【文章內容簡介】 策略和恢復機制。 ? 與其他網絡安全部件的協(xié)作、與其他安全技術的結合 隨著黑客入侵手段的提高，尤其是分布式、協(xié)同式、 復雜模式攻擊的出現(xiàn)和發(fā)展，傳統(tǒng)的單一、缺乏協(xié)作的入侵檢測技術已經不能滿足需求，需要有充分的協(xié)作機制。 此外，單一的入侵檢測系統(tǒng)并非萬能，因此需要結合身份認證、訪問控制、數(shù)據(jù)加密、防火墻、安全掃描、 PKI 技術、病毒防護等眾多網絡安全技術，來提 供完整的網絡安全保障。 3 基于 Windows 入侵檢測系統(tǒng)的設計 本系統(tǒng)的全稱為《基于 Windows 入侵檢測系統(tǒng)的設計與實現(xiàn)》，系統(tǒng)的開發(fā)環(huán)境為 Windows 操作系統(tǒng)。本系統(tǒng)實際上是一個小型的基于 Windows 的網絡入侵檢測系統(tǒng)，雖然只需要安裝在整個共享網段的 某臺機器上，但能夠對整個網段提供入侵檢測的保護。 整個系統(tǒng)分主要分為兩個模塊，即檢測模塊和響應模塊。檢測模塊主要是通過監(jiān)聽共享網段，捕獲該網段上的數(shù)據(jù)包并對其進行分析，從而剝離出一些與入侵特征相關的標志。響應模塊則負責將檢測模塊剝離出的標志與現(xiàn)有的入侵特征進行模式匹配，從而偵測出存在于網絡中的入侵活動，并且利用一些響應手段向網絡管理員發(fā)出告警信息并采取相應的行動。除了這兩大模塊以外，本系統(tǒng)還有一個中央控制臺模塊，該模塊主要是給系統(tǒng)的使用者提供方便的操作界面，以及顯示系統(tǒng)輸出的各項數(shù)據(jù)。 本論文將重點討論檢測 模塊的設計與實現(xiàn)。 系統(tǒng)總體結構如圖 31 所示： 圖 31 系統(tǒng)總體結構圖 基于 Windows入侵檢測系統(tǒng) 檢測模塊 響應模塊 數(shù)據(jù)捕獲 數(shù)據(jù)分析 規(guī)則庫 規(guī)則匹配引擎 響應單元 日志庫 本系統(tǒng)所采用的開發(fā)語言是 C/C++，下表 31為系統(tǒng)開發(fā)所用到的相關部件： 表 31 系統(tǒng)開發(fā)軟體環(huán)境 部件名稱 軟體 系統(tǒng)平臺 Microsoft Windows 開發(fā)工具 VC++ 編譯環(huán)境 VC++ 運行環(huán)境 Microsoft Windows 數(shù)據(jù)庫 MYSQL 開發(fā)包 winpcap、 libnids 4. 檢測模塊的設計與實現(xiàn) 檢測模塊是任何一個網絡入侵檢測系統(tǒng)都必須具備的模塊之一，它主要實現(xiàn)了數(shù)據(jù)提取的功能，和對提取到的數(shù)據(jù)進行簡單的分析，從而提取一些與入侵特征相關的標志。簡單的說，可以將其分為兩個部分，即數(shù)據(jù)包的捕獲和數(shù)據(jù)包的分析。由于本系統(tǒng)是基于 Windows操作系統(tǒng)的，所以數(shù)據(jù)包捕獲功能是在 Winpcap軟件開發(fā)包的基礎上實現(xiàn)的。 Winpcap 軟件開發(fā)包簡介 Winpcap(windows packet capture)是 windows 平臺下一個 網絡數(shù)據(jù)包捕獲開 發(fā)包，是為 Libpcap 在 Windows 平臺下實現(xiàn)數(shù)據(jù)包的捕獲而設計的。在設計Winpcap 時參照了 Libpcap，使用方法與 Libpcap 相似。它的使用非常廣泛，幾乎所有在 Windows平臺下要使用數(shù)據(jù)包捕獲功能的軟件都可以使用 Winpcap開發(fā)包。 開發(fā) winpcap這個項目的目的在于為 win32應用程序提供訪問網絡底層的能力 ，其核心功能是捕獲網絡數(shù)據(jù)包，其他功能包括數(shù)據(jù)包過濾、數(shù)據(jù)包發(fā)送、流量統(tǒng)計和數(shù)據(jù)包存儲等。 使用 Winpcap 有很多好處，主要體現(xiàn)在以下幾個方面。 1． Winpcap 給程序員提供了 一套標準的網絡數(shù)據(jù)包捕獲的編程接口，并且與 Libpcap 兼容，使得原來許多 Linux 平臺下的網絡安全程序可很快地移植到Windows 平臺下。 2．使用 Winpcap 可以提供很高的應用效率。它充分考慮了各種性能和效率的優(yōu)化，在內核層實現(xiàn)了數(shù)據(jù)包的捕獲和過濾。 3． Winpcap 還提供了發(fā)送數(shù)據(jù)包的能力。 BPF 過濾機制簡介 BPF(Berkeley Packet Filter)是由洛侖茲伯克利實驗室的研究人員Stevern McCanne 和 VanJacobson 于 1993 年提出，背景是當時在 UNIX 網 絡功能使用中出現(xiàn)了對網絡監(jiān)控工具的強烈需求，用來分析和排除網絡故障。而網絡監(jiān)控程序都運行在用戶態(tài)空間，數(shù)據(jù)包必須從內核中復制到用戶空間后再進行處理，這種重復的復制工作對實質的功能實現(xiàn)毫無意義。 BPF 在內核態(tài)對數(shù)據(jù)包進行預處理，因而大大提高了運行性能。 當一個數(shù)據(jù)包到達網絡接口設備時，鏈路層設備驅動器通常把它傳送給系統(tǒng)協(xié)議棧進行處理。但是，當 BPF 也在該網絡接口上截獲時，驅動器將會首先調用BPF。 BPF 負責將數(shù)據(jù)包傳遞給每個監(jiān)控進程的過濾器。這些用戶自定義的過濾器將決定一個數(shù)據(jù)包是否被接受以及數(shù)據(jù)包中的那些內 容應該被保存下來。對于每一個用于接受數(shù)據(jù)包的過濾器， BPF 將所需的數(shù)據(jù)復制到與之相連的緩存中，然后設備驅動程序重新獲得控制權。 網絡數(shù)據(jù)包捕獲機制 網絡數(shù)據(jù)包捕獲機制是網絡入侵檢測系統(tǒng)的基礎。一般指通過截獲整個網絡的所有信息流量，根據(jù)信息源主機、目標主機、服務協(xié)議端口等信息簡單過濾掉不關心的數(shù)據(jù)，再將用戶感興趣的數(shù)據(jù)發(fā)送給更上層的應用程序進行分析。其工作流程圖如 41 所示： 圖 41 數(shù)據(jù)包捕獲流程圖 網絡數(shù)據(jù)包捕獲可以通過兩種機制實現(xiàn)，一種是利用以太網的廣播特性，另一種方式是通過設置路由器的監(jiān)聽端口實現(xiàn)。兩種方式分別適用于不同的情況。本系統(tǒng)是利用以太網絡的廣播特性進行捕獲數(shù)據(jù)包的。 數(shù)據(jù)包捕獲的具體實現(xiàn) 網卡有以下幾個工作模式；廣播模式 (broadcast module)、多播模式(multicast module)、直接模式 (direct module)和混雜模式 (promisc module)。網卡在設置為廣播模式時，它將會接受所有目的地址為廣播地址的數(shù)據(jù)包，一般所有的網卡都會設置為這 個模式；網卡在設置為多播模式時，當數(shù)據(jù)包的目的地網絡信息 數(shù)據(jù)截獲 數(shù)據(jù)過濾 應用程序（響應模塊） 址為多播地址，而且網卡地址是屬于那個多播地址說代表的多播組時，網卡將接納此數(shù)據(jù)包；網卡在設置為直接模式時，只有當數(shù)據(jù)包的目的地址為網卡自己的地址時，網卡才接受它；網卡在設置為混雜模式時，它將接受所有經過的數(shù)據(jù)包。由于基于網絡的入侵檢測系統(tǒng)的數(shù)據(jù)源是整個共享網段上的數(shù)據(jù)包，因此只要將該網段內某一臺主機的網卡設置為混雜模式，就可以監(jiān)聽本網段內所有的數(shù)據(jù)包進行分析和判斷。具體的數(shù)據(jù)包捕獲流程圖如下： 圖 42 數(shù)據(jù)包捕獲流程圖 數(shù)據(jù)包捕獲核心代碼及主要函數(shù)說明如下： void DecodeProcess_callback(u_char *argument,const struct pcap_pkthdr *packet_header,const u_char *pkt)。 pcap_t * pcap_handle。 /*Libpcap 句柄 */ char error_content[PCAP_ERRBUF_SIZE]。 /*存儲錯誤內容 */ 查找有效的網絡設備（ eth） pcap_lookupdev() 獲得網絡地址及網絡掩碼（ IPamp。MASK）pcap_lookup() 打開網絡設備 pcap_open_live() 用戶編譯過濾規(guī)則 pcap_pile() 設置 過濾規(guī)則 pcap_setfilter() 循環(huán)捕獲網絡數(shù)據(jù)包 pcap_loop() 顯示分析捕獲的數(shù)據(jù) display() 緩沖滿？ 結束 開始 char *_interface。 /*網絡接口 */ struct bpf_program bpf_filter。 /*BPF 過濾規(guī)則 */ char bpf_filter_string[]=。 /*過濾規(guī)則字符串，此時為空，表示捕獲所有的網絡數(shù)據(jù)包，而不是捕獲特定的網絡數(shù)據(jù)包 */ unsigned int _mask。 /*網絡掩碼 */ unsigned int _ip。 /*網絡地址 */ _interface=pcap_lookupdev(error_content)。 /*獲得可用的網絡接口 */ pcap_lookup(_interface,amp。_ip,amp。_mask,error_content)。 /*獲得地址 */ pcap_handle=pcap_open_live(_interface,BUFSIZ,1,1,error_content)。 /*打開網絡接口 */ pcap_pile(pcap_handle,amp。bpf_filter,bpf_filter_string,0,_ip)。 /*編譯 BPF 過濾規(guī)則 */ pcap_setfilter(pcap_handle,amp。bpf_filter)。 /*設置過濾規(guī)則 */ if(pcap_datalink(pcap_handle)!=DLT_EN10MB) return。 /*由于在解碼的代碼中只有以太網，所以這里檢測鏈路是否為以太網，否，則退出 */ pcap_loop(pcap_handle,1,DecodeProcess_callback,NULL)。 /*注冊回調函數(shù)，循環(huán)捕獲網絡數(shù)據(jù)包，然后調用回調函數(shù)對捕獲的網絡數(shù)據(jù)包進行分析 */ pcap_close (pcap_handle)。 本段代碼的功能是循環(huán)捕獲以太網數(shù)據(jù)包，其中調用了網絡接口函數(shù)、規(guī)則函數(shù)和數(shù)據(jù)包捕獲函數(shù)。主要的函數(shù)功能說明如下： （ 1）選擇監(jiān)聽網絡接口 函數(shù)原型： Char * pcap_lookupdev (char*errbuf) 功能：用于尋找本機可用的網絡接口，調用成功就返回指向網絡接口的指針。其中 errbuf 為調用失敗時返回的錯誤信息字符串。 （ 2）建立監(jiān)聽會話 函數(shù)原型： pcap_open_live (char*device,int snaplen,int promis,int to_ms,char*ebuf) 功能：用于獲取一個捕獲器描述符，調用成功就返回監(jiān)聽會話句柄。其中device 為指向網絡接口的指針， snaplen 定義了監(jiān)聽程序所所捕獲的最大字節(jié)數(shù)， promisc 定義了是否將網卡設置為混雜模式， to_ms 表示度操作等待的毫秒時間， ebuf 為函數(shù)調用失敗返回的錯誤信息字符串。 （ 3）編譯過濾器 函數(shù)原型： int pcap_pile(pcap_t * p,struct bpf_progrm * fp,char*str,int optimize,bpf_u_int32 mask) 功能：將字符串形 式的過濾要求編譯成二進制形式存儲在 bpf_program 結構中。從而實現(xiàn)通過設置過濾器來捕獲感興趣的數(shù)據(jù)包。其中， p 為監(jiān)聽會話句柄指針， fp 為指向結構 bpf_program 的指針，用于存放編譯后的 BPF 程序， str為 tcpdump 表達式字符串指針， optimize 為優(yōu)化標志， mask 為子網掩碼。 （ 4）設置過濾器： 函數(shù)原型： char * pcap_setfilter(pcap_t*p,struct bpf_program*fp) 功能：通過調用本函數(shù)，設置內核過濾器使得編譯了的過濾生效。其中， p為指 向監(jiān)聽會話句柄的指針， fp 為指向結構 bpf_program 的指針，一般為函數(shù)pcap_ple 編譯后的結果，也可以用手工編 BPF 代碼。 （ 5）捕獲并處理數(shù)據(jù)包： 函數(shù)原型： int pcap_loop(pcap_t*,int t,pcap_handler callback,u_char*user) 功能：捕獲并處理數(shù)據(jù)包。其中 p 為指向監(jiān)聽會話句柄的指針， t 為指向函數(shù)返回前所處理數(shù)據(jù)包的最大值，值為負時表示處理緩沖區(qū)所有的數(shù)據(jù)包，為0 時處理所有的數(shù)據(jù)包，直到產生讀取到 EOF 錯誤為止， callback 參數(shù)指定帶有3 個參數(shù)的回調函數(shù)， user 為用戶傳遞給回調函數(shù)的指針，通常設置為 NULL。 （ 6）用戶自定義的回調函數(shù) 函數(shù)原型： void callback(u_char* args,const struct pcap_pkthdr* header,chonst u_char* packet) 功能：在 pcao_loop 函數(shù)沒捕獲到一個數(shù)據(jù)包后被自動調用，用于對捕獲到的數(shù)據(jù)包進行用戶自定義的處理。其中， args 為從 pcap_loop 函數(shù)傳遞過來的u_char 指針， pheader 為指向 pcap_pkthdr 結 構指針， packet 是指向所有捕獲的數(shù)據(jù)包的指針。 （ 7）關閉監(jiān)聽會話句柄 函數(shù)原型： void pcap_close(pcap_* p) 功能：關閉監(jiān)聽會話句柄，并釋放資源。 通過 Winpcap 函數(shù)庫，我們得到了網絡中傳輸?shù)脑季W絡數(shù)據(jù)包，為了從中 得到有用的數(shù)據(jù)信息，接下來就要對原始數(shù)據(jù)包進行分析，也就是進行網絡協(xié)議的解析工作。 網絡數(shù)據(jù)包分析模塊的實現(xiàn) 當完成對數(shù)據(jù)包的捕獲之后 ,接下來要完成的是數(shù)據(jù)包的分析過程。對所有網絡數(shù)據(jù)包的分析，必須從鏈路層開始分析，然后分析網絡層，再分析傳輸層，最后分析 應用層。這是由于捕獲到的數(shù)據(jù)包是