【文章內(nèi)容簡介】 策略和恢復(fù)機(jī)制。 ? 與其他網(wǎng)絡(luò)安全部件的協(xié)作、與其他安全技術(shù)的結(jié)合 隨著黑客入侵手段的提高，尤其是分布式、協(xié)同式、 復(fù)雜模式攻擊的出現(xiàn)和發(fā)展，傳統(tǒng)的單一、缺乏協(xié)作的入侵檢測技術(shù)已經(jīng)不能滿足需求，需要有充分的協(xié)作機(jī)制。 此外，單一的入侵檢測系統(tǒng)并非萬能，因此需要結(jié)合身份認(rèn)證、訪問控制、數(shù)據(jù)加密、防火墻、安全掃描、 PKI 技術(shù)、病毒防護(hù)等眾多網(wǎng)絡(luò)安全技術(shù)，來提 供完整的網(wǎng)絡(luò)安全保障。 3 基于 Windows 入侵檢測系統(tǒng)的設(shè)計 本系統(tǒng)的全稱為《基于 Windows 入侵檢測系統(tǒng)的設(shè)計與實現(xiàn)》，系統(tǒng)的開發(fā)環(huán)境為 Windows 操作系統(tǒng)。本系統(tǒng)實際上是一個小型的基于 Windows 的網(wǎng)絡(luò)入侵檢測系統(tǒng)，雖然只需要安裝在整個共享網(wǎng)段的 某臺機(jī)器上，但能夠?qū)φ麄€網(wǎng)段提供入侵檢測的保護(hù)。 整個系統(tǒng)分主要分為兩個模塊，即檢測模塊和響應(yīng)模塊。檢測模塊主要是通過監(jiān)聽共享網(wǎng)段，捕獲該網(wǎng)段上的數(shù)據(jù)包并對其進(jìn)行分析，從而剝離出一些與入侵特征相關(guān)的標(biāo)志。響應(yīng)模塊則負(fù)責(zé)將檢測模塊剝離出的標(biāo)志與現(xiàn)有的入侵特征進(jìn)行模式匹配，從而偵測出存在于網(wǎng)絡(luò)中的入侵活動，并且利用一些響應(yīng)手段向網(wǎng)絡(luò)管理員發(fā)出告警信息并采取相應(yīng)的行動。除了這兩大模塊以外，本系統(tǒng)還有一個中央控制臺模塊，該模塊主要是給系統(tǒng)的使用者提供方便的操作界面，以及顯示系統(tǒng)輸出的各項數(shù)據(jù)。 本論文將重點討論檢測 模塊的設(shè)計與實現(xiàn)。 系統(tǒng)總體結(jié)構(gòu)如圖 31 所示： 圖 31 系統(tǒng)總體結(jié)構(gòu)圖 基于 Windows入侵檢測系統(tǒng) 檢測模塊 響應(yīng)模塊 數(shù)據(jù)捕獲 數(shù)據(jù)分析 規(guī)則庫 規(guī)則匹配引擎 響應(yīng)單元 日志庫 本系統(tǒng)所采用的開發(fā)語言是 C/C++，下表 31為系統(tǒng)開發(fā)所用到的相關(guān)部件： 表 31 系統(tǒng)開發(fā)軟體環(huán)境 部件名稱 軟體 系統(tǒng)平臺 Microsoft Windows 開發(fā)工具 VC++ 編譯環(huán)境 VC++ 運行環(huán)境 Microsoft Windows 數(shù)據(jù)庫 MYSQL 開發(fā)包 winpcap、 libnids 4. 檢測模塊的設(shè)計與實現(xiàn) 檢測模塊是任何一個網(wǎng)絡(luò)入侵檢測系統(tǒng)都必須具備的模塊之一，它主要實現(xiàn)了數(shù)據(jù)提取的功能，和對提取到的數(shù)據(jù)進(jìn)行簡單的分析，從而提取一些與入侵特征相關(guān)的標(biāo)志。簡單的說，可以將其分為兩個部分，即數(shù)據(jù)包的捕獲和數(shù)據(jù)包的分析。由于本系統(tǒng)是基于 Windows操作系統(tǒng)的，所以數(shù)據(jù)包捕獲功能是在 Winpcap軟件開發(fā)包的基礎(chǔ)上實現(xiàn)的。 Winpcap 軟件開發(fā)包簡介 Winpcap(windows packet capture)是 windows 平臺下一個 網(wǎng)絡(luò)數(shù)據(jù)包捕獲開 發(fā)包，是為 Libpcap 在 Windows 平臺下實現(xiàn)數(shù)據(jù)包的捕獲而設(shè)計的。在設(shè)計Winpcap 時參照了 Libpcap，使用方法與 Libpcap 相似。它的使用非常廣泛，幾乎所有在 Windows平臺下要使用數(shù)據(jù)包捕獲功能的軟件都可以使用 Winpcap開發(fā)包。 開發(fā) winpcap這個項目的目的在于為 win32應(yīng)用程序提供訪問網(wǎng)絡(luò)底層的能力 ，其核心功能是捕獲網(wǎng)絡(luò)數(shù)據(jù)包，其他功能包括數(shù)據(jù)包過濾、數(shù)據(jù)包發(fā)送、流量統(tǒng)計和數(shù)據(jù)包存儲等。 使用 Winpcap 有很多好處，主要體現(xiàn)在以下幾個方面。 1． Winpcap 給程序員提供了 一套標(biāo)準(zhǔn)的網(wǎng)絡(luò)數(shù)據(jù)包捕獲的編程接口，并且與 Libpcap 兼容，使得原來許多 Linux 平臺下的網(wǎng)絡(luò)安全程序可很快地移植到Windows 平臺下。 2．使用 Winpcap 可以提供很高的應(yīng)用效率。它充分考慮了各種性能和效率的優(yōu)化，在內(nèi)核層實現(xiàn)了數(shù)據(jù)包的捕獲和過濾。 3． Winpcap 還提供了發(fā)送數(shù)據(jù)包的能力。 BPF 過濾機(jī)制簡介 BPF(Berkeley Packet Filter)是由洛侖茲伯克利實驗室的研究人員Stevern McCanne 和 VanJacobson 于 1993 年提出，背景是當(dāng)時在 UNIX 網(wǎng) 絡(luò)功能使用中出現(xiàn)了對網(wǎng)絡(luò)監(jiān)控工具的強(qiáng)烈需求，用來分析和排除網(wǎng)絡(luò)故障。而網(wǎng)絡(luò)監(jiān)控程序都運行在用戶態(tài)空間，數(shù)據(jù)包必須從內(nèi)核中復(fù)制到用戶空間后再進(jìn)行處理，這種重復(fù)的復(fù)制工作對實質(zhì)的功能實現(xiàn)毫無意義。 BPF 在內(nèi)核態(tài)對數(shù)據(jù)包進(jìn)行預(yù)處理，因而大大提高了運行性能。 當(dāng)一個數(shù)據(jù)包到達(dá)網(wǎng)絡(luò)接口設(shè)備時，鏈路層設(shè)備驅(qū)動器通常把它傳送給系統(tǒng)協(xié)議棧進(jìn)行處理。但是，當(dāng) BPF 也在該網(wǎng)絡(luò)接口上截獲時，驅(qū)動器將會首先調(diào)用BPF。 BPF 負(fù)責(zé)將數(shù)據(jù)包傳遞給每個監(jiān)控進(jìn)程的過濾器。這些用戶自定義的過濾器將決定一個數(shù)據(jù)包是否被接受以及數(shù)據(jù)包中的那些內(nèi) 容應(yīng)該被保存下來。對于每一個用于接受數(shù)據(jù)包的過濾器， BPF 將所需的數(shù)據(jù)復(fù)制到與之相連的緩存中，然后設(shè)備驅(qū)動程序重新獲得控制權(quán)。 網(wǎng)絡(luò)數(shù)據(jù)包捕獲機(jī)制 網(wǎng)絡(luò)數(shù)據(jù)包捕獲機(jī)制是網(wǎng)絡(luò)入侵檢測系統(tǒng)的基礎(chǔ)。一般指通過截獲整個網(wǎng)絡(luò)的所有信息流量，根據(jù)信息源主機(jī)、目標(biāo)主機(jī)、服務(wù)協(xié)議端口等信息簡單過濾掉不關(guān)心的數(shù)據(jù)，再將用戶感興趣的數(shù)據(jù)發(fā)送給更上層的應(yīng)用程序進(jìn)行分析。其工作流程圖如 41 所示： 圖 41 數(shù)據(jù)包捕獲流程圖 網(wǎng)絡(luò)數(shù)據(jù)包捕獲可以通過兩種機(jī)制實現(xiàn)，一種是利用以太網(wǎng)的廣播特性，另一種方式是通過設(shè)置路由器的監(jiān)聽端口實現(xiàn)。兩種方式分別適用于不同的情況。本系統(tǒng)是利用以太網(wǎng)絡(luò)的廣播特性進(jìn)行捕獲數(shù)據(jù)包的。 數(shù)據(jù)包捕獲的具體實現(xiàn) 網(wǎng)卡有以下幾個工作模式；廣播模式 (broadcast module)、多播模式(multicast module)、直接模式 (direct module)和混雜模式 (promisc module)。網(wǎng)卡在設(shè)置為廣播模式時，它將會接受所有目的地址為廣播地址的數(shù)據(jù)包，一般所有的網(wǎng)卡都會設(shè)置為這 個模式；網(wǎng)卡在設(shè)置為多播模式時，當(dāng)數(shù)據(jù)包的目的地網(wǎng)絡(luò)信息 數(shù)據(jù)截獲 數(shù)據(jù)過濾 應(yīng)用程序（響應(yīng)模塊） 址為多播地址，而且網(wǎng)卡地址是屬于那個多播地址說代表的多播組時，網(wǎng)卡將接納此數(shù)據(jù)包；網(wǎng)卡在設(shè)置為直接模式時，只有當(dāng)數(shù)據(jù)包的目的地址為網(wǎng)卡自己的地址時，網(wǎng)卡才接受它；網(wǎng)卡在設(shè)置為混雜模式時，它將接受所有經(jīng)過的數(shù)據(jù)包。由于基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)的數(shù)據(jù)源是整個共享網(wǎng)段上的數(shù)據(jù)包，因此只要將該網(wǎng)段內(nèi)某一臺主機(jī)的網(wǎng)卡設(shè)置為混雜模式，就可以監(jiān)聽本網(wǎng)段內(nèi)所有的數(shù)據(jù)包進(jìn)行分析和判斷。具體的數(shù)據(jù)包捕獲流程圖如下： 圖 42 數(shù)據(jù)包捕獲流程圖 數(shù)據(jù)包捕獲核心代碼及主要函數(shù)說明如下： void DecodeProcess_callback(u_char *argument,const struct pcap_pkthdr *packet_header,const u_char *pkt)。 pcap_t * pcap_handle。 /*Libpcap 句柄 */ char error_content[PCAP_ERRBUF_SIZE]。 /*存儲錯誤內(nèi)容 */ 查找有效的網(wǎng)絡(luò)設(shè)備（ eth） pcap_lookupdev() 獲得網(wǎng)絡(luò)地址及網(wǎng)絡(luò)掩碼（ IPamp。MASK）pcap_lookup() 打開網(wǎng)絡(luò)設(shè)備 pcap_open_live() 用戶編譯過濾規(guī)則 pcap_pile() 設(shè)置 過濾規(guī)則 pcap_setfilter() 循環(huán)捕獲網(wǎng)絡(luò)數(shù)據(jù)包 pcap_loop() 顯示分析捕獲的數(shù)據(jù) display() 緩沖滿？ 結(jié)束 開始 char *_interface。 /*網(wǎng)絡(luò)接口 */ struct bpf_program bpf_filter。 /*BPF 過濾規(guī)則 */ char bpf_filter_string[]=。 /*過濾規(guī)則字符串，此時為空，表示捕獲所有的網(wǎng)絡(luò)數(shù)據(jù)包，而不是捕獲特定的網(wǎng)絡(luò)數(shù)據(jù)包 */ unsigned int _mask。 /*網(wǎng)絡(luò)掩碼 */ unsigned int _ip。 /*網(wǎng)絡(luò)地址 */ _interface=pcap_lookupdev(error_content)。 /*獲得可用的網(wǎng)絡(luò)接口 */ pcap_lookup(_interface,amp。_ip,amp。_mask,error_content)。 /*獲得地址 */ pcap_handle=pcap_open_live(_interface,BUFSIZ,1,1,error_content)。 /*打開網(wǎng)絡(luò)接口 */ pcap_pile(pcap_handle,amp。bpf_filter,bpf_filter_string,0,_ip)。 /*編譯 BPF 過濾規(guī)則 */ pcap_setfilter(pcap_handle,amp。bpf_filter)。 /*設(shè)置過濾規(guī)則 */ if(pcap_datalink(pcap_handle)!=DLT_EN10MB) return。 /*由于在解碼的代碼中只有以太網(wǎng)，所以這里檢測鏈路是否為以太網(wǎng)，否，則退出 */ pcap_loop(pcap_handle,1,DecodeProcess_callback,NULL)。 /*注冊回調(diào)函數(shù)，循環(huán)捕獲網(wǎng)絡(luò)數(shù)據(jù)包，然后調(diào)用回調(diào)函數(shù)對捕獲的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行分析 */ pcap_close (pcap_handle)。 本段代碼的功能是循環(huán)捕獲以太網(wǎng)數(shù)據(jù)包，其中調(diào)用了網(wǎng)絡(luò)接口函數(shù)、規(guī)則函數(shù)和數(shù)據(jù)包捕獲函數(shù)。主要的函數(shù)功能說明如下： （ 1）選擇監(jiān)聽網(wǎng)絡(luò)接口 函數(shù)原型： Char * pcap_lookupdev (char*errbuf) 功能：用于尋找本機(jī)可用的網(wǎng)絡(luò)接口，調(diào)用成功就返回指向網(wǎng)絡(luò)接口的指針。其中 errbuf 為調(diào)用失敗時返回的錯誤信息字符串。 （ 2）建立監(jiān)聽會話 函數(shù)原型： pcap_open_live (char*device,int snaplen,int promis,int to_ms,char*ebuf) 功能：用于獲取一個捕獲器描述符，調(diào)用成功就返回監(jiān)聽會話句柄。其中device 為指向網(wǎng)絡(luò)接口的指針， snaplen 定義了監(jiān)聽程序所所捕獲的最大字節(jié)數(shù)， promisc 定義了是否將網(wǎng)卡設(shè)置為混雜模式， to_ms 表示度操作等待的毫秒時間， ebuf 為函數(shù)調(diào)用失敗返回的錯誤信息字符串。 （ 3）編譯過濾器 函數(shù)原型： int pcap_pile(pcap_t * p,struct bpf_progrm * fp,char*str,int optimize,bpf_u_int32 mask) 功能：將字符串形 式的過濾要求編譯成二進(jìn)制形式存儲在 bpf_program 結(jié)構(gòu)中。從而實現(xiàn)通過設(shè)置過濾器來捕獲感興趣的數(shù)據(jù)包。其中， p 為監(jiān)聽會話句柄指針， fp 為指向結(jié)構(gòu) bpf_program 的指針，用于存放編譯后的 BPF 程序， str為 tcpdump 表達(dá)式字符串指針， optimize 為優(yōu)化標(biāo)志， mask 為子網(wǎng)掩碼。 （ 4）設(shè)置過濾器： 函數(shù)原型： char * pcap_setfilter(pcap_t*p,struct bpf_program*fp) 功能：通過調(diào)用本函數(shù)，設(shè)置內(nèi)核過濾器使得編譯了的過濾生效。其中， p為指 向監(jiān)聽會話句柄的指針， fp 為指向結(jié)構(gòu) bpf_program 的指針，一般為函數(shù)pcap_ple 編譯后的結(jié)果，也可以用手工編 BPF 代碼。 （ 5）捕獲并處理數(shù)據(jù)包： 函數(shù)原型： int pcap_loop(pcap_t*,int t,pcap_handler callback,u_char*user) 功能：捕獲并處理數(shù)據(jù)包。其中 p 為指向監(jiān)聽會話句柄的指針， t 為指向函數(shù)返回前所處理數(shù)據(jù)包的最大值，值為負(fù)時表示處理緩沖區(qū)所有的數(shù)據(jù)包，為0 時處理所有的數(shù)據(jù)包，直到產(chǎn)生讀取到 EOF 錯誤為止， callback 參數(shù)指定帶有3 個參數(shù)的回調(diào)函數(shù)， user 為用戶傳遞給回調(diào)函數(shù)的指針，通常設(shè)置為 NULL。 （ 6）用戶自定義的回調(diào)函數(shù) 函數(shù)原型： void callback(u_char* args,const struct pcap_pkthdr* header,chonst u_char* packet) 功能：在 pcao_loop 函數(shù)沒捕獲到一個數(shù)據(jù)包后被自動調(diào)用，用于對捕獲到的數(shù)據(jù)包進(jìn)行用戶自定義的處理。其中， args 為從 pcap_loop 函數(shù)傳遞過來的u_char 指針， pheader 為指向 pcap_pkthdr 結(jié) 構(gòu)指針， packet 是指向所有捕獲的數(shù)據(jù)包的指針。 （ 7）關(guān)閉監(jiān)聽會話句柄 函數(shù)原型： void pcap_close(pcap_* p) 功能：關(guān)閉監(jiān)聽會話句柄，并釋放資源。 通過 Winpcap 函數(shù)庫，我們得到了網(wǎng)絡(luò)中傳輸?shù)脑季W(wǎng)絡(luò)數(shù)據(jù)包，為了從中 得到有用的數(shù)據(jù)信息，接下來就要對原始數(shù)據(jù)包進(jìn)行分析，也就是進(jìn)行網(wǎng)絡(luò)協(xié)議的解析工作。 網(wǎng)絡(luò)數(shù)據(jù)包分析模塊的實現(xiàn) 當(dāng)完成對數(shù)據(jù)包的捕獲之后 ,接下來要完成的是數(shù)據(jù)包的分析過程。對所有網(wǎng)絡(luò)數(shù)據(jù)包的分析，必須從鏈路層開始分析，然后分析網(wǎng)絡(luò)層，再分析傳輸層，最后分析 應(yīng)用層。這是由于捕獲到的數(shù)據(jù)包是