【導(dǎo)讀】機(jī)上實(shí)施，日志必統(tǒng)一收集、集中管理。及研究領(lǐng)較有代表性的幾種模型進(jìn)行了比較總結(jié)。的略管理進(jìn)行了探討，并對(duì)策略執(zhí)行器的功能、特點(diǎn)和相關(guān)技術(shù)做了系統(tǒng)的分析。統(tǒng)中包過(guò)濾模塊的軟件實(shí)現(xiàn)。最后，總結(jié)了全文并提出了一些值得研究的問(wèn)題。

　　

【正文】 也有多種機(jī)制，第一種方式 是服務(wù)器“定期采集式”。在該方式中，服務(wù)器定期掃描網(wǎng)絡(luò)，將各臺(tái)主機(jī)中的日志采 集回來(lái)。第二種方式是主機(jī)“定期傳送式”。在該方式中，主機(jī)定期將自己的日志信息 傳送給策略服務(wù)器。第三種方式是“定量傳送式” ，即當(dāng)主機(jī)中的日志信息量達(dá)到一定 程度時(shí)，日志即被傳送到策略服務(wù)器 . (3) 加密認(rèn)證機(jī)制 任何分布式系統(tǒng)自身都面臨安全問(wèn)題，分布式防火墻也不例外。分布式防火墻自身 的安全至關(guān)重要，而傳統(tǒng)的認(rèn)證方式是客戶(hù)機(jī)向服務(wù)器提供用戶(hù)名、密碼并用明文傳送， 即使用一般的方法加密，也容易被竊聽(tīng)和破譯。還有一種是主機(jī)認(rèn)證方式，根據(jù)主機(jī) IP 地址進(jìn)行認(rèn)證，這樣容易受到 IP 地址欺騙攻擊。在分布式防火墻中主機(jī)與策略服務(wù)器間 的通信可以采用強(qiáng)認(rèn)證方法，將認(rèn)證協(xié)議如 Kerberos、 、 IPSec 等運(yùn)用到本系統(tǒng) . 14 3 分布式防火墻的總體設(shè)計(jì) 前面己經(jīng)詳細(xì)介紹了傳統(tǒng)邊界防火墻以及分布式防火墻的實(shí)現(xiàn)技術(shù)，接下來(lái)我們開(kāi)始利用這些技術(shù)設(shè)計(jì)并實(shí)現(xiàn)一個(gè)分布式防火墻系統(tǒng)。本章介紹分布式防火墻的總體設(shè)計(jì)方案，下一章介紹方案的實(shí)施。 概述 在前面我們?nèi)娼榻B了傳統(tǒng)防火墻和分布式防火墻的相關(guān)技術(shù)和理論模型，但是在實(shí)際應(yīng)用中我們很難將以上所有的技術(shù)應(yīng)用到一個(gè)防火墻系統(tǒng)中，前面提到的是理論設(shè)計(jì)模型，到目前為止還沒(méi)有針對(duì)具體 模型的產(chǎn)品實(shí)現(xiàn)，一方面實(shí)現(xiàn)起來(lái)有一定難度，另一方面上述模型都具有一定的前瞻性，不符合目前我們網(wǎng)絡(luò)的現(xiàn)實(shí)狀況。目前我國(guó)網(wǎng)絡(luò)的狀況大致是 : (1) 在我國(guó)中小型企業(yè)中，一般都是使用一個(gè)網(wǎng)關(guān)來(lái)代理整個(gè)公司的主機(jī)上網(wǎng)。只有少數(shù)員家中的主機(jī)或筆記本電腦有權(quán)與公司服務(wù)器通訊。 遠(yuǎn)程端點(diǎn)主機(jī) 少， 如果僅僅為了少數(shù)的遠(yuǎn)程端點(diǎn)主機(jī)而放棄依賴(lài)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，完全使用證書(shū)標(biāo)識(shí)主機(jī) ,顯然是一種資源和效率的浪費(fèi)。 (2) 雖然 Ipsce 是解決通訊安全問(wèn)題很好的解決方案，但如果所有的通訊都使用工 Psce 加 密的話(huà)，要求所有使用分布式防 火墻的主機(jī)和主機(jī)上的網(wǎng)絡(luò)應(yīng)用程序全部支持 Ipesc 協(xié)議。要達(dá)到這樣的要求需要給幾乎所有的端點(diǎn)主機(jī)的內(nèi)核 Ipesc 支持并 調(diào) 整 部分網(wǎng)絡(luò)應(yīng)用。如果網(wǎng)絡(luò)管理員對(duì)所有端點(diǎn)主機(jī)擁有絕對(duì)權(quán)限 可以進(jìn)行集中 配置 管理的話(huà)還不太難辦，但目前顯然還做不到這一點(diǎn)。 (3)使用統(tǒng)一策略語(yǔ)言的必要性和可行性都有待商榷。現(xiàn)在防火墻策略和網(wǎng)絡(luò)管理還沒(méi) 有真正融合在一起，而各個(gè)防火墻廠商也還沒(méi)有嘗試聯(lián)合起來(lái)使用統(tǒng)一 策略語(yǔ)言 。 統(tǒng) 一策略語(yǔ)言還是處于研究階段的課題，雖然賓夕法尼亞大學(xué)和 T 實(shí)驗(yàn) 合作 開(kāi) 發(fā) 的 Xeynote 系統(tǒng)的影響逐漸 擴(kuò)大，但應(yīng)用還不是很普遍。 設(shè)計(jì)目標(biāo)的需求和安全狀況 目前 ,在上述的小型網(wǎng)絡(luò)中，一般只在網(wǎng)關(guān)處安裝簡(jiǎn)單的主機(jī)防火墻或病毒檢測(cè)防 火墻，內(nèi)部主機(jī)上一般不安裝防火墻，有的主機(jī)使用者也自己安裝簡(jiǎn)單的主機(jī)防火墻或 病毒檢測(cè)防火墻。這種隨心所愿的安全措施顯然是不能滿(mǎn)足整個(gè)網(wǎng)絡(luò)的安全需要，并且 這些小型網(wǎng)絡(luò)對(duì)防火墻的基本需要包括 : (1)代理上網(wǎng) (NAT) (2)包過(guò)濾防火墻 (3)日志 (4)簡(jiǎn)單的入侵預(yù)防 (5)日志分析和入侵檢測(cè) 下面介紹這樣一個(gè)小型分布式防火墻的體系結(jié)構(gòu)和各部分的詳細(xì)設(shè)計(jì)思想。 15 系統(tǒng)體系結(jié)構(gòu) 根據(jù)小型 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)簡(jiǎn)單但存在遠(yuǎn)程端點(diǎn)主機(jī)的特點(diǎn)，我們決定采用 中討 論的混合分布式防火墻體系結(jié)構(gòu)。對(duì)于局域網(wǎng)內(nèi)部的主機(jī)來(lái)說(shuō)很像傳統(tǒng)的防火墻，但是 要由中心統(tǒng)一制定安全策略，然后分發(fā)到各內(nèi)部端點(diǎn)主機(jī)處執(zhí)行，使用 IP 地址來(lái)標(biāo)識(shí) 主機(jī)身份。對(duì)于遠(yuǎn)程端點(diǎn)主機(jī)，則首先使用證書(shū)確認(rèn)主機(jī)身份，然后使用主機(jī) IP 地址 和 MAC 地址共同標(biāo)識(shí)主機(jī)。 整個(gè)分布式防火墻系統(tǒng)由三個(gè)主要部分組成 :管理中心、策略執(zhí)行器和遠(yuǎn)程端點(diǎn)連 接器。管理中心負(fù)責(zé)管理網(wǎng)絡(luò)中的所有端點(diǎn)、制定和分發(fā)安全策略、從 主機(jī)上收取日志 文件并進(jìn)行分析、檢測(cè)入侵事件并采取一定的措施等。策略執(zhí)行器是安裝在各主機(jī)或網(wǎng) 關(guān)處，接收管理中心發(fā)布的安全策略并解釋、執(zhí)行該策略的程序。遠(yuǎn)程端點(diǎn)連接器是特 別為遠(yuǎn)程端點(diǎn)主機(jī)設(shè)計(jì)的用來(lái)向小型網(wǎng)絡(luò)上的其他主機(jī)，特別是內(nèi)部端點(diǎn)，證明自己的 身份，請(qǐng)求與內(nèi)部端點(diǎn)建立通信的程序。連接器使用證書(shū)證明遠(yuǎn)程端點(diǎn)的身份，而證書(shū) 是管理中心通過(guò)策略文件的形式發(fā)送給端點(diǎn)的，我們將遠(yuǎn)程端點(diǎn)連接器和策略執(zhí)行器集 成在一起。這樣做一方面便于遠(yuǎn)程端點(diǎn)與本地端點(diǎn)通信，另一方面可以對(duì)遠(yuǎn)程端點(diǎn)進(jìn)行 安全保護(hù)。整個(gè)系統(tǒng)的體系結(jié)構(gòu) 如圖 所示 :把該體系結(jié)構(gòu)應(yīng)用于現(xiàn)實(shí)的小型混合 網(wǎng)絡(luò)上應(yīng)該是這樣的 :管理中心可以安裝在局域網(wǎng)上的任意一臺(tái)主機(jī)上，當(dāng)然也可以是 網(wǎng)關(guān)或其他服務(wù)器，但為了保證其中信息的安全，最好不要安裝在網(wǎng)關(guān)主機(jī)上。本地端 點(diǎn) (包括網(wǎng)關(guān)主機(jī) )和遠(yuǎn)程端點(diǎn)都要安裝策略執(zhí)行器，該程序按照管理中心發(fā)布的安全策 略運(yùn)行，保護(hù)所有端點(diǎn)主機(jī)的安全。遠(yuǎn)程端點(diǎn)上必須安裝遠(yuǎn)程端點(diǎn)連接器，必須使用遠(yuǎn) 程端點(diǎn)連接器與網(wǎng)關(guān)或其他內(nèi)部端點(diǎn)建立連接，才能得到比因特網(wǎng)上一般主機(jī)較高的訪 問(wèn)權(quán)限。 在接下來(lái)的幾節(jié)中，我們將詳細(xì)介紹每個(gè)部件的設(shè)計(jì)以及一些 需要特別說(shuō)明的地 方。 16 圖 1小型混合網(wǎng)絡(luò)分布式防火墻體系結(jié)構(gòu) 管理控制中心 管理控制中心是整個(gè)分布式系統(tǒng)的核心，在本系統(tǒng)中控制中心的主要功能為：作為分布式服務(wù)器接收各個(gè)防火墻客戶(hù)端軟件傳輸過(guò)來(lái)的報(bào)警日志、將日志存儲(chǔ)在固定的位置、啟動(dòng)時(shí)讀取報(bào)警日志、根據(jù)客戶(hù)端的 IP 地址來(lái)顯示客戶(hù)端的 IP 地址。 策略文件的內(nèi)容除了包過(guò)濾規(guī)則外還包括很多其他信息，比如證書(shū)、策略文件版本、 管理控制中心和端點(diǎn)主機(jī)間的一些約定等等，這些并不會(huì)在策略編輯器 中顯示出來(lái)，主 要是為了策略執(zhí)行器和管理控制中心的通信，以及中心對(duì)端點(diǎn)進(jìn)行遠(yuǎn)程管理。包過(guò)濾規(guī) 則存放在管理控制規(guī)則文件中，根據(jù)需要存儲(chǔ)的內(nèi)容將控管規(guī)則文件劃分為以下幾段， 如下圖所示 : 17 圖 2控制規(guī)則文件結(jié)構(gòu) 策略文件和策略執(zhí)行器之間要有一個(gè)協(xié)議，使得執(zhí)行器可以翻譯策略文件并執(zhí)行。 這里我們使用的是自定義協(xié)議，用戶(hù)不能修改策略文件的內(nèi)容，因?yàn)槿绻脩?hù)將策略文 件修改得不符合協(xié)議，策略執(zhí)行器將不能理解和執(zhí)行策略文件。為了避免這種情況發(fā)生， 就不能以 ASCII 明文保存和傳遞策略文件，而要進(jìn)行一定的格式轉(zhuǎn)換，將策略文件轉(zhuǎn)換 成用戶(hù)不可讀的格式。為此，策略文件與策略執(zhí)行器間的協(xié)議中還要加上解密協(xié)議 . 一般網(wǎng)絡(luò)內(nèi)部主機(jī)可以按權(quán)限分組，同組主機(jī)的家全策略基本相同，即使不同組的 主機(jī)的安全策略也會(huì)有很多相同之處。因此，應(yīng)該實(shí)現(xiàn)策略的共享，也就是為主機(jī) A 定 義的策略可以直接或稍加修改后就可用于主機(jī) B。因此策略中要盡量少使用主機(jī)的具體 信息 (比如主機(jī) IP 地址和網(wǎng)絡(luò)接口參數(shù) )，而改用定義常量的形式表示。也可以為整個(gè)子 網(wǎng)定義安全策略，然后作用于子網(wǎng)中的所有主機(jī) . 雖然策略是由中心定義的，但有時(shí)也需要給端點(diǎn)主機(jī)一定的權(quán)利對(duì)策略進(jìn)行修改。 至于雙方的權(quán)限如何分配，在前面的模型和產(chǎn)品實(shí)現(xiàn)方案中沒(méi)有明確的規(guī)定。在我的系 統(tǒng)中，中心在定義策略的同時(shí)定義哪些端點(diǎn)有權(quán)不使用甚至修改策略，而哪些部分是一 定要按中心的定義去執(zhí)行的。 IP 過(guò)濾策略執(zhí)行器 策略執(zhí)行器是安裝在端點(diǎn)主機(jī)，解釋并執(zhí)行安全策略的程序。它是真正行使保護(hù)端 點(diǎn)主機(jī)職責(zé)的程序，主要完成傳統(tǒng)防火墻的功能，另外還要實(shí)現(xiàn)與管理控制中心通信、 處理遠(yuǎn)程端點(diǎn)建立通信連接的請(qǐng)求等功能。策略執(zhí)行器使用的技術(shù)，在 這里我們選擇了 包過(guò)濾技術(shù)。主要出于以下考慮 : 代理服務(wù)器需要為不同的應(yīng)用和協(xié)議開(kāi)發(fā)不同的代理程序，這樣工作量太大，而且 靈活性不高。出現(xiàn)新的協(xié)議或應(yīng)用時(shí)需要開(kāi)發(fā)新的代理程序。因此代理服務(wù)器型的防火 墻不能適應(yīng)主機(jī)上種類(lèi)繁多的通信需要。另外代理服務(wù)器的效率也不高。 包過(guò)濾防火墻是嵌入系統(tǒng)內(nèi)核的，從根本上加固了端點(diǎn)主機(jī)的操作系統(tǒng)。而且包過(guò) 濾型的防火墻技術(shù)經(jīng)過(guò)過(guò)年的發(fā)展己經(jīng)很成熟了，可以在保證足夠的安全性的前提下達(dá) 到令人滿(mǎn)意的速度。 18 包過(guò)濾 根據(jù)策略文件對(duì)于包過(guò)濾規(guī)則的規(guī)定對(duì)所有 進(jìn)出的數(shù)據(jù)包的頭部信息進(jìn)行過(guò)濾，決 定如何處理該包。包過(guò)濾規(guī)則是一個(gè)鏈狀結(jié)構(gòu)，將數(shù)據(jù)包與第一條規(guī)則開(kāi)始進(jìn)行比較， 如果符合該條規(guī)則就根據(jù)規(guī)則中的規(guī)定處理包 (丟棄、允許通過(guò)、修改包頭信息等 )，否 則將包與下一條規(guī)則比較。如果到了規(guī)則鏈末端時(shí)，仍然沒(méi)有匹配的規(guī)則，就執(zhí)行該規(guī) 則鏈的默認(rèn)策略。 根據(jù)數(shù)據(jù) 包的傳輸方向及狀態(tài) :定義三條內(nèi)建規(guī)則鏈 :INPUT， OUPTTU 和 FORAwDR。 包過(guò)濾程序根據(jù)包的傳輸方向找到對(duì)應(yīng)的規(guī)則鏈進(jìn)行匹配。為了便于管理，用戶(hù)也可以 自己定義鏈，但自定義的規(guī)則鏈只能在內(nèi)建鏈中進(jìn) 行包含。其本身僅僅是一些規(guī)則的集 合，沒(méi)有默認(rèn)策略。 規(guī)則鏈包含的信息有源 IP、目的 IP、源端口、目的端口、網(wǎng)絡(luò)接口、源 AMC 地址、 協(xié)議類(lèi)型、 T 印標(biāo)志，對(duì)匹配的包如何處理等內(nèi)容。對(duì)匹配的包進(jìn)行的處理可能有以下 幾種 :丟棄、拒絕、轉(zhuǎn)發(fā)、跳到其他鏈 (非內(nèi)建 )、進(jìn)行時(shí)間限制、放入隊(duì)列中等待用戶(hù) 空間的程序進(jìn)行處理、記入日志等。對(duì)數(shù)據(jù)包進(jìn)行時(shí)間限制是個(gè)非常有用的功能，如果數(shù)據(jù)包符合某個(gè)規(guī)則，即具有某種特征，包過(guò)濾程序可以限制每個(gè)固定的時(shí)間段只接受 一定數(shù)量的這種包，其他的則全部丟棄。這樣可以防止像 SynFlood 之類(lèi)的簡(jiǎn)單攻擊。 日志 日志就是根據(jù)規(guī)則的定義對(duì)符合一定條件的數(shù)據(jù)包的包頭信息做記錄。用戶(hù)可以通 過(guò)對(duì)日志的分析，了解防火墻運(yùn)行的情況并發(fā)現(xiàn)一些問(wèn)題。日志以用戶(hù)可讀的文件形式 保存，用戶(hù)可以直接查看日志文件，也可以使用日志分析器查看。日志文件保存的路徑 是可以指定的。記錄日志時(shí)，除了記錄包頭所包含的信息外，用戶(hù)還可以規(guī)定日志的等 級(jí)和日志前綴，便于分類(lèi)查看。日志前綴則是完全由用戶(hù)定義的、便于理解的字符串。 19 4. 分布式防火墻的實(shí)現(xiàn) 開(kāi)發(fā)平臺(tái)與開(kāi)發(fā)工具 包過(guò)濾模塊在 Widnows 環(huán)境下利用中間驅(qū)動(dòng)程序?qū)崿F(xiàn)，開(kāi)發(fā)工具使用 Windo， sDDK 和 vc++ 在 DDK 中附帶的 passthru 提供 T 一個(gè)的中間層驅(qū)動(dòng)框架，它對(duì)下表 現(xiàn)為一個(gè)協(xié)議層的驅(qū)動(dòng)，對(duì)上表現(xiàn)為一個(gè)虛擬網(wǎng)卡，安裝 Passthru 驅(qū)動(dòng)之后，可以在硬 件管理中的網(wǎng)卡中看到一個(gè)虛擬網(wǎng)卡。我們將在 Pasthru 的基礎(chǔ)上實(shí)現(xiàn)一個(gè)對(duì)數(shù)據(jù)包操 作的擴(kuò)展，從而實(shí)現(xiàn)分布式防火墻策略執(zhí)行器包過(guò)濾模塊的功能。 包過(guò)濾模塊的實(shí)現(xiàn) 中間層設(shè)計(jì)原理 在 Widows 環(huán)境下，要實(shí)現(xiàn)數(shù)據(jù)鏈路級(jí) (比如以太 幀 )需要使用驅(qū)動(dòng)程序，一些高層的接口最多只能捕獲到 IP 層的數(shù)據(jù)，而不能看到更底層的數(shù)據(jù)頭信息，下圖描述了 Windows 的網(wǎng)絡(luò)模型 (WinNT/ZK)。 處在最底層的是網(wǎng)絡(luò)接口卡，緊接著是硬件抽象層 HAL， AHL負(fù)責(zé)與真正的硬件打交道，為內(nèi)核屏蔽了除 CPU 之外的硬件差異，這就使得內(nèi)核的大小可以減小，并且增加了可移植性，內(nèi)核只需要關(guān)心的是 CPU 體系的差異。 NDI S庫(kù) 利 用了 HAL，從而也獲得了硬件無(wú)關(guān)性。 NDIS 輸出了許多例程供宏供驅(qū)動(dòng)程序使用，比如 Ndissend， NdisRequest， NdisReset 等， NDIS 驅(qū)動(dòng)程序使用這些例程，從而獲得硬件可移植性和源代碼兼容性。一般情況下，陽(yáng) 15 驅(qū)動(dòng)程序通常需要向 NDIS 注冊(cè)一組例程，以便 NDIS 在適當(dāng)?shù)臅r(shí)候能夠調(diào)用驅(qū)動(dòng)程序注冊(cè)的例程，而驅(qū)動(dòng)程序可以在這些例程里面進(jìn)行相應(yīng)的處理 :如果驅(qū)動(dòng)程序需要在上邊緣與 NDIs 通信，那么它需要向 NDIS 注冊(cè)一組形如 MiniportXxx 的例程，使得該驅(qū)動(dòng)程序?qū)τ诟蠈拥尿?qū)動(dòng)來(lái)說(shuō)，看起來(lái)好像是一個(gè)微端口 。如果驅(qū)動(dòng)程序需要在下邊緣與 ND 工 5 通信，那么它需要向 NDIS 庫(kù)注冊(cè)一組形如 Protocolxx 的例程，使得該驅(qū)動(dòng)程序?qū)τ谙旅娴尿?qū)動(dòng)程序來(lái)說(shuō)表現(xiàn)得好像是一個(gè)協(xié)議驅(qū)動(dòng)程序。 20 圖 3 windows的網(wǎng)絡(luò)模型 21 實(shí)際上 ,這些注冊(cè)的例程是在適當(dāng)?shù)臅r(shí)候被 NDIs 調(diào)用的，是為驅(qū)動(dòng)程序棧中其他層 次的驅(qū)動(dòng)程序服務(wù)的。每一層的驅(qū)動(dòng)程序從不直接調(diào)用其它層次的驅(qū)動(dòng)程序的例程，而 是僅僅使用 NDIS 庫(kù)函數(shù)，雖然本質(zhì)上還是由 NDIs 調(diào)用了其它層次的驅(qū)動(dòng)程序的相應(yīng)例程 (某些 NDIS 函數(shù)僅僅是一個(gè)宏名而已 )。 NDIS 的這種設(shè)計(jì)使得各層驅(qū)動(dòng)對(duì)于別的層的驅(qū)動(dòng) 程序來(lái)說(shuō)是透明的。利用 NDIS 的這種封裝特性，就可以專(zhuān)注于一層驅(qū)動(dòng)的設(shè)計(jì)，減少了設(shè)計(jì)的復(fù)雜性，同時(shí)易于擴(kuò)展驅(qū)動(dòng)程序棧。 編寫(xiě)中間層驅(qū)動(dòng)程序 中間層驅(qū) 動(dòng) (IM)D 位于微端口驅(qū)動(dòng)程序和協(xié)議驅(qū)動(dòng)程序之間，有兩種類(lèi)型的中間層 驅(qū)動(dòng)程序 :過(guò)濾 (Filter)驅(qū)動(dòng)程序和復(fù)合 (MUX)驅(qū)動(dòng)程序。前者指綁定一個(gè)微端口，并對(duì) 所經(jīng)過(guò)的數(shù)據(jù)進(jìn)行過(guò)濾。后者是對(duì)多個(gè)微端口進(jìn)行綁定，并向高層的協(xié)議驅(qū)動(dòng)輸出一個(gè) 或多