【導(dǎo)讀】精品畢業(yè)論文、畢業(yè)設(shè)計，優(yōu)質(zhì)的論文服務(wù)：精品論文網(wǎng)。提供畢業(yè)設(shè)計（論文）和圖文教程、視頻教程等一攬子解決方案。防火墻與IDS聯(lián)動技術(shù)在校園網(wǎng)的應(yīng)用研究

　　

【正文】 數(shù)據(jù)集 ， 使得系統(tǒng)負(fù)荷顯著減輕 ， 并且技術(shù)上 已 經(jīng)非常成熟 。 采用模式匹配技術(shù)檢測已知網(wǎng)絡(luò)攻擊行為的準(zhǔn)確率和執(zhí)行效率非常高 ， 但其弱點(diǎn)在于需要不斷地升級規(guī)則庫 ， 以檢測不斷出現(xiàn)的新的網(wǎng)絡(luò)攻擊方法 。 在入侵檢測系統(tǒng)的規(guī)則匹配中 ， 絕大多數(shù)入侵行為規(guī)則都是以字符串存在 ， 所以采用高效 、 實(shí) 用的字符串匹配算法進(jìn)行規(guī)則匹配是非常重要的 。 精品畢業(yè)論文、畢業(yè)設(shè)計，優(yōu)質(zhì)的論文服務(wù)： 精品論文網(wǎng) 提供畢業(yè)設(shè)計（論文）和圖文教程、視頻教程等一攬子解決方案 17 近年來 ， 對模式匹配算法的研究成果非常豐碩 。 1970 年 ， Cook 從理論 上 證明了一維模式匹配問題可以在 O(m+n)時間內(nèi)解決 (m和 n分別為模式和正文的長度 )， 為模式匹配算法的發(fā)展奠定了堅實(shí)的理論基礎(chǔ) ； Knuth、 Pratt 和 Morris 仿照 Cook 的證明設(shè)計了 KMP 算法 ； Boyer 和 Moore 設(shè)計了 BM算法 ； Karp 和 Rabin構(gòu)造了 KR 算法和隨機(jī)算法 ； Vishkin 設(shè)計了決定性抽樣算法 。 上述五種算法均為精確模式匹配算法 ， 但也存在不足之處 ： KMP 算法通過調(diào)用遞歸函數(shù) 來降低時間復(fù)雜度 ， 其算法的時間復(fù)雜度為 O(m+n)， 但設(shè)計思想和預(yù)處理過程比較復(fù)雜 ， 并且難以理解 ； Vishkin 的決定性抽樣算法的時間復(fù)雜度為 O(m+nlo gn)； 黃占友的 KMP 改進(jìn)算法只適用于特殊字符串等等 ； 其它關(guān)于 BM 算法的討論還有很多 。 在實(shí)際使用中 ， 由于 BM 算法設(shè)計較為簡單 ， 所以應(yīng)用范圍最為廣泛 。 算法概述 符號說明 ? 模式 X=x0xlx2… .xm1，長度為 m； ? 文本 Y=y0yly2… yn1，長度為 n； ? 字符表為 ∑ ，大小為 б； 在對文本與模式進(jìn)行匹配的過程中，當(dāng) x0xlx2… xm1 與 yiyi+1yi+2… yi+m1 對齊時，稱為對位置 i的嘗試。 基本思路 在進(jìn)行模式匹配嘗試時， BM 算法采用從后向前匹配的方式，對模式的后綴進(jìn)行匹配，在完成一次嘗試后，利用兩個根據(jù)模式預(yù)處理好的移動表壞字符移動和好后綴移動來嘗試未知后移，具體分析如下： 對于在位置 i 的嘗試，若前 mj1 次匹配均已完成，且 yi+j+lyi+j+2… yi+ml 與xj+lxj+2… xm1 相同，但在第 mj次比較時，模式中的字符 xj=b 與文本中的字符 yi+j=a不同，則有 yi+j+1yi+j+2… yi+m1 = xj+lxj+2… xm1=u 及 yi+j≠ xj， BM 算法按照下列方式進(jìn)行移動。 (1) 壞字符移動 在 x0xlx2… xm2 中從后往前查找字符 yi+j 的第一個出現(xiàn)，如圖 42 所示： 精品畢業(yè)論文、畢業(yè)設(shè)計，優(yōu)質(zhì)的論文服務(wù)： 精品論文網(wǎng) 提供畢業(yè)設(shè)計（論文）和圖文教程、視頻教程等一攬子解決方案 18 圖 42 壞字符移動， x 包含 a 若 x 中不存在 yi+j，則顯然 x 只可能在 yi+j+lyi+j+2… yn1 的區(qū)間中存在，如圖43 所示： 圖 43 壞字符移動， x 不包含 a (2)好后綴移動 在 x 中從后往前查找前導(dǎo)字符不是 b 的 u 串 ， 如圖 44 所示 ： 圖 44 好后綴移動 (x 里還含有 u，且該 u 前是一個不同于 b 的字符 ) 若不存在這樣的 u， 則 在 u 的后綴中查找與 x 的前綴相同的最長者 v， 如圖45 所示 ： 圖 45 好后綴移動 (好后綴移動， x 里只含有 u 的一個后綴 ) BM 算法使用上述壞字符移動與好后綴移動方法計算得到的移動值組成壞字符移動表和好后綴移動表 。 在算法運(yùn)行時 ， 通過查找這兩個表進(jìn)行比較 ， 按照移動距離的較大值向后移動嘗試位置 。 雖然該算法在大字母表情況下非常有效 ， 但由于沒有考慮己匹配的后綴與導(dǎo)致匹配失敗的當(dāng)前字符之間的相鄰關(guān)系 ， 使得算法總體上效率并不高 。 精品畢業(yè)論文、畢業(yè)設(shè)計，優(yōu)質(zhì)的論文服務(wù)： 精品論文網(wǎng) 提供畢業(yè)設(shè)計（論文）和圖文教程、視頻教程等一攬子解決方案 19 5 聯(lián)動 技術(shù)在校園網(wǎng)中的實(shí)現(xiàn) 防火墻在 IOS網(wǎng)絡(luò)模型中對 7層數(shù)據(jù)流量進(jìn)行處 理，不具備深入檢測的功能， IDS產(chǎn)品只能單純的檢測不具備防備功能。通過 IDS檢測并將檢測信息傳遞給防火墻，通過防火墻對攻擊的地址和端口進(jìn)行阻斷等措施，達(dá)到時時防御的目的。以 RGWALL與 RGIDS為例，聯(lián)動拓?fù)鋱D如圖 51所示： 圖 51 防火墻與 IDS聯(lián)動拓?fù)鋱D 網(wǎng)絡(luò)配置： 1) 交換機(jī)網(wǎng)口 1和網(wǎng)口 2的流量全部鏡像到網(wǎng)口 3； 2) 交換機(jī)網(wǎng)口 3進(jìn)入 IDS入侵檢測引擎抓包口； 3) RGWALL防火墻配置為透明模式。 防火墻配置 每一款防火墻的配置方法各不相同，下面 以 RGWALL60 為例。 配 置 之前 要導(dǎo) 入 數(shù) 字證 書。 證書 導(dǎo)入 完畢 后， 在地 址欄 中輸 入 轉(zhuǎn)到登錄界面。輸入默認(rèn)的用戶名和密碼。 配置防火墻的相關(guān)接口如圖 52 所示： 精品畢業(yè)論文、畢業(yè)設(shè)計，優(yōu)質(zhì)的論文服務(wù)： 精品論文網(wǎng) 提供畢業(yè)設(shè)計（論文）和圖文教程、視頻教程等一攬子解決方案 20 圖 52 防火墻的相關(guān)接口配置 1) Lan 是內(nèi)網(wǎng)網(wǎng)關(guān)接口； 2) Wan 和 wan1 是屬于不同的網(wǎng)絡(luò)運(yùn)營商（如教育網(wǎng)，電信等）功能相同。 2.、允許內(nèi)部上網(wǎng)，需要配置一個 NAT（地址轉(zhuǎn)換） (1)首先定義內(nèi)網(wǎng)對象如圖 53 所示： 圖 53 定義內(nèi)網(wǎng)對象 (2)設(shè)置防火墻策略如圖 54 所示： 精品畢業(yè)論文、畢業(yè)設(shè)計，優(yōu)質(zhì)的論文服務(wù)： 精品論文網(wǎng) 提供畢業(yè)設(shè)計（論文）和圖文教程、視頻教程等一攬子解決方案 21 圖 54 配置防火墻策略 這樣內(nèi)網(wǎng)就可以訪問 Inter 了。 聯(lián)動實(shí)驗(yàn) 入侵檢測系統(tǒng)在捕捉到某一攻擊事件后，按策略進(jìn)行檢查，如果策略中對該攻擊事件設(shè)置了防火墻阻斷，那么入侵檢測系統(tǒng)就會發(fā)給防火墻一個相應(yīng)的動態(tài)阻斷策略，防火墻根據(jù)該動態(tài)策略中的設(shè)置進(jìn)行了相應(yīng)的阻斷，阻斷的時間、阻斷時間間隔、源端口、目的端口、源 IP和目的 IP等信息，完全依照入侵檢測系統(tǒng)發(fā)出的動態(tài)策略來執(zhí)行。 以 ping of death簽名為攻擊事件，在沒有配置為聯(lián)動的響應(yīng)方式之前，攻擊機(jī)能 夠向被攻擊機(jī)發(fā)送超大字節(jié)的 ICMP報文，并被 IDS檢測到。實(shí)施 RGIDS與RGWALL聯(lián)動后， IDS首先檢測到 ping of death，并將事件的信息包括源、目的地址等通過 SSH通知防火墻，防火墻根據(jù) IDS發(fā)送的攻擊事件信息自動生成響應(yīng)規(guī)則，阻斷攻擊源和目的之間通信。步驟如下： 1) 配置策略： 選擇“ ping of death”簽名事件，并將策略并下發(fā)到引擎，如圖 55所示： 精品畢業(yè)論文、畢業(yè)設(shè)計，優(yōu)質(zhì)的論文服務(wù)： 精品論文網(wǎng) 提供畢業(yè)設(shè)計（論文）和圖文教程、視頻教程等一攬子解決方案 22 圖 55 RGIDS策略 編輯 2) 第二步 超大字節(jié) ICMP報文攻擊測試： ? 攻擊機(jī) ICMP報文，報文發(fā)送成功，如圖 56所示： 圖 56 ICMP報文發(fā)送成功顯示 ? 通過 RGIDS控制臺“安全事件”組件，查看 IDS檢測的安全事件信息，“ ping of death”事件上報數(shù)量大概為 200多條，如圖 57所示： 精品畢業(yè)論文、畢業(yè)設(shè)計，優(yōu)質(zhì)的論文服務(wù)： 精品論文網(wǎng) 提供畢業(yè)設(shè)計（論文）和圖文教程、視頻教程等一攬子解決方案 23 圖 57 RGIDS事件顯示 3) RGIDS聯(lián)動文件修改 將 原有文件，如圖 58所示： 圖 58 文件拷貝路徑 4) 配置相應(yīng)參數(shù) ： 在 RGIDS控制臺 “策略 ”配置界面，選擇 “響應(yīng)參數(shù)配置 —glohal settings”，在用戶指定響應(yīng)程序名稱欄中添入 “ruijie”，如圖 59所示 ： 精品畢業(yè)論文、畢業(yè)設(shè)計，優(yōu)質(zhì)的論文服務(wù)： 精品論文網(wǎng) 提供畢業(yè)設(shè)計（論文）和圖文教程、視頻教程等一攬子解決方案 24 圖 59響應(yīng)參數(shù)配置 5) 配置聯(lián)動簽名的響應(yīng)方式： ? 進(jìn)入策略配置界面，選擇需要聯(lián)動的簽名“ pingofdeath”，并在右側(cè)響應(yīng)方式中選擇“ DISPLAY”、“ LOGDB”、“ USER”三種響應(yīng)方式，如圖 510所示： 圖 510 響應(yīng)方式配置 ? 為攻擊簽名選擇響應(yīng)方式 ? 點(diǎn)擊“保存策略”按鈕，保存修改 ? 通過重啟 RGIDS應(yīng)用服務(wù)器管理器重啟“事件收集服務(wù)、安全事件響應(yīng)服務(wù) 、 IDS數(shù)據(jù)管理服務(wù)”，如圖 511所示： 精品畢業(yè)論文、畢業(yè)設(shè)計，優(yōu)質(zhì)的論文服務(wù)： 精品論文網(wǎng) 提供畢業(yè)設(shè)計（論文）和圖文教程、視頻教程等一攬子解決方案 25 圖 511 重啟服務(wù) 6) 建立防火墻 SSH連接 ： ? 在 IDS控制臺 PC上，使用 securecrt工具，建立名為 ruijie的 SSH連接，通過該連接可以 SSH登陸到 RGWALL防火墻，如圖 512所示： 圖 512 securecet連接配置 ? 通過 “ ruijie” SSH連接登陸防火墻一次，登錄過程中要選擇保存證書、用戶名和密碼等信息，登陸成功后退出 securecrt程序 7) 發(fā)送 ICMP攻擊報文： 攻擊機(jī) ICMP報文失敗，如圖 513所示 ： 精品畢業(yè)論文、畢業(yè)設(shè)計，優(yōu)質(zhì)的論文服務(wù)： 精品論文網(wǎng) 提供畢業(yè)設(shè)計（論文）和圖文教程、視頻教程等一攬子解決方案 26 圖 513 ICMP報文發(fā)送失敗 8) 查看防火墻狀態(tài) ： 查看防火墻規(guī)則表，防火墻寫入規(guī)則阻斷了攻擊機(jī) 標(biāo)機(jī) ，如圖 514所示： 圖 514 防火墻阻斷規(guī)則表 驗(yàn)證實(shí)驗(yàn) 用攻擊機(jī) tel連接被攻擊機(jī) ，返回信息連接失敗，如圖 515所示： 精品畢業(yè)論文、畢業(yè)設(shè)計，優(yōu)質(zhì)的論文服務(wù)： 精品論文網(wǎng) 提供畢業(yè)設(shè)計（論文）和圖文教程、視頻教程等一攬子解決方案 27 圖 515 tel連接失敗 證明攻擊機(jī) ， RGIDS與RGWALL防火墻聯(lián)動成功 。 注意事項 ? 交換機(jī)端口 1和端口 2的流量鏡像到端口 3，端口 3接 RGIDS抓包口； ? 在實(shí)施聯(lián)動之前，必須通過 SSH先連接防火墻，并保存證書、賬戶和密碼； ? 在實(shí)驗(yàn)過程中，請注意及時清理安全事件列表中的事件信息； ? 防火墻不具備動態(tài)規(guī)則功能，因此當(dāng)事件量比較大的時候會產(chǎn)生非常多的訪問規(guī)則，這些規(guī)則只能手工刪除，過多的規(guī)則會嚴(yán)重影響防火墻的性能。 6 結(jié)束語 主要工作總結(jié) 防火墻作為一種基于訪問控制的網(wǎng)絡(luò)安全技術(shù)，是防范攻擊行為的一道重要的屏障。但是重要并不意味著完善 ,隨著網(wǎng) 絡(luò)技術(shù)的發(fā)展，黑客們的攻擊方式也在進(jìn)步，因而，單純依賴防火墻進(jìn)行防御的思想，己經(jīng)不能滿足人們對安全的需求。而此時，作為網(wǎng)絡(luò)防御的第二道防線，入侵檢測技術(shù)從初出茅廬到大顯身手，也已經(jīng)讓人們無法忽視它的存在，但是自身防御能力弱的缺點(diǎn)卻始終無法很好的解決。本文從二者的優(yōu)缺點(diǎn)入手，討論了將它們作為一個有機(jī)整體發(fā)揮作用的必要性和可行性，并且討論了一些具體的實(shí)施辦法。協(xié)同聯(lián)動思想的提出，是從單獨(dú)防御到整體防御的一次進(jìn)步，能夠很好的結(jié)合這兩種安全技術(shù)優(yōu)點(diǎn)，彌補(bǔ)它們精品畢業(yè)論文、畢業(yè)設(shè)計，優(yōu)質(zhì)的論文服務(wù)： 精品論文網(wǎng) 提供畢業(yè)設(shè)計（論文）和圖文教程、視頻教程等一攬子解決方案 28 的不足。本文主要對以下幾個方面進(jìn)行了研究： 1) 研究了校園網(wǎng)面 臨的威脅。 2) 研究了網(wǎng)絡(luò)攻擊的幾種類型 ，以及防火墻與 IDS 的類型和不足 。 3) 研究了防火墻與 IDS 聯(lián)動的理論機(jī)制及模式算法中的 BM 算法。 4) 研究了 RGWALL 的配置方法，以及與 RGIDS 聯(lián)動的具體方法 。 有待進(jìn)一步研究的問題 在未來的網(wǎng)絡(luò)安全技術(shù)領(lǐng)域中，將動態(tài)技術(shù)與靜態(tài)技術(shù)的互動使用，將有很大的發(fā)展市場和空間。文中對防火墻與入侵檢測系統(tǒng)之間的協(xié)同聯(lián)動保護(hù)網(wǎng)絡(luò)系統(tǒng)安全機(jī)制及其設(shè)計進(jìn)行分析研究，為更好的滿足網(wǎng)絡(luò)安全保護(hù)要求，還需要對以下問題作進(jìn)一步的研究和探討。 到的關(guān)鍵技術(shù)和實(shí)現(xiàn)途徑進(jìn)行研究，但在工程技術(shù)的實(shí)現(xiàn)上明顯存在不足，需進(jìn)一步開展有關(guān)防火墻與入侵檢測系統(tǒng)協(xié)同聯(lián)動的安全產(chǎn)品的研究，從工程實(shí)際背景中驗(yàn)證所提出技術(shù)和算法的可行性與有效性，同時提升網(wǎng)絡(luò)系統(tǒng)的安全防護(hù)。 ，整個系統(tǒng)的性能從某種程度上來講依賴于算法的優(yōu)劣。文中所提出或改進(jìn)的算法在一定程度可以解決某一方面的問題，但要想取得更滿意效果，算法還需根據(jù)具體應(yīng)用環(huán)境作出進(jìn)一步完善。 ，防火墻與入侵檢測系統(tǒng)之間的交互更加智能。另外，入侵檢測系統(tǒng)的 特征庫也要能夠根據(jù)攻擊的變化自適應(yīng)、自更新，使其與防火墻的結(jié)合更加完美，力爭創(chuàng)造一個智能化的安全防護(hù)保護(hù)系統(tǒng)。