)等。 使用 Winpcap 有很多好處，主要體現(xiàn)在以下幾個(gè)方面。 1． Winpcap 給程序員提供了 一套標(biāo)準(zhǔn)的網(wǎng)絡(luò)數(shù)據(jù)包捕獲的編程接口，并且與 Libpcap 兼容，使得原來許多 Linux 平臺(tái)下的網(wǎng)絡(luò)安全程序可很快地移植到Windows 平臺(tái)下。 2．使用 Winpcap 可以提供很高的應(yīng)用效率。它充分考慮了各種性能和效率的優(yōu)化，在內(nèi)核層實(shí)現(xiàn)了數(shù)據(jù)包的捕獲和過濾。 3． Winpcap 還提供了發(fā)送數(shù)據(jù)包的能力。 BPF 過濾機(jī)制簡(jiǎn)介 BPF(Berkeley Packet Filter)是由洛侖茲伯克利實(shí)驗(yàn)室的研究人員Stevern McCanne 和 VanJacobson 于 1993 年提出，背景是當(dāng)時(shí)在 UNIX 網(wǎng) 絡(luò)功能使用中出現(xiàn)了對(duì)網(wǎng)絡(luò)監(jiān)控工具的強(qiáng)烈需求，用來分析和排除網(wǎng)絡(luò)故障。而網(wǎng)絡(luò)監(jiān)控程序都運(yùn)行在用戶態(tài)空間，數(shù)據(jù)包必須從內(nèi)核中復(fù)制到用戶空間后再進(jìn)行處理，這種重復(fù)的復(fù)制工作對(duì)實(shí)質(zhì)的功能實(shí)現(xiàn)毫無意義。 BPF 在內(nèi)核態(tài)對(duì)數(shù)據(jù)包進(jìn)行預(yù)處理，因而大大提高了運(yùn)行性能。 當(dāng)一個(gè)數(shù)據(jù)包到達(dá)網(wǎng)絡(luò)接口設(shè)備時(shí)，鏈路層設(shè)備驅(qū)動(dòng)器通常把它傳送給系統(tǒng)協(xié)議棧進(jìn)行處理。但是，當(dāng) BPF 也在該網(wǎng)絡(luò)接口上截獲時(shí)，驅(qū)動(dòng)器將會(huì)首先調(diào)用BPF。 BPF 負(fù)責(zé)將數(shù)據(jù)包傳遞給每個(gè)監(jiān)控進(jìn)程的過濾器。這些用戶自定義的過濾器將決定一個(gè)數(shù)據(jù)包是否被接受以及數(shù)據(jù)包中的那些內(nèi) 容應(yīng)該被保存下來。對(duì)于每一個(gè)用于接受數(shù)據(jù)包的過濾器， BPF 將所需的數(shù)據(jù)復(fù)制到與之相連的緩存中，然后設(shè)備驅(qū)動(dòng)程序重新獲得控制權(quán)。 網(wǎng)絡(luò)數(shù)據(jù)包捕獲機(jī)制 網(wǎng)絡(luò)數(shù)據(jù)包捕獲機(jī)制是網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的基礎(chǔ)。一般指通過截獲整個(gè)網(wǎng)絡(luò)的所有信息流量，根據(jù)信息源主機(jī)、目標(biāo)主機(jī)、服務(wù)協(xié)議端口等信息簡(jiǎn)單過濾掉不關(guān)心的數(shù)據(jù)，再將用戶感興趣的數(shù)據(jù)發(fā)送給更上層的應(yīng)用程序進(jìn)行分析。其工作流程圖如 41 所示： 圖 41 數(shù)據(jù)包捕獲流程圖 網(wǎng)絡(luò)數(shù)據(jù)包捕獲可以通過兩種機(jī)制實(shí)現(xiàn)，一種是利用以太網(wǎng)的廣播特性，另一種方式是通過設(shè)置路由器的監(jiān)聽端口實(shí)現(xiàn)。兩種方式分別適用于不同的情況。本系統(tǒng)是利用以太網(wǎng)絡(luò)的廣播特性進(jìn)行捕獲數(shù)據(jù)包的。 數(shù)據(jù)包捕獲的具體實(shí)現(xiàn) 網(wǎng)卡有以下幾個(gè)工作模式；廣播模式 (broadcast module)、多播模式(multicast module)、直接模式 (direct module)和混雜模式 (promisc module)。網(wǎng)卡在設(shè)置為廣播模式時(shí)，它將會(huì)接受所有目的地址為廣播地址的數(shù)據(jù)包，一般所有的網(wǎng)卡都會(huì)設(shè)置為這 個(gè)模式；網(wǎng)卡在設(shè)置為多播模式時(shí)，當(dāng)數(shù)據(jù)包的目的地網(wǎng)絡(luò)信息 數(shù)據(jù)截獲 數(shù)據(jù)過濾 應(yīng)用程序（響應(yīng)模塊） 址為多播地址，而且網(wǎng)卡地址是屬于那個(gè)多播地址說代表的多播組時(shí)，網(wǎng)卡將接納此數(shù)據(jù)包；網(wǎng)卡在設(shè)置為直接模式時(shí)，只有當(dāng)數(shù)據(jù)包的目的地址為網(wǎng)卡自己的地址時(shí)，網(wǎng)卡才接受它；網(wǎng)卡在設(shè)置為混雜模式時(shí)，它將接受所有經(jīng)過的數(shù)據(jù)包。由于基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)的數(shù)據(jù)源是整個(gè)共享網(wǎng)段上的數(shù)據(jù)包，因此只要將該網(wǎng)段內(nèi)某一臺(tái)主機(jī)的網(wǎng)卡設(shè)置為混雜模式，就可以監(jiān)聽本網(wǎng)段內(nèi)所有的數(shù)據(jù)包進(jìn)行分析和判斷。具體的數(shù)據(jù)包捕獲流程圖如下： 圖 42 數(shù)據(jù)包捕獲流程圖 數(shù)據(jù)包捕獲核心代碼及主要函數(shù)說明如下： void DecodeProcess_callback(u_char *argument,const struct pcap_pkthdr *packet_header,const u_char *pkt)。 pcap_t * pcap_handle。 /*Libpcap 句柄 */ char error_content[PCAP_ERRBUF_SIZE]。 /*存儲(chǔ)錯(cuò)誤內(nèi)容 */ 查找有效的網(wǎng)絡(luò)設(shè)備（ eth） pcap_lookupdev() 獲得網(wǎng)絡(luò)地址及網(wǎng)絡(luò)掩碼（ IPamp。MASK）pcap_lookup() 打開網(wǎng)絡(luò)設(shè)備 pcap_open_live() 用戶編譯過濾規(guī)則 pcap_pile() 設(shè)置 過濾規(guī)則 pcap_setfilter() 循環(huán)捕獲網(wǎng)絡(luò)數(shù)據(jù)包 pcap_loop() 顯示分析捕獲的數(shù)據(jù) display() 緩沖滿？ 結(jié)束 開始 char *_interface。 /*網(wǎng)絡(luò)接口 */ struct bpf_program bpf_filter。 /*BPF 過濾規(guī)則 */ char bpf_filter_string[]=。 /*過濾規(guī)則字符串，此時(shí)為空，表示捕獲所有的網(wǎng)絡(luò)數(shù)據(jù)包，而不是捕獲特定的網(wǎng)絡(luò)數(shù)據(jù)包 */ unsigned int _mask。 /*網(wǎng)絡(luò)掩碼 */ unsigned int _ip。 /*網(wǎng)絡(luò)地址 */ _interface=pcap_lookupdev(error_content)。 /*獲得可用的網(wǎng)絡(luò)接口 */ pcap_lookup(_interface,amp。_ip,amp。_mask,error_content)。 /*獲得地址 */ pcap_handle=pcap_open_live(_interface,BUFSIZ,1,1,error_content)。 /*打開網(wǎng)絡(luò)接口 */ pcap_pile(pcap_handle,amp。bpf_filter,bpf_filter_string,0,_ip)。 /*編譯 BPF 過濾規(guī)則 */ pcap_setfilter(pcap_handle,amp。bpf_filter)。 /*設(shè)置過濾規(guī)則 */ if(pcap_datalink(pcap_handle)!=DLT_EN10MB) return。 /*由于在解碼的代碼中只有以太網(wǎng)，所以這里檢測(cè)鏈路是否為以太網(wǎng)，否，則退出 */ pcap_loop(pcap_handle,1,DecodeProcess_callback,NULL)。 /*注冊(cè)回調(diào)函數(shù)，循環(huán)捕獲網(wǎng)絡(luò)數(shù)據(jù)包，然后調(diào)用回調(diào)函數(shù)對(duì)捕獲的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行分析 */ pcap_close (pcap_handle)。 本段代碼的功能是循環(huán)捕獲以太網(wǎng)數(shù)據(jù)包，其中調(diào)用了網(wǎng)絡(luò)接口函數(shù)、規(guī)則函數(shù)和數(shù)據(jù)包捕獲函數(shù)。主要的函數(shù)功能說明如下： （ 1）選擇監(jiān)聽網(wǎng)絡(luò)接口 函數(shù)原型： Char * pcap_lookupdev (char*errbuf) 功能：用于尋找本機(jī)可用的網(wǎng)絡(luò)接口，調(diào)用成功就返回指向網(wǎng)絡(luò)接口的指針。其中 errbuf 為調(diào)用失敗時(shí)返回的錯(cuò)誤信息字符串。 （ 2）建立監(jiān)聽會(huì)話 函數(shù)原型： pcap_open_live (char*device,int snaplen,int promis,int to_ms,char*ebuf) 功能：用于獲取一個(gè)捕獲器描述符，調(diào)用成功就返回監(jiān)聽會(huì)話句柄。其中device 為指向網(wǎng)絡(luò)接口的指針， snaplen 定義了監(jiān)聽程序所所捕獲的最大字節(jié)數(shù)， promisc 定義了是否將網(wǎng)卡設(shè)置為混雜模式， to_ms 表示度操作等待的毫秒時(shí)間， ebuf 為函數(shù)調(diào)用失敗返回的錯(cuò)誤信息字符串。 （ 3）編譯過濾器 函數(shù)原型： int pcap_pile(pcap_t * p,struct bpf_progrm * fp,char*str,int optimize,bpf_u_int32 mask) 功能：將字符串形 式的過濾要求編譯成二進(jìn)制形式存儲(chǔ)在 bpf_program 結(jié)構(gòu)中。從而實(shí)現(xiàn)通過設(shè)置過濾器來捕獲感興趣的數(shù)據(jù)包。其中， p 為監(jiān)聽會(huì)話句柄指針， fp 為指向結(jié)構(gòu) bpf_program 的指針，用于存放編譯后的 BPF 程序， str為 tcpdump 表達(dá)式字符串指針， optimize 為優(yōu)化標(biāo)志， mask 為子網(wǎng)掩碼。 （ 4）設(shè)置過濾器： 函數(shù)原型： char * pcap_setfilter(pcap_t*p,struct bpf_program*fp) 功能：通過調(diào)用本函數(shù)，設(shè)置內(nèi)核過濾器使得編譯了的過濾生效。其中， p為指 向監(jiān)聽會(huì)話句柄的指針， fp 為指向結(jié)構(gòu) bpf_program 的指針，一般為函數(shù)pcap_ple 編譯后的結(jié)果，也可以用手工編 BPF 代碼。 （ 5）捕獲并處理數(shù)據(jù)包： 函數(shù)原型： int pcap_loop(pcap_t*,int t,pcap_handler callback,u_char*user) 功能：捕獲并處理數(shù)據(jù)包。其中 p 為指向監(jiān)聽會(huì)話句柄的指針， t 為指向函數(shù)返回前所處理數(shù)據(jù)包的最大值，值為負(fù)時(shí)表示處理緩沖區(qū)所有的數(shù)據(jù)包，為0 時(shí)處理所有的數(shù)據(jù)包，直到產(chǎn)生讀取到 EOF 錯(cuò)誤為止， callback 參數(shù)指定帶有3 個(gè)參數(shù)的回調(diào)函數(shù)， user 為用戶傳遞給回調(diào)函數(shù)的指針，通常設(shè)置為 NULL。 （ 6）用戶自定義的回調(diào)函數(shù) 函數(shù)原型： void callback(u_char* args,const struct pcap_pkthdr* header,chonst u_char* packet) 功能：在 pcao_loop 函數(shù)沒捕獲到一個(gè)數(shù)據(jù)包后被自動(dòng)調(diào)用，用于對(duì)捕獲到的數(shù)據(jù)包進(jìn)行用戶自定義的處理。其中， args 為從 pcap_loop 函數(shù)傳遞過來的u_char 指針， pheader 為指向 pcap_pkthdr 結(jié) 構(gòu)指針， packet 是指向所有捕獲的數(shù)據(jù)包的指針。 （ 7）關(guān)閉監(jiān)聽會(huì)話句柄 函數(shù)原型： void pcap_close(pcap_* p) 功能：關(guān)閉監(jiān)聽會(huì)話句柄，并釋放資源。 通過 Winpcap 函數(shù)庫，我們得到了網(wǎng)絡(luò)中傳輸?shù)脑季W(wǎng)絡(luò)數(shù)據(jù)包，為了從中 得到有用的數(shù)據(jù)信息，接下來就要對(duì)原始數(shù)據(jù)包進(jìn)行分析，也就是進(jìn)行網(wǎng)絡(luò)協(xié)議的解析工作。 網(wǎng)絡(luò)數(shù)據(jù)包分析模塊的實(shí)現(xiàn) 當(dāng)完成對(duì)數(shù)據(jù)包的捕獲之后 ,接下來要完成的是數(shù)據(jù)包的分析過程。對(duì)所有網(wǎng)絡(luò)數(shù)據(jù)包的分析，必須從鏈路層開始分析，然后分析網(wǎng)絡(luò)層，再分析傳輸層，最后分析 應(yīng)用層。這是由于捕獲到的數(shù)據(jù)包是