《畢業(yè)設計（論文）-網(wǎng)絡安全監(jiān)控系統(tǒng)的設計與實現(xiàn).doc》由會員分享，可在線閱讀，更多相關《畢業(yè)設計（論文）-網(wǎng)絡安全監(jiān)控系統(tǒng)的設計與實現(xiàn).doc（59頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、 四川理工學院畢業(yè)設計（論文） 網(wǎng)絡安全監(jiān)控系統(tǒng)的設計與實現(xiàn)學 生：學 號：專 業(yè)：電子信息科學與技術班 級：2008級02班指導教師： 四川理工學院自動化與電子信息學院二O一二年六月趙平：網(wǎng)絡安全監(jiān)控系統(tǒng)的設計與實現(xiàn)摘要目前基于網(wǎng)絡的安全問題日益突出，尤其是應用廣泛的P2P文件共享還存在著很大的網(wǎng)絡安全問題，所以本文設計了P2P文件共享監(jiān)控系統(tǒng)。系統(tǒng)采用分布式防護的方法，由管理員集中定義安全策略，但安全策略的實施位于各個終端之上。該監(jiān)控系統(tǒng)實現(xiàn)了對文件共享的實時監(jiān)控，在文件共享時一旦有非法操作就會向管理員發(fā)出相應的警報。解決了P2P文件共享的安全問題。與現(xiàn)有監(jiān)控手段相比，避免了可能造成的性能

2、瓶頸，具有更好的可擴展性，能實現(xiàn)更細的策略控制力度。關鍵詞：點對點；安全監(jiān)控；安全策略 ABSTRACTNetwork-based security issues have become increasingly prominent, this article focused on a particular aspect of network management issues, file sharing, which is currently widely used in social file-sharing technology there are significant safety

3、issues. Designed a P2P file-sharing monitoring system. The system uses a distributed protection by the administrator to centrally define security policy, security policy implementation is located in each terminal. That the monitoring system to achieve real-time monitoring of file sharing, file shari

4、ng, illegal operation and will receive a corresponding alert to the administrator. Solve the security issues of P2P file sharing. Compared with the existing monitoring tools, to avoid performance bottlenecks may be caused, and has better scalability, to achieve finer policy control efforts.Key words

5、: peer-to-peer(P2P); security monitor ; Security policyI目錄摘要IABSTRACTII第一章引言11.1 系統(tǒng)開發(fā)背景11.2 國內(nèi)外研究現(xiàn)狀11.3系統(tǒng)需求11.4 設計主要內(nèi)容2第二章 系統(tǒng)相關介紹32.1 P2P的介紹32.1.1 P2P的定義32.1.2 P2P存在的安全缺陷32.2 文件路由42.3 策略路由42.3.1 策略路由概念42.3.2 路由的實現(xiàn)原理52.3.3 Route-map原理與執(zhí)行62.4 策略路由配置模擬軟件Boson Netsim72.5 NDIS8第三章 總體設計93.1 監(jiān)控系統(tǒng)功能93.2 監(jiān)控系

6、統(tǒng)模塊93.3 系統(tǒng)工作流程103.4 每塊模塊的作用113.4.1 GUI113.4.2 監(jiān)控中心113.4.3 終端主控程序113.4.4 NDIS12第四章 詳細設計134.1 設計流程134.2 GUI模塊的生成與功能實現(xiàn)134.2.1 用戶注冊信息模塊的設置134.2.2 策略路由的設置164.3 監(jiān)控中心模塊功能實現(xiàn)224.4 NDIS模塊的功能實現(xiàn)224.4.1 NDIS的結(jié)構功能224.4.2 數(shù)據(jù)包過濾與截獲的具體步驟234.5 日志和審計294.6 非法文件下載報警34第五章 系統(tǒng)測試355.1 部門登錄測試355.2 終端監(jiān)控測試365.3 日志和審計測試365.4 非法

7、文件報警測試37第六章 結(jié)束語38致謝39參考文獻40附錄 系統(tǒng)代碼41 趙平：網(wǎng)絡安全監(jiān)控系統(tǒng)的設計與實現(xiàn)第一章 引言1.1 系統(tǒng)開發(fā)背景網(wǎng)絡給我們帶來了許多方便，我們可以用文件共享輕輕松松的與其他人分享文件，文件共享是指主動地在網(wǎng)絡上（互聯(lián)網(wǎng)或小的網(wǎng)絡）共享自己的計算機文件。一般文件共享使用P2P模式，P2P就是人可以直接連接到其他用戶的計算機、交換文件，而不是像過去那樣連接到服務器去瀏覽與下載；它改變互聯(lián)網(wǎng)現(xiàn)在的以大網(wǎng)站為中心的狀態(tài)、重返“非中心化”，并把權力交還給用戶。文件本身存在用戶本人的個人電腦上。大多數(shù)參加文件共享的人也同時下載其他用戶提供的共享文件。目前文件共享監(jiān)控系統(tǒng)具有如下

8、特點：1、具有較高的安全性，管理員能實時的了解各個用戶的當前操作。2、具有較高的效率，管理員能及時發(fā)現(xiàn)系統(tǒng)報警提示，做出相關處理。1.2 國內(nèi)外研究現(xiàn)狀P2P技術目前是互聯(lián)網(wǎng)文件共享中廣泛采用的一種方式。在早期的IRC聊天系統(tǒng)中，就有一些客戶端允許用戶間點對點地傳輸文件。而當時的FTP便可以認為是一種傳統(tǒng)的“服務器-客戶端”模式的文件傳輸方式。顯而易見的是，P2P相對于傳統(tǒng)模式，有著分攤帶寬，節(jié)約服務器成本的巨大優(yōu)勢。P2P直接將人們聯(lián)系起來，讓人們通過互聯(lián)網(wǎng)直接交互。P2P使得網(wǎng)絡上的溝通變得容易、更直接共享和交互，真正地消除中間商。P2P就是人可以直接連接到其他用戶的計算機、交換文件，而不

9、是像過去那樣連接到服務器去瀏覽與下載。P2P另一個重要特點是改變互聯(lián)網(wǎng)現(xiàn)在的以大網(wǎng)站為中心的狀態(tài)、重返非中心化，并把權力交還給用戶1。1.3系統(tǒng)需求指標體系通常是一個多指標、層次化的結(jié)構，能夠由表及里、深入清晰的表述讀者滿意度測評指標體系的內(nèi)涵。每一層次的測評指標都是由上一層測評指標展開的，而上一層次的測評指標體系則是通過下一層的測評指標的測評結(jié)果反映出來的。1.4 設計主要內(nèi)容此次P2P文件共享監(jiān)控系統(tǒng)針對P2P文件共享帶來的安全問題，監(jiān)控系統(tǒng)實現(xiàn)的主要功能如下所示:(1)對主機所在局域網(wǎng)內(nèi)的各個主機上的文件共享進行一定的監(jiān)控。當有文件進行傳輸時，根據(jù)管理員自己定義的具體安全策略做出相應的操

10、作，如允許或拒絕傳輸。(2)文件安全策略是由該局域網(wǎng)的管理員進行集中定義，但進行具體操作時是要分配到各個主機監(jiān)控終端執(zhí)行。系統(tǒng)的防范不僅僅依賴于網(wǎng)絡邊界單個檢查點，消除了網(wǎng)絡性能的瓶頸，容易實施針對特價協(xié)議的包過濾，實現(xiàn)對特定應用程序的安全策略。(3)對文件的傳輸行為提供日志和審計功能，系統(tǒng)記錄下安全日志，于此同時也可以對日志進行查詢統(tǒng)計，生成報表有助于管理員的審計。 1 趙平：網(wǎng)絡安全監(jiān)控系統(tǒng)的設計與實現(xiàn)第二章 系統(tǒng)相關介紹2.1 P2P的介紹因為本文主要針對的是P2P文件共享的監(jiān)控，所以我們應該首先來了解什么叫P2P，以及為什么要設置監(jiān)控系統(tǒng)來對其進行一定的監(jiān)控，它所存在的問題是什么。2.

11、1.1 P2P的定義對等網(wǎng)絡;端到端以非集中方式使用分布式資源來完成關鍵任務的一類系統(tǒng)和應用資源包括計算能力、數(shù)據(jù)（存儲和內(nèi)容）、網(wǎng)絡帶寬和場景（計算機、人和其它資源）關鍵任務可能是分布式計算、數(shù)據(jù)/內(nèi)容共享，通信和協(xié)同、或平臺服務典型位置：因特網(wǎng)邊界或ad-hoc網(wǎng)內(nèi)巨大的擴展力通過低成本交互來聚合資源，導致整體大于部分之和。低成本的所有權和共享使用現(xiàn)存的基礎設施、削減和分布成本匿名和隱私允許對等端在其數(shù)據(jù)和資源上很大的自治控制2。2.1.2 P2P存在的安全缺陷P2P網(wǎng)絡采用的分布式結(jié)構在擴展性和靈活性的同時，也使它面臨著巨大的安全挑戰(zhàn)：它需要在沒有中心節(jié)點的情況下，提供身份驗證，授權，數(shù)

12、據(jù)信息的安全傳輸，數(shù)字簽名，加密等機構。但目前的P2P技術距離實現(xiàn)這一目標尚有一定的距離，它本身存在的一些安全缺陷阻礙其得到進一步應用。下面介紹一些主要的P2P安全缺陷。（1）一個惡意的服務器可以接受主服務器的文檔副本，然后向用戶發(fā)送修改過的信息。它還可以在接受了主服務器的副本后拒絕服務，造成“服務否認”。更為隱患的攻擊是不分配給副本足夠的資源。（2）現(xiàn)行的大多數(shù)P2P系統(tǒng)并沒有在節(jié)點間建立信任關系，只是采用一定的機制防范惡意行為。例如，有的方案并不阻止一個節(jié)點共享一個其內(nèi)容與其描述并不匹配的文件，用戶必須自己解決因下載其他節(jié)點的文件帶來的不安全因素。（3）在獲取資源的時候我們首先需要保證所下

13、載的資源正是我們需要的資源在最好的情況下，我們還要確定所下載的資源只包含有符合需求的文件，也就是說沒有其他不需要或是不希望有的垃圾文件。但是在目前已實現(xiàn)的P2P系統(tǒng)中，不存在中心服務器提供的基于內(nèi)容的鑒別，資源共享嚴重依賴于資源提供者和需求者之間的相互信任，事實上只能保證所請求資源的標志與希望的標志一致。這也使的一些垃圾文件偽裝成正常文件進行傳播。2.2 文件路由每個網(wǎng)上Peer分配一個隨機ID,并知道其他Peers的給定號碼當共享文件發(fā)布到系統(tǒng)上時,根據(jù)文件名字和內(nèi)容Hash成為ID，每個Peer將根據(jù)該ID向該文件路由，該過程重復執(zhí)行,直到最近的PeerID是現(xiàn)行Peer的ID（形成環(huán)路）

14、每個路由操作還保持文件副本在本地。當Peer請求某文件時,該請求將用該文件的ID到達Peer,過程重復直到發(fā)現(xiàn)文件副本,最終文件下載到請求源端。2.3 策略路由2.3.1 策略路由概念所謂策略路由，顧名思義，即是根據(jù)一定的策略進行報文轉(zhuǎn)發(fā)，因此策略路由是一種比目的路由更靈活的路由機制。在路由器轉(zhuǎn)發(fā)一個數(shù)據(jù)報文時，首先根據(jù)配置的規(guī)則對報文進行過濾，匹配成功則按照一定的轉(zhuǎn)發(fā)策略進行報文轉(zhuǎn)發(fā)。這種規(guī)則可以是基于標準和擴展訪問控制列表，也可以基于報文的長度；而轉(zhuǎn)發(fā)策略則是控制報文按照指定的策略路由表進行轉(zhuǎn)發(fā)，也可以修改報文的IP優(yōu)先字段。因此，策略路由是對傳統(tǒng)IP路由機制的有效增強。策略路由能滿足基于

15、源IP地址、目的IP址、協(xié)議字段，甚至于TCP、UDP的源、目的端口等多種組合進行選路。簡單點來說，只要IP standard/extended ACL 能設置的，都可以做為策略路由的匹配規(guī)則進行轉(zhuǎn)發(fā)。策略路由（Policy Route）是指在決定一個IP包的下一跳轉(zhuǎn)發(fā)地址或是下一跳缺省IP地址時，不是簡單的根據(jù)目的IP地址決定，而是綜合考慮多種因素來決定。如可以根據(jù)DSCP字段、源和目的端口號，源IP地址等來為數(shù)據(jù)包選擇路徑。策略路由可以在一定程度上實現(xiàn)流量工程，使不同服務質(zhì)量的流或者不同性質(zhì)的數(shù)據(jù)（語音、FTP）走不同的路徑。基于策略的路由為網(wǎng)絡管理者提供了比傳統(tǒng)路由協(xié)議對報文的轉(zhuǎn)發(fā)和存儲

16、更強的控制能力。傳統(tǒng)上，路由器用從路由協(xié)議派生出來的路由表，根據(jù)目的地址進行報文的轉(zhuǎn)發(fā)?；诓呗缘穆酚杀葌鹘y(tǒng)路由能力更強，使用更靈活，它使網(wǎng)絡管理者不僅能夠根據(jù)目的地址而且能夠根據(jù)協(xié)議類型、報文大小、應用或IP源地址來選擇轉(zhuǎn)發(fā)路徑。策略可以定義為通過多路由器的負載平衡或根據(jù)總流量在各線上進行報文轉(zhuǎn)發(fā)的服務質(zhì)量。2.3.2 路由的實現(xiàn)原理入口數(shù)據(jù)包首先來介紹策略路由的流程，如圖2-1所示。策略路由策略路由？有匹配條目？Permit Yes Yes Yes 正常路由（基本目標）圖2-1 策略路由流程使用Route-map來配置策略路由的流程，策略路由只對入口數(shù)據(jù)包有效。應用策略路由，必須要指定策略

17、路由使用的路由映射，并且要創(chuàng)建路由映射。一個路由映射由很多條策略組成，每個策略都定義了1個或多個的匹配規(guī)則和對應操作。一個接口應用策略路由后，將對該接口接收到的所有包進行檢查，不符合路由映射任何策略的數(shù)據(jù)包將按照通常的路由轉(zhuǎn)發(fā)進行處理，符合路由映射中某個策略的數(shù)據(jù)包就按照該策略中定義的操作進行處理。策略路由對報文的發(fā)送接口、下一跳的配置是基于多轉(zhuǎn)發(fā)表實現(xiàn)的。策略路由的處理流程包括流模式和逐包模式，下面分別介紹流模式與逐包模式。流模式，第一個包查路由轉(zhuǎn)發(fā)表，如果存在路由，將該路由項以source、dest、tos、入接口等索引放置到cache中，以后同樣的流就可以直接查cache。對于低端路由器

18、，所有操作由CPU內(nèi)存處理，對于中高端設備，一般由NP和Asic芯片完成處理。逐包模式，每個包都進行查表后才進行轉(zhuǎn)發(fā)。路由器流模式及逐包模式切換命令分別如下：ip route-cache policy 開啟快速交換策略路由就是流模式no ip route-cache policy 關閉該功能就是逐包模式2.3.3 Route-map原理與執(zhí)行route-map是由一組match字句和set字句構成，他實際上是訪問控制列表的一個超集。當需做策略路由的報文匹配route-map中的match字句定義的規(guī)則時，將按照set字句的配置決定該報文的路由方式，包括設置報文的優(yōu)先權字段，設置報文的下一跳，設

19、置報文的發(fā)送接口3。什么叫做Routemap,類似于復雜的Access-list自頂向下地處理，一旦有一條匹配，則立刻結(jié)束route-map查找，Route-map每個條目都被賦予編號，可以任意地插入或刪除條目。當使用策略路由時，首先定義重分布路由映射，一個路由映射可以由很多策略組成，策略按序號大小排列，只要符合了前面策略，就退出路由映射的執(zhí)行。 由于路由映射中每個策略都有其編號，故可以方便的插入或刪除。Route-map的執(zhí)行語句如下：route-map test permit 10match x y zmatch aset bset croute-map test permit 20mat

20、ch qset rdeny all(系統(tǒng)隱含)If (x or y or z) and athen set (b and c)else if qthen set relse set nothingroute-map-name給路由圖定義一個便于記憶的名字。redistribute 路由進程配置命令是通過該名字引用路由圖的。一個路由圖可以定義多個路由圖策略，一個路由圖策略對應一個序號?？偣灿袃蓚€序號，分別為permit、deny，下面一一介紹。如果定義了permit關鍵字，又符合match定義的匹配規(guī)則。則set命令對重分布路由進行控制；對于策略路由，set命令將對數(shù)據(jù)包轉(zhuǎn)發(fā)進行控制。并退出路由

21、圖的操作。如果定義了permit關鍵字，而不符合match定義的匹配規(guī)則。則將進入第二個路由圖策略進行操作。直到最終執(zhí)行了set命令。如果定義了deny關鍵字，又符合match定義的匹配規(guī)則。則不會執(zhí)行任何操作，該路由圖策略不允許進行路由重分布或策略路由，而且退出路由圖操作。如果定義了deny關鍵字，而不符合match定義的匹配規(guī)則。則將進入下一個路由圖策略進行操作。直到最終執(zhí)行了set命令。 2.4 策略路由配置模擬軟件Boson NetsimBoson NetSim有兩個組成部分：Boson Network Designer（實驗拓撲圖設計軟件）和Boson NetSim（實驗環(huán)境模擬器）

22、。Boson NetSim安裝結(jié)束以后，在桌面上會產(chǎn)成兩個圖標：Boson Network Designer和Boson NetSim。其中Boson Network Designer用來繪制網(wǎng)絡拓撲圖，Network Designer可讓用戶構建自己的網(wǎng)絡結(jié)構或在實驗中查看網(wǎng)絡拓撲結(jié)構。我們就是通過這個組件搭建自己的免費實驗室的。Boson NetSim用來進行設備配置練習，是最重要的組件，用戶可以選擇網(wǎng)絡拓撲結(jié)構中不同的路由、交換設備并進行配置，也就是說輸入指令、切換設備都是在Control Panel中進行。全部的配置命令均在這個組件中輸入。Boson Netsim是一款Cisco路由器

23、，交換機模擬程序。它的出現(xiàn)給那些正在準備CCNA,CCNP考試卻苦于沒有實驗設備，實驗環(huán)境的備考者提供了實踐聯(lián)的有力環(huán)境。Boson算得上是目前最流行的，操作最接近真實環(huán)境的模擬工具?？梢院敛豢鋸埖卣f，它就是真實設備的縮影。與真實實驗相比，使用它省去了我們制作網(wǎng)線連接設備，頻繁變換CONSOLE線，不停地往返于設備之間的環(huán)節(jié)。同時，它的命令也和最新的Cisco的IOS保持一致，它可以模擬出Cisco的中端產(chǎn)品35系列交換機和45系列路由器。它還具備一項非常強大的功能，那就是自定義網(wǎng)絡拓撲結(jié)構及連接。通過Boson我們可以隨意構建網(wǎng)絡，PC、交換機、路由器都可被模擬出來，而且它還能模擬出多種連接

24、方式(如PSTN、ISDN、PPP等)。2.5 NDISNDIS是基于X86平臺操作系統(tǒng)網(wǎng)卡驅(qū)動程序必須遵守的設計框架。他將NDIS驅(qū)動程序中的一些公用代碼提取出來，使NDIS驅(qū)動程序只需要利用和硬件有關的少量代碼。Transport driverProtocol XxxMediaxNDISNDIS中間層驅(qū)動介于協(xié)議層與小端口層之間，IMD對上面的協(xié)議層表現(xiàn)了一個模擬的微端口網(wǎng)卡結(jié)構，而對于下面的網(wǎng)卡則表現(xiàn)為一個協(xié)議層的結(jié)構，他能截獲所有的網(wǎng)絡數(shù)據(jù)包。NDIS中間層驅(qū)動應用廣泛，除了對數(shù)據(jù)包攔截與過濾外，還可以實現(xiàn)VPN、NAT.PPPoe.以及網(wǎng)絡負載均衡等。因此，研究NDIS中間驅(qū)動程序的

25、實現(xiàn)很有意義。NDIS中間層驅(qū)動程序位于網(wǎng)卡驅(qū)動與協(xié)議驅(qū)動之間，同時具有MINIport和PROTOCOL兩種驅(qū)動程序接口。因此他在驅(qū)動層結(jié)構的中間層。它既與上層協(xié)議驅(qū)動程序通行又與下層端口驅(qū)動程序通信。上層協(xié)議驅(qū)動程序是通過NDIS調(diào)用函數(shù)進行通信。而對于下層驅(qū)動程序，中間驅(qū)動程序就像是一個協(xié)議驅(qū)動程序。下圖就描述了這種NDIS分層結(jié)構。NDIS包括三個部分，NDIS中間層驅(qū)動，微端口網(wǎng)卡結(jié)構，協(xié)議層的結(jié)構，他們位于不同層次，實現(xiàn)不同的功能，但三者之間的關聯(lián)非常重要，整個模塊要三者協(xié)同工作才能完成，NDIS分層結(jié)構如圖2-2所示4。Miniport XxxMediaxIntermediate

26、 driverProtocol XxxMediayMiniport XxxMediayNIC Driver圖2-2 NDIS分層結(jié)構133 趙平：網(wǎng)絡安全監(jiān)控系統(tǒng)的設計與實現(xiàn)第三章 總體設計3.1 監(jiān)控系統(tǒng)功能針對P2P文件共享帶來的安全問題，本文設計了P2P文件共享監(jiān)控系統(tǒng)。監(jiān)控系統(tǒng)實現(xiàn)的主要功能如下所示:(1)對主機所在局域網(wǎng)內(nèi)的各個主機上的文件共享進行一定的監(jiān)控。當有文件進行傳輸時，根據(jù)管理員自己定義的具體安全策略做出相應的操作，如允許或拒絕傳輸。(2)文件安全策略是由該局域網(wǎng)的管理員進行集中定義，但進行具體操作時是要分配到各個主機監(jiān)控終端執(zhí)行。系統(tǒng)的防范不僅僅依賴于網(wǎng)絡邊界單個檢查點，

27、消除了網(wǎng)絡性能的瓶頸，容易實施針對特價協(xié)議的包過濾，實現(xiàn)對特定應用程序的安全策略。(3)對文件的傳輸行為提供日志和審計功能，系統(tǒng)記錄下安全日志，于此同時也可以對日志進行查詢統(tǒng)計，生成報表有助于管理員的審計。3.2 監(jiān)控系統(tǒng)模塊文件共享監(jiān)控系統(tǒng)的設計與實現(xiàn)包括六塊子系統(tǒng)：(1)GUI（圖形用戶接口）(2)監(jiān)控中心(3)終端監(jiān)控程序(4)NDIS（驅(qū)動中間層）(5)非法文件下載報警(6)非法文件共享報警以上六塊子模塊分別實現(xiàn)不同的功能，用戶在GUI中實現(xiàn)安全策略的設置，監(jiān)控中心將策略分發(fā)到各個終端，終端根據(jù)監(jiān)控中心發(fā)來的策略，執(zhí)行相關操作，然后將相關的數(shù)據(jù)在NDIS中進行過濾和截獲。產(chǎn)生日志，最后

28、再進行日志審計，而日志記錄供管理員參考，對當前網(wǎng)絡做出有效管理。系統(tǒng)模塊如圖3-1所示。P2P文件共享監(jiān)控系統(tǒng)NDIS終端主控程序監(jiān)控中心GUI非法文件共享報警安全策略設置用戶登錄設置終端監(jiān)控日志和審計圖3-1 系統(tǒng)模塊3.3 系統(tǒng)工作流程 現(xiàn)在我們來介紹系統(tǒng)系統(tǒng)工作的流程，在P2P文件共享監(jiān)控系統(tǒng)中，首先該局域網(wǎng)的管理員通過GUI（圖形用戶接口）對局域網(wǎng)內(nèi)的各個用戶的P2P文件共享安全策略進行集中定義，然后監(jiān)控中心將定義好的安全策略發(fā)送到各個主機終端主控程序，然后再由主控程序交給內(nèi)核的驅(qū)動程序程序執(zhí)行相關的操作。在此過程中要由NDIS（Network Driver Interface Spe

29、cification，即網(wǎng)絡驅(qū)動接口規(guī)范）驅(qū)動截獲來自主控程序的數(shù)據(jù)包，按策略過濾數(shù)據(jù)包并生成日志再傳給終端主控程序。最后監(jiān)控中心收集處理各個主機的日志信息，向管理員提供日志查詢和審計功能。經(jīng)過日志審計之后將所得的數(shù)據(jù)分析結(jié)果傳給GUI，在GUI中做出相應的反應，如果審計結(jié)果與GUI的策略設置不附，則會觸發(fā)報警模塊，非法文件共享報警，或者是非法文件下載報警模塊會發(fā)出報警信號。提醒管理員，而當管理員得到系統(tǒng)提醒后，就會采取相關的操作，對局域網(wǎng)做出有效的安全管理。下面給出了系統(tǒng)工作時的子模塊的作用。系統(tǒng)工作流程如圖3-2所示。 數(shù)據(jù)過濾監(jiān)控中心終端主控程序分發(fā)策略策略設置策略傳入日志傳出提交日志日

30、志審計GUINDIS驅(qū)動 圖3-2 系統(tǒng)工作流程3.4 每塊模塊的作用 3.4.1 GUI GUI(圖形用戶界面)的廣泛應用是當今計算機發(fā)展的重大成就之一。INMS系統(tǒng)的GUI作為整個網(wǎng)管的用戶接口，負責所有數(shù)據(jù)的呈現(xiàn)與網(wǎng)管系統(tǒng)后臺各模塊做必要的信息交互，在本系統(tǒng)中它的主要作用就是有助于管理員對整個局域網(wǎng)里的集中管理，并且管理員可以根據(jù)自己的需要登錄到監(jiān)控中心自己定義局域網(wǎng)內(nèi)的文件共享的安全策略，將每個用戶登錄情況，及對文件的共享情況，如最早共享時間與共享時間信息，以及在某一時間段文件下載信息和下載源5。3.4.2 監(jiān)控中心 監(jiān)控中心將管理員定義好的文件安全策略存儲起來，而且為了取得終端的安全

31、策略，終端主控程序?qū)⒔K端ID等信號發(fā)送到監(jiān)控中心。于此同時將所配置的安全策略分發(fā)到各個終端主控程序。 3.4.3 終端主控程序為了便于策略的執(zhí)行，監(jiān)控系統(tǒng)將用戶和其使用的主機綁定。當在主機上安裝終端監(jiān)控程序時，自動生成一個終端ID，用于表示使用該主機及其用戶。以后管理員通過設置的用戶策略與其用戶和終端ID聯(lián)系起來。如果管理員尚未創(chuàng)建該用戶的策略，則取默認策略，通常是禁止文件傳輸。中間層驅(qū)動程序就可以依據(jù)取得的策略對數(shù)據(jù)包過濾。3.4.4 NDIS為了對局域網(wǎng)內(nèi)主機的P2P文件傳輸行為進行監(jiān)控，需要能夠截獲和過濾終端發(fā)送和接收的數(shù)據(jù)包，通過數(shù)據(jù)包的截獲與過濾，進行數(shù)據(jù)分析。并生成日志報表和日志審

32、計，供管理員參考。這是通過NDIS Hook Driver來實現(xiàn)的。趙平：網(wǎng)絡安全監(jiān)控系統(tǒng)的設計與實現(xiàn)第四章 詳細設計4.1 設計流程我們已經(jīng)介紹了本系統(tǒng)的工作流程，以及每個子系統(tǒng)的作用?，F(xiàn)在我們來詳細的介紹此監(jiān)控系統(tǒng)的詳細設計。因為INMS的GUI是CMIN02移動智能網(wǎng)的一個重要組成部分，INMS提供友好的人機界面，因此，INMS可以認為是CMIN02系統(tǒng)的網(wǎng)元管理系統(tǒng)或操作維護中心。INMS系統(tǒng)的開發(fā)是為了達到網(wǎng)管新規(guī)范的要求，使網(wǎng)管軟件功能強大，界面友好，更方便的提供給用戶使用，它被認為是管理智能網(wǎng)的有效手段。作為網(wǎng)管系統(tǒng)，他對外提供各種管理功能，主要包括配置管理，告管理，性能管理，報

33、表管理，用戶管理，權限管理等功能。因此我們可以根據(jù)GUI的這些功能對局域網(wǎng)進行一定的管理。因為對文件進行訪問時，要記錄下訪問日志，以有助于管理員對每個文件的訪問情況有所了解。這樣管理員能夠更好的管理局域網(wǎng)。4.2 GUI模塊的生成與功能實現(xiàn)GUI模塊在本系統(tǒng)中是一個重要模塊，此模塊包含三個子模塊：用戶注冊信息、文件共享安全策略設置、非法文件下載報警，每個子模塊具有如下功能，用戶注冊信息是為了有針對性向用戶提供文件共享，也只有用戶登錄正確之后才能進行相關操作。管理員也可以通過用戶所注冊的信息對其進行有效管理。安全策略設置模塊的功能是負責收集設備的各種軟件硬件配置信息，提供給網(wǎng)管模塊查詢。配置管理

34、相制當?shù)闹匾跏蓟W(wǎng)絡，并配置網(wǎng)絡，以使其提供網(wǎng)絡服務。配置管理是一組對辨別，定義，控制和監(jiān)視組成一個通信網(wǎng)絡的對象所必要的相關功能，目的是為了實現(xiàn)某個特定功能或網(wǎng)絡性能達到最優(yōu)。非法文件報警模塊是為了當某些用戶正在進行非法訪問時能夠提醒管理員進行相關操作，進行有效的管理。4.2.1 用戶注冊信息模塊的設置為了維護文件共享安全性能，在向用戶提供資源共享時要具有針對性，也就是指當用戶登錄成功時，該用戶才能進行相關操作。所以我們應該設置用戶注冊模塊，設計步驟如下：一、 使用Access數(shù)據(jù)庫創(chuàng)建用戶登錄，首先必須設置數(shù)據(jù)庫，這里僅僅設置用戶登錄表：數(shù)據(jù)表結(jié)構如表4-1所示，數(shù)據(jù)表數(shù)據(jù)如表4-2

35、所示910。 表4-1 數(shù)據(jù)表結(jié)構列名稱數(shù)據(jù)類型數(shù)據(jù)大小說明ID自動編號識別號MC文本20用戶名稱MM文本20用戶密碼QX數(shù)字長整型用戶權限表4-2數(shù)據(jù)表數(shù)據(jù)IDMCMMQX1AAA12312BBB12323CCC12334DDD1234二、數(shù)據(jù)庫連接：在程序中要連接數(shù)據(jù)庫，才能使用數(shù)據(jù)表，所以必須連接數(shù)據(jù)庫，數(shù)據(jù)庫連接比較簡單，關鍵是程序中必須添加引用，添加方法是點擊【工程】-【引用】在對話框選擇“Microsoft DAO 3.6 Object Library”和“Microsoft ActiveX Data Objects 2.6 Library”，將它們勾選，然后點擊【確定】，這樣就添

36、加了數(shù)據(jù)庫的引用了。接下來在程序中添加一個模塊（注意，不是類模塊），模塊名稱為 Module1 在模塊中編寫下面的代碼：Public db As New ADODB.Connection 聲明數(shù)據(jù)庫連接對象Public RS As New ADODB.Recordset 聲明將來就對象Public Sub SJK(db) 連接數(shù)據(jù)庫過程db.ConnectionString = DRIVER=Microsoft Access Driver (*.mdb);dbQ= & App.Path & A.mdbdb.OpenEnd Sub由于是在模塊中聲明和創(chuàng)建過程的，因此這些聲明的變量和過程是程序共享

37、的，也就是在程序的所有界面均可以調(diào)用變量和 SJK 過程。三、 用戶登錄界面的設計：添加一個窗體，修改窗體的名稱為“登錄”，修改窗體的 Caption 屬性為“用戶登錄”，修改 Width 屬性為8550，修改 Height 屬性為5130，修改 StartUpPosition 屬性為 2-屏幕中心，修改 MaxButton 屬性為 Fales，最后將圖片添加到 Picture 屬性中，好了窗體屬性基本設置完成，下面在窗體添加一下需要的控件。在左邊的工具欄選擇添加二個TextBox 控件，分別是Text1和Text2，添加二個CommandButton 控件，分別是Command1和Comma

38、nd2，添加4個Label控件，分別是Label1(0)、Label1(1)、Label1(2)、Label1(3）。四、窗體代碼窗口的有關代碼清單Dim strSQL As String 定義一個字符串變量Private Sub Command1_Click()If Text1.Text = Then MsgBox 用戶名不能為空！ 請輸入用戶名！, 16, 錯誤！ Exit SubEnd IfIf Text2.Text = Then MsgBox 用戶密碼不能為空！請輸入用戶密碼！, 16, 錯誤！ Exit SubEnd IfCall SJK(db) 調(diào)用數(shù)據(jù)庫連接strSQL = Se

39、lect * form A1 where MC= & Text1.Text & 數(shù)據(jù)表連接字符串RS.Open strSQL, db, 2, 2 打開數(shù)據(jù)表If RS.EOF = True Then 用戶名錯誤 MsgBox 沒有這個用戶！請檢查后重新輸入！, 16, 錯誤！ RS.Close Set RS = Nothing db.Close Set db = Nothing Exit SubElse If Not RS!MM = Text2.Text Then 用戶密碼錯誤 MsgBox 用戶密碼錯誤！請檢查后重新輸入！, 16, 錯誤！ RS.Close Set RS = Nothing

40、 db.Close Set db = Nothing Exit Sub Else 登錄成功 如果有必要，在這里可以添加系統(tǒng)共有變量存儲登錄人的一些信息 Unload Me 關閉登錄窗口 某某系統(tǒng)主頁面.Show 轉(zhuǎn)到用戶進入的界面 End IfEnd If RS.Close Set RS = Nothing db.Close Set db = NothingEnd SubPrivate Sub Command2_Click()End 退出系統(tǒng)End SubPrivate Sub Form_Load()For I = 0 To 3Label1(I).BackStyle = 0 使標簽透明Next

41、 I4.2.2 策略路由的設置系統(tǒng)構建完成之后，安全性是必須考慮的問題，保證安全性首先是訪問權限，分為兩部分。其一是文件權限，即普通文件存取權限r(nóng)WX。一旦掛載完成，文件附著的用戶權限和組權限接管存取權限。其二是掛載權限，它主要針對試圖連接到NFS服務器的客戶機，由文件etcexports保證安全性。該文件列出允許訪問共享目錄的的主機名或者IP地址，如果客戶機的ip地址和列表中的匹配，則該客戶機獲得掛載權12。當然，這不可能非常安全。如果用戶有能力假冒可信任的地址的話，那么他們也可以容易的掛載共享目錄。所以管理員要定義文件共享安全策略，要進行4部分的設置。步驟如下：步驟1：用戶分普通用戶和根用

42、戶為兩種用戶權限。而用戶權限是要與系統(tǒng)文件的屬性聯(lián)系在一起。此屬性可以向用戶提供對文件和目錄的讀、寫，執(zhí)行的權限檢查和訪問控制。普通用戶，他們只能修改自己的進程或者文件，同時被禁止硬件和大部分網(wǎng)絡配置的訪問權。而根用戶就可以對所有進程和文件進行修改，對硬件和網(wǎng)絡的訪問也沒有任何限制，如果濫用根用戶的話，將帶來非常嚴重的安全威脅。在實際的系統(tǒng)中，對于不同目錄，賦予不同的屬性策略，從而得到不同的存取屬性。屬性策略設置步驟為，首先要新建三個目錄，rAndw(可讀寫的目錄)、aonly（只允許添加的目錄）、immut(不可寫目錄)。然后使用chattr命令添加目錄相應的屬性。以下是幾個重要文件屬性如表

43、4-3所示。表4-3 重要文件屬性 參數(shù) 全稱 介紹 A atime 禁止系統(tǒng)更新文件的訪問時間 S Snye 應用程序?qū)懭霑r不緩存，立刻刷新寫入磁盤 系統(tǒng)只允許打開文件添加內(nèi)容而不允許任何進程 a append-only 覆蓋或者刪除文件內(nèi)容。若為目錄，則只允許進 程創(chuàng)建或修改文件而不允許刪除。 I immutable 系統(tǒng)不允許對任何文件的修改。若為目錄進程能 修改目錄中已經(jīng)存在的文件。 U undelet 當應用程序刪除一個文件時，系統(tǒng)自動保存文件， 使得允許以后可以執(zhí)行undelet來恢復文件。設置目錄的擴展屬性只實現(xiàn)了一半的安全，如果是根用戶的話仍然可以除去EA位從而獲得訪問和修改權

44、。目前有些版本的內(nèi)核里，出現(xiàn)了一種新的具有彈性的內(nèi)核控制的系統(tǒng)，它可以對EA的設置提供完全的保護。我們可以通過在系統(tǒng)啟動階段對內(nèi)核可以進行的操作進行限制。這種機制把系統(tǒng)權限分成可以賦予和去除的邏輯組，允許系統(tǒng)管理員調(diào)整進程可以進行的操作，減少系統(tǒng)的安全威脅。一般的，標準庫文件目錄中的capabilityh中定義了系統(tǒng)能力集的列表。如表4-4所示。表4-4 系統(tǒng)能力集 名稱 偏移 意義 CAP_CHOWN 0 允許更改文件屬性 CAP_FSETID 4 允許設置setuid位 CAP_SETGID 6 允許改變組ID CAP_SETUID 7 允許改變用戶ID CAP_LINUX_IMMUTAB

45、LE 9 允許修改文件的i和a屬性 CAP_SYS_RAWIO 17 允許對ioperm/iopl的訪問 CAP_SYS_CHROOT 18 允許使用chroot（）系統(tǒng)調(diào)用正是這個內(nèi)核能力集限定了當然內(nèi)核所有可以進行的操作。直接編輯這個文件相當復雜，lcap(Linuxkernelcapabilitiesboundingseteditor)提供了另外的方法，它是一個專門編輯內(nèi)核能力集的工具。在安裝lcnp包之后，我們執(zhí)行#lcap，得到如下輸出：0)*CAP_CHOWN. 1)*CAP_DAC_OVERRIDE.2)*CAP_DAC_READ_SEARCH. 3)*CAP_FOWNER.4)

46、*CAP_FSETID. 5)*CAP_KILL.6)*CAP_SETGID. 7)*CAP_SETUID.8)*CAP_SETPCAP. 9)*CAP_LINUX_IMMUTABLE.10)*CAP_NET_BIND_SERVICE. 11)*CAP_NET_BROADCAST.系統(tǒng)共享目錄的屬性配置完成之后，執(zhí)行以下指令來禁止對immutable和rawio做修改。如圖4-1所示。rootlocalhost#lcap CAP_LINUX_IMMUTABLErootlocalhost#lcap CAP_SYS_RAWIO圖4-1 執(zhí)行指令前兩部分考慮文件權限。這一部分考慮掛載權限，由于文件系

47、統(tǒng)的安全性很大程度上取決于NFS的安全性，因此，加強NFS的安全性非常重要如何加強的安全性。但是有些系統(tǒng)目前開發(fā)出了一套新的文件系統(tǒng)權限管理方法，叫文件訪問控制列表。簡單來說，ACL就是可以設置特定用戶或者用戶組對于一個文件的操作權限。ACL有兩種，一種是存取ACL(accessACLs)，針對文件和目錄設置訪問控制列表。一種是默認ACL(defaultACLs)，只能針對目錄設置。如果目錄中的文件沒有設置ACL，它就會使用該目錄的默認ACL。例如，我們希望安全策略1中創(chuàng)建的目錄nmtnfsrAndw可以讀寫。但nfs客戶掛載該文件之后，映射為nobody用戶(稍后解釋)，明顯的nobody用

48、戶是不能讀寫這個目錄的，所以我們需要使用setfacl指令修改目錄的ACL。Setfacl指令如圖4-2所示。rootlocalhost#setfacl-m u:noboday：rw/mnt/nfs/rAndw圖4-2 Setfacl指令在此之前，需要給ext3文件系統(tǒng)添加ACL支持。在etcfstab(dom0和domU中都需要)中根文件系統(tǒng)屬性中添加acl并重啟。這樣，在使用1l查看文件屬性的時候，可以看到文件屬性列后面多了一個加號，這樣就單獨給nobody用戶添加了對rAndw目錄的讀寫權限。查看varlibnfsetab，確定ACL是否已經(jīng)開啟。rootlocalhost nfs# m

49、ore/var/lib/nfs/etab/mnt/loop 192.168.0(rw,ayne,wdelay,hide,nocrossmnt,secure,root_squash,no_all_squash,shbree_check,secure-locks,acl,mapping=identity=-2,anongid=-2)/mnt/loop (ro,sync,wdelay,hide,nocrossmnt,secure,root_squash,no_all_squash,a.subtree_check,secure_locks,acl,mapping=identity.Anonuid=-2

50、,anonaid=-2)NFS的服務器端有三個重要的文件，需要對這三個文件修改以進行訪問控制。這三個文件如圖4-3所示。/etc/exports /etc/hosts.allow /etc/hosts.deny圖4-3 服務器端口文件首先重新編輯dom0的etcexports，給虛擬機內(nèi)網(wǎng)用戶讀寫權限，其他用戶只讀權限。編輯程序如圖4-4所示。 rootlocalhost# echo/mnt/share192.168.0.0/255.255.255.0(rw,sync) *(ro)/etc/exports圖4-4 編輯程序然后編輯etchostsallow和etchostsdenyNFS對這兩

51、個文件的檢查規(guī)則如下，首先檢查etchosts&llow，符合規(guī)則的允許通過，然后檢查hostsdeny，符合規(guī)則的禁止，最后沒有在條目中出現(xiàn)的均允許通過。出于安全性考慮，應該限制對提供NFS服務的守護進程的訪問權限。如圖4-5所示。rootlocalhost# catEOF Portmap:ALL Lockd:ALL Rquotad:ALL Statd:ALL EOF rootlocalhost# catEOF Portmap:192.168.0.0/255.255.255.0 Lockd:192.168.0.0/255.255.255.0 Mountd:192.168.0.0/255.25

52、5.266.0.0 Rquotad:192.168.0.0/255.255.255.0 Statd:192.168.0.0/255.255.255.0 圖4-5 限制訪問權限代碼 在dom0上，刷新NFS服務器規(guī)則，如圖4-6所示。rootlocalhost#exportfs_rv 圖4-6 刷新NFS服務器規(guī)則 在domU上，編輯/etc/fstab和/etc/rc.d/rc.local。如圖4-7所示。 rootfc5pristine# eocho192.168.0.2:/mnt/share/mnt/sen nfs rsize=8192,wsize=8192,timeo=14,intr,n

53、osuid,noexecetc/fstab rootfc5_pristine#echomount/mnt/sen/etc/rc.d/rc.local圖4-7 編輯代碼其中，mntsen為XenU上存放敏感文件的目錄。intr參數(shù)允許在服務器無響應時中斷系統(tǒng)調(diào)用，nosuid參數(shù)禁止任何setuid的程序執(zhí)行，例如不允許客戶端執(zhí)行sodo操作，noexec參數(shù)表明客戶端沒有執(zhí)行權限。將掛載指令加入到re10cal中以實現(xiàn)自動掛載。對于一個授權用戶來講，所有的敏感信息都是可見的。在大部分機密的環(huán)境中，由于內(nèi)部網(wǎng)絡和外部網(wǎng)絡的隔離以及防火墻的過濾，通過網(wǎng)絡進行敏感文件的竊取已經(jīng)非常少，但授權用戶本身

54、的USB口卻容易造成信息的泄露。當然，可以通過禁用USB口來達到安全性，許多銀行正是這種做法，然后在USB設備普及的今天，這種方式必然會給正常的工作帶來很多的不便。SFS的做法是在訪問敏感文件的時候禁止USB設備，而在其他時問可以允許USB設備的使用，但這時敏感文件又是不可見的。例如，在訪問敏感文件時，執(zhí)行如下腳本。如圖4-8所示。 rootlocalhost# more/etc/access.start mount nfs xm save 11.sav rmmod usb_uhci圖4-8 執(zhí)行腳本 rootlocalhost# more/etc/access.over insmod usb

55、_uhci xm restore 1.sav umount nfs然后可以在NFS掛載分區(qū)上進行需要的操作，但此時訪問USB接口是不可以的，而作為DomU本身并沒有權限來進行驅(qū)動級的操作。訪問完畢，執(zhí)行如下腳本，如圖4-9所示。圖4-9 執(zhí)行腳本 具體訪問過程如下:1、掛載NFS服務器上的敏感文件到本地目錄。2、Xen0備份當前客戶機xenU狀態(tài)，后兩個參數(shù)分別是VMID和備份文件。3、XenO卸載usb驅(qū)動模塊。4、授權用戶讀寫更新敏感文件，此時usb設備不可用。5、訪問完畢，Xen0加載usb設備。6、Xen0恢復客戶機xenU訪問敏感文件前的狀態(tài)。7、卸載NFS服務器。至此，整個系統(tǒng)搭建

56、完畢。 4.3 監(jiān)控中心模塊功能實現(xiàn)設置好安全策略后，將這些策略發(fā)送到監(jiān)控中心，監(jiān)控中心將管理員配置的策略存儲下來，以便下次進行文件共享時對其進行監(jiān)控，與此同時監(jiān)控中心將管理員定義的安全策略分發(fā)到終端主控程序，而主控程序?qū)⑦M行相關的操作。在監(jiān)控中心將策略分發(fā)給終端之前，要先取得終端的安全策略，終端主控程序?qū)D等信號發(fā)送到監(jiān)控中心，監(jiān)控中心依據(jù)終端ID檢索到相應的策略信息發(fā)送給該終端，如果管理員尚未創(chuàng)建該用戶策略，則取默認策略，通常是禁止文件傳輸。而終端的ID是通過將用戶和其使用的主機綁定，當在主機上安裝終端監(jiān)控程序時，自動生成一個終端ID，用于標示使用該主機及其用戶，以后管理員通過GUI設置

57、的用戶策略與其用戶和終端ID聯(lián)系起來。而監(jiān)控中心還有一個重要的功能就是記錄各個終端的日志數(shù)據(jù)，并對日志數(shù)據(jù)進行統(tǒng)計分析、審計，產(chǎn)生各種報表，并將這些日志報表傳輸給GUI，管理員就可以清楚的看到當前整個局域網(wǎng)的工作狀態(tài)。4.4 NDIS模塊的功能實現(xiàn)4.4.1 NDIS的結(jié)構功能在監(jiān)控中心將策略分發(fā)給終端主控程序后，中間層驅(qū)動程序就可以依據(jù)取得的策略對數(shù)據(jù)包過濾。為了對局域網(wǎng)內(nèi)主機的P2P文件傳輸行為進行監(jiān)控，需要能夠截獲和過濾終端發(fā)送和接送的數(shù)據(jù)包，那是如何實現(xiàn)的呢。首先NDIS hook driver 是通過掛接NDIS中派發(fā)函數(shù)來實現(xiàn)數(shù)據(jù)報的攔截過濾。那NDIS是如何實現(xiàn)數(shù)據(jù)包的截獲與過濾的呢。NDIS中包括三部分的驅(qū)動程序，NDIS微端口驅(qū)動程序，NDIS中間層驅(qū)動程序，NDIS傳輸協(xié)議驅(qū)動程序。這三個部分分別實現(xiàn)自己的功能。NDIS的功能有兩個(1) 管理一個網(wǎng)絡接口卡 ，包括通過網(wǎng)絡接口卡發(fā)送接收數(shù)據(jù)。 (NIC) (2) 提供與高層驅(qū)動程序之間的接口