四川理工學(xué)院畢業(yè)設(shè)計(jì)（論文） 網(wǎng)絡(luò)安全監(jiān)控系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)學(xué) 生：學(xué) 號(hào)：專 業(yè)：電子信息科學(xué)與技術(shù)班 級(jí)：2008級(jí)02班指導(dǎo)教師： 四川理工學(xué)院自動(dòng)化與電子信息學(xué)院二O一二年六月趙平：網(wǎng)絡(luò)安全監(jiān)控系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)摘要目前基于網(wǎng)絡(luò)的安全問題日益突出，尤其是應(yīng)用廣泛的P2P文件共享還存在著很大的網(wǎng)絡(luò)安全問題，所以本文設(shè)計(jì)了P2P文件共享監(jiān)控系統(tǒng)。系統(tǒng)采用分布式防護(hù)的方法，由管理員集中定義安全策略，但安全策略的實(shí)施位于各個(gè)終端之上。該監(jiān)控系統(tǒng)實(shí)現(xiàn)了對(duì)文件共享的實(shí)時(shí)監(jiān)控，在文件共享時(shí)一旦有非法操作就會(huì)向管理員發(fā)出相應(yīng)的警報(bào)。解決了P2P文件共享的安全問題。與現(xiàn)有監(jiān)控手段相比，避免了可能造成的性能瓶頸，具有更好的可擴(kuò)展性，能實(shí)現(xiàn)更細(xì)的策略控制力度。關(guān)鍵詞：點(diǎn)對(duì)點(diǎn)；安全監(jiān)控；安全策略 ABSTRACTNetwork-based security issues have become increasingly prominent, this article focused on a particular aspect of network management issues, file sharing, which is currently widely used in social file-sharing technology there are significant safety issues. Designed a P2P file-sharing monitoring system. The system uses a distributed protection by the administrator to centrally define security policy, security policy implementation is located in each terminal. That the monitoring system to achieve real-time monitoring of file sharing, file sharing, illegal operation and will receive a corresponding alert to the administrator. Solve the security issues of P2P file sharing. Compared with the existing monitoring tools, to avoid performance bottlenecks may be caused, and has better scalability, to achieve finer policy control efforts.Key words: peer-to-peer(P2P); security monitor ; Security policyI目錄摘要IABSTRACTII第一章引言11.1 系統(tǒng)開發(fā)背景11.2 國內(nèi)外研究現(xiàn)狀11.3系統(tǒng)需求11.4 設(shè)計(jì)主要內(nèi)容2第二章 系統(tǒng)相關(guān)介紹32.1 P2P的介紹32.1.1 P2P的定義32.1.2 P2P存在的安全缺陷32.2 文件路由42.3 策略路由42.3.1 策略路由概念42.3.2 路由的實(shí)現(xiàn)原理52.3.3 Route-map原理與執(zhí)行62.4 策略路由配置模擬軟件Boson Netsim72.5 NDIS8第三章 總體設(shè)計(jì)93.1 監(jiān)控系統(tǒng)功能93.2 監(jiān)控系統(tǒng)模塊93.3 系統(tǒng)工作流程103.4 每塊模塊的作用113.4.1 GUI113.4.2 監(jiān)控中心113.4.3 終端主控程序113.4.4 NDIS12第四章 詳細(xì)設(shè)計(jì)134.1 設(shè)計(jì)流程134.2 GUI模塊的生成與功能實(shí)現(xiàn)134.2.1 用戶注冊(cè)信息模塊的設(shè)置134.2.2 策略路由的設(shè)置164.3 監(jiān)控中心模塊功能實(shí)現(xiàn)224.4 NDIS模塊的功能實(shí)現(xiàn)224.4.1 NDIS的結(jié)構(gòu)功能224.4.2 數(shù)據(jù)包過濾與截獲的具體步驟234.5 日志和審計(jì)294.6 非法文件下載報(bào)警34第五章 系統(tǒng)測試355.1 部門登錄測試355.2 終端監(jiān)控測試365.3 日志和審計(jì)測試365.4 非法文件報(bào)警測試37第六章 結(jié)束語38致謝39參考文獻(xiàn)40附錄 系統(tǒng)代碼41 趙平：網(wǎng)絡(luò)安全監(jiān)控系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)第一章 引言1.1 系統(tǒng)開發(fā)背景網(wǎng)絡(luò)給我們帶來了許多方便，我們可以用文件共享輕輕松松的與其他人分享文件，文件共享是指主動(dòng)地在網(wǎng)絡(luò)上（互聯(lián)網(wǎng)或小的網(wǎng)絡(luò)）共享自己的計(jì)算機(jī)文件。一般文件共享使用P2P模式，P2P就是人可以直接連接到其他用戶的計(jì)算機(jī)、交換文件，而不是像過去那樣連接到服務(wù)器去瀏覽與下載；它改變互聯(lián)網(wǎng)現(xiàn)在的以大網(wǎng)站為中心的狀態(tài)、重返“非中心化”，并把權(quán)力交還給用戶。文件本身存在用戶本人的個(gè)人電腦上。大多數(shù)參加文件共享的人也同時(shí)下載其他用戶提供的共享文件。目前文件共享監(jiān)控系統(tǒng)具有如下特點(diǎn)：1、具有較高的安全性，管理員能實(shí)時(shí)的了解各個(gè)用戶的當(dāng)前操作。2、具有較高的效率，管理員能及時(shí)發(fā)現(xiàn)系統(tǒng)報(bào)警提示，做出相關(guān)處理。1.2 國內(nèi)外研究現(xiàn)狀P2P技術(shù)目前是互聯(lián)網(wǎng)文件共享中廣泛采用的一種方式。在早期的IRC聊天系統(tǒng)中，就有一些客戶端允許用戶間點(diǎn)對(duì)點(diǎn)地傳輸文件。而當(dāng)時(shí)的FTP便可以認(rèn)為是一種傳統(tǒng)的“服務(wù)器-客戶端”模式的文件傳輸方式。顯而易見的是，P2P相對(duì)于傳統(tǒng)模式，有著分?jǐn)値?，?jié)約服務(wù)器成本的巨大優(yōu)勢。P2P直接將人們聯(lián)系起來，讓人們通過互聯(lián)網(wǎng)直接交互。P2P使得網(wǎng)絡(luò)上的溝通變得容易、更直接共享和交互，真正地消除中間商。P2P就是人可以直接連接到其他用戶的計(jì)算機(jī)、交換文件，而不是像過去那樣連接到服務(wù)器去瀏覽與下載。P2P另一個(gè)重要特點(diǎn)是改變互聯(lián)網(wǎng)現(xiàn)在的以大網(wǎng)站為中心的狀態(tài)、重返非中心化，并把權(quán)力交還給用戶1。1.3系統(tǒng)需求指標(biāo)體系通常是一個(gè)多指標(biāo)、層次化的結(jié)構(gòu)，能夠由表及里、深入清晰的表述讀者滿意度測評(píng)指標(biāo)體系的內(nèi)涵。每一層次的測評(píng)指標(biāo)都是由上一層測評(píng)指標(biāo)展開的，而上一層次的測評(píng)指標(biāo)體系則是通過下一層的測評(píng)指標(biāo)的測評(píng)結(jié)果反映出來的。1.4 設(shè)計(jì)主要內(nèi)容此次P2P文件共享監(jiān)控系統(tǒng)針對(duì)P2P文件共享帶來的安全問題，監(jiān)控系統(tǒng)實(shí)現(xiàn)的主要功能如下所示:(1)對(duì)主機(jī)所在局域網(wǎng)內(nèi)的各個(gè)主機(jī)上的文件共享進(jìn)行一定的監(jiān)控。當(dāng)有文件進(jìn)行傳輸時(shí)，根據(jù)管理員自己定義的具體安全策略做出相應(yīng)的操作，如允許或拒絕傳輸。(2)文件安全策略是由該局域網(wǎng)的管理員進(jìn)行集中定義，但進(jìn)行具體操作時(shí)是要分配到各個(gè)主機(jī)監(jiān)控終端執(zhí)行。系統(tǒng)的防范不僅僅依賴于網(wǎng)絡(luò)邊界單個(gè)檢查點(diǎn)，消除了網(wǎng)絡(luò)性能的瓶頸，容易實(shí)施針對(duì)特價(jià)協(xié)議的包過濾，實(shí)現(xiàn)對(duì)特定應(yīng)用程序的安全策略。(3)對(duì)文件的傳輸行為提供日志和審計(jì)功能，系統(tǒng)記錄下安全日志，于此同時(shí)也可以對(duì)日志進(jìn)行查詢統(tǒng)計(jì)，生成報(bào)表有助于管理員的審計(jì)。 1 趙平：網(wǎng)絡(luò)安全監(jiān)控系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)第二章 系統(tǒng)相關(guān)介紹2.1 P2P的介紹因?yàn)楸疚闹饕槍?duì)的是P2P文件共享的監(jiān)控，所以我們應(yīng)該首先來了解什么叫P2P，以及為什么要設(shè)置監(jiān)控系統(tǒng)來對(duì)其進(jìn)行一定的監(jiān)控，它所存在的問題是什么。2.1.1 P2P的定義對(duì)等網(wǎng)絡(luò);端到端以非集中方式使用分布式資源來完成關(guān)鍵任務(wù)的一類系統(tǒng)和應(yīng)用資源包括計(jì)算能力、數(shù)據(jù)（存儲(chǔ)和內(nèi)容）、網(wǎng)絡(luò)帶寬和場景（計(jì)算機(jī)、人和其它資源）關(guān)鍵任務(wù)可能是分布式計(jì)算、數(shù)據(jù)/內(nèi)容共享，通信和協(xié)同、或平臺(tái)服務(wù)典型位置：因特網(wǎng)邊界或ad-hoc網(wǎng)內(nèi)巨大的擴(kuò)展力通過低成本交互來聚合資源，導(dǎo)致整體大于部分之和。低成本的所有權(quán)和共享使用現(xiàn)存的基礎(chǔ)設(shè)施、削減和分布成本匿名和隱私允許對(duì)等端在其數(shù)據(jù)和資源上很大的自治控制2。2.1.2 P2P存在的安全缺陷P2P網(wǎng)絡(luò)采用的分布式結(jié)構(gòu)在擴(kuò)展性和靈活性的同時(shí)，也使它面臨著巨大的安全挑戰(zhàn)：它需要在沒有中心節(jié)點(diǎn)的情況下，提供身份驗(yàn)證，授權(quán)，數(shù)據(jù)信息的安全傳輸，數(shù)字簽名，加密等機(jī)構(gòu)。但目前的P2P技術(shù)距離實(shí)現(xiàn)這一目標(biāo)尚有一定的距離，它本身存在的一些安全缺陷阻礙其得到進(jìn)一步應(yīng)用。下面介紹一些主要的P2P安全缺陷。（1）一個(gè)惡意的服務(wù)器可以接受主服務(wù)器的文檔副本，然后向用戶發(fā)送修改過的信息。它還可以在接受了主服務(wù)器的副本后拒絕服務(wù)，造成“服務(wù)否認(rèn)”。更為隱患的攻擊是不分配給副本足夠的資源。（2）現(xiàn)行的大多數(shù)P2P系統(tǒng)并沒有在節(jié)點(diǎn)間建立信任關(guān)系，只是采用一定的機(jī)制防范惡意行為。例如，有的方案并不阻止一個(gè)節(jié)點(diǎn)共享一個(gè)其內(nèi)容與其描述并不匹配的文件，用戶必須自己解決因下載其他節(jié)點(diǎn)的文件帶來的不安全因素。（3）在獲取資源的時(shí)候我們首先需要保證所下載的資源正是我們需要的資源在最好的情況下，我們還要確定所下載的資源只包含有符合需求的文件，也就是說沒有其他不需要或是不希望有的垃圾文件。但是在目前已實(shí)現(xiàn)的P2P系統(tǒng)中，不存在中心服務(wù)器提供的基于內(nèi)容的鑒別，資源共享嚴(yán)重依賴于資源提供者和需求者之間的相互信任，事實(shí)上只能保證所請(qǐng)求資源的標(biāo)志與希望的標(biāo)志一致。這也使的一些垃圾文件偽裝成正常文件進(jìn)行傳播。2.2 文件路由每個(gè)網(wǎng)上Peer分配一個(gè)隨機(jī)ID,并知道其他Peers的給定號(hào)碼當(dāng)共享文件發(fā)布到系統(tǒng)上時(shí),根據(jù)文件名字和內(nèi)容Hash成為ID，每個(gè)Peer將根據(jù)該ID向該文件路由，該過程重復(fù)執(zhí)行,直到最近的PeerID是現(xiàn)行Peer的ID（形成環(huán)路）每個(gè)路由操作還保持文件副本在本地。當(dāng)Peer請(qǐng)求某文件時(shí),該請(qǐng)求將用該文件的ID到達(dá)Peer,過程重復(fù)直到發(fā)現(xiàn)文件副本,最終文件下載到請(qǐng)求源端。2.3 策略路由2.3.1 策略路由概念所謂策略路由，顧名思義，即是根據(jù)一定的策略進(jìn)行報(bào)文轉(zhuǎn)發(fā)，因此策略路由是一種比目的路由更靈活的路由機(jī)制。在路由器轉(zhuǎn)發(fā)一個(gè)數(shù)據(jù)報(bào)文時(shí)，首先根據(jù)配置的規(guī)則對(duì)報(bào)文進(jìn)行過濾，匹配成功則按照一定的轉(zhuǎn)發(fā)策略進(jìn)行報(bào)文轉(zhuǎn)發(fā)。這種規(guī)則可以是基于標(biāo)準(zhǔn)和擴(kuò)展訪問控制列表，也可以基于報(bào)文的長度；而轉(zhuǎn)發(fā)策略則是控制報(bào)文按照指定的策略路由表進(jìn)行轉(zhuǎn)發(fā)，也可以修改報(bào)文的IP優(yōu)先字段。因此，策略路由是對(duì)傳統(tǒng)IP路由機(jī)制的有效增強(qiáng)。策略路由能滿足基于源IP地址、目的IP址、協(xié)議字段，甚至于TCP、UDP的源、目的端口等多種組合進(jìn)行選路。簡單點(diǎn)來說，只要IP standard/extended ACL 能設(shè)置的，都可以做為策略路由的匹配規(guī)則進(jìn)行轉(zhuǎn)發(fā)。策略路由（Policy Route）是指在決定一個(gè)IP包的下一跳轉(zhuǎn)發(fā)地址或是下一跳缺省IP地址時(shí)，不是簡單的根據(jù)目的IP地址決定，而是綜合考慮多種因素來決定。如可以根據(jù)DSCP字段、源和目的端口號(hào)，源IP地址等來為數(shù)據(jù)包選擇路徑。策略路由可以在一定程度上實(shí)現(xiàn)流量工程，使不同服務(wù)質(zhì)量的流或者不同性質(zhì)的數(shù)據(jù)（語音、FTP）走不同的路徑。基于策略的路由為網(wǎng)絡(luò)管理者提供了比傳統(tǒng)路由協(xié)議對(duì)報(bào)文的轉(zhuǎn)發(fā)和存儲(chǔ)更強(qiáng)的控制能力。傳統(tǒng)上，路由器用從路由協(xié)議派生出來的路由表，根據(jù)目的地址進(jìn)行報(bào)文的轉(zhuǎn)發(fā)?；诓呗缘穆酚杀葌鹘y(tǒng)路由能力更強(qiáng)，使用更靈活，它使網(wǎng)絡(luò)管理者不僅能夠根據(jù)目的地址而且能夠根據(jù)協(xié)議類型、報(bào)文大小、應(yīng)用或IP源地址來選擇轉(zhuǎn)發(fā)路徑。策略可以定義為通過多路由器的負(fù)載平衡或根據(jù)總流量在各線上進(jìn)行報(bào)文轉(zhuǎn)發(fā)的服務(wù)質(zhì)量。2.3.2 路由的實(shí)現(xiàn)原理入口數(shù)據(jù)包首先來介紹策略路由的流程，如圖2-1所示。策略路由策略路由？有匹配條目？Permit Yes Yes Yes 正常路由（基本目標(biāo)）圖2-1 策略路由流程使用Route-map來配置策略路由的流程，策略路由只對(duì)入口數(shù)據(jù)包有效。應(yīng)用策略路由，必須要指定策略路由使用的路由映射，并且要?jiǎng)?chuàng)建路由映射。一個(gè)路由映射由很多條策略組成，每個(gè)策略都定義了1個(gè)或多個(gè)的匹配規(guī)則和對(duì)應(yīng)操作。一個(gè)接口應(yīng)用策略路由后，將對(duì)該接口接收到的所有包進(jìn)行檢查，不符合路由映射任何策略的數(shù)據(jù)包將按照通常的路由轉(zhuǎn)發(fā)進(jìn)行處理，符合路由映射中某個(gè)策略的數(shù)據(jù)包就按照該策略中定義的操作進(jìn)行處理。策略路由對(duì)報(bào)文的發(fā)送接口、下一跳的配置是基于多轉(zhuǎn)發(fā)表實(shí)現(xiàn)的。策略路由的處理流程包括流模式和逐包模式，下面分別介紹流模式與逐包模式。流模式，第一個(gè)包查路由轉(zhuǎn)發(fā)表，如果存在路由，將該路由項(xiàng)以source、dest、tos、入接口等索引放置到cache中，以后同樣的流就可以直接查cache。對(duì)于低端路由器，所有操作由CPU內(nèi)存處理，對(duì)于中高端設(shè)備，一般由NP和Asic芯片完成處理。逐包模式，每個(gè)包都進(jìn)行查表后才進(jìn)行轉(zhuǎn)發(fā)。路由器流模式及逐包模式切換命令分別如下：ip route-cache policy 開啟快速交換策略路由就是流模式no ip route-cache policy 關(guān)閉該功能就是逐包模式2.3.3 Route-map原理與執(zhí)行route-map是由一組match字句和set字句構(gòu)成，他實(shí)際上是訪問控制列表的一個(gè)超集。當(dāng)需做策略路由的報(bào)文匹配route-map中的match字句定義的規(guī)則時(shí)，將按照set字句的配置決定該報(bào)文的路由方式，包括設(shè)置報(bào)文的優(yōu)先權(quán)字段，設(shè)置報(bào)文的下一跳，設(shè)置報(bào)文的發(fā)送接口3。什么叫做Routemap,類似于復(fù)雜的Access-list自頂向下地處理，一旦有一條匹配，則立刻結(jié)束route-map查找，Route-map每個(gè)條目都被賦予編號(hào)，可以任意地插入或刪除條目。當(dāng)使用策略路由時(shí)，首先定義重分布路由映射，一個(gè)路由映射可以由很多策略組成，策略按序號(hào)大小排列，只要符合了前面策略，就退出路由映射的執(zhí)行。 由于路由映射中每個(gè)策略都有其編號(hào)，故可以方便的插入或刪除。Route-map的執(zhí)行語句如下：route-map test permit 10match x y zmatch aset bset croute-map test permit 20match qset rdeny all(系統(tǒng)隱含)If (x or y or z) and athen set (b and c)else if qthen set relse set nothingroute-map-name給路由圖定義一個(gè)便于記憶的名字。redistribute 路由進(jìn)程配置命令是通過該名字引用路由圖的。一個(gè)路由圖可以定義多個(gè)路由圖策略，一個(gè)路由圖策略對(duì)應(yīng)一個(gè)序號(hào)。總共有兩個(gè)序號(hào)，分別為permit、deny，下面一一介紹。如果定義了permit關(guān)鍵字，又符合match定義的匹配規(guī)則。則set命令對(duì)重分布路由進(jìn)行控制；對(duì)于策略路由，set命令將對(duì)數(shù)據(jù)包轉(zhuǎn)發(fā)進(jìn)行控制。并退出路由圖的操作。如果定義了permit關(guān)鍵字，而不符合match定義的匹配規(guī)則。則將進(jìn)入第二個(gè)路由圖策略進(jìn)行操作。直到最終執(zhí)行了set命令。如果定義了deny關(guān)鍵字，又符合match定義的匹配規(guī)則。則不會(huì)執(zhí)行任何操作，該路由圖策略不允許進(jìn)行路由重分布或策略路由，而且退出路由圖操作。如果定義了deny關(guān)鍵字，而不符合match定義的匹配規(guī)則。則將進(jìn)入下一個(gè)路由圖策略進(jìn)行操作。直到最終執(zhí)行了set命令。 2.4 策略路由配置模擬軟件Boson NetsimBoson NetSim有兩個(gè)組成部分：Boson Network Designer（實(shí)驗(yàn)拓?fù)鋱D設(shè)計(jì)軟件）和Boson NetSim（實(shí)驗(yàn)環(huán)境模擬器）。Boson NetSim安裝結(jié)束以后，在桌面上會(huì)產(chǎn)成兩個(gè)圖標(biāo)：Boson Network Designer和Boson NetSim。其中Boson Network Designer用來繪制網(wǎng)絡(luò)拓?fù)鋱D，Network Designer可讓用戶構(gòu)建自己的網(wǎng)絡(luò)結(jié)構(gòu)或在實(shí)驗(yàn)中查看網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。我們就是通過這個(gè)組件搭建自己的免費(fèi)實(shí)驗(yàn)室的。Boson NetSim用來進(jìn)行設(shè)備配置練習(xí)，是最重要的組件，用戶可以選擇網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)中不同的路由、交換設(shè)備并進(jìn)行配置，也就是說輸入指令、切換設(shè)備都是在Control Panel中進(jìn)行。全部的配置命令均在這個(gè)組件中輸入。Boson Netsim是一款Cisco路由器，交換機(jī)模擬程序。它的出現(xiàn)給那些正在準(zhǔn)備CCNA,CCNP考試卻苦于沒有實(shí)驗(yàn)設(shè)備，實(shí)驗(yàn)環(huán)境的備考者提供了實(shí)踐聯(lián)的有力環(huán)境。Boson算得上是目前最流行的，操作最接近真實(shí)環(huán)境的模擬工具?？梢院敛豢鋸埖卣f，它就是真實(shí)設(shè)備的縮影。與真實(shí)實(shí)驗(yàn)相比，使用它省去了我們制作網(wǎng)線連接設(shè)備，頻繁變換CONSOLE線，不停地往返于設(shè)備之間的環(huán)節(jié)。同時(shí)，它的命令也和最新的Cisco的IOS保持一致，它可以模擬出Cisco的中端產(chǎn)品35系列交換機(jī)和45系列路由器。它還具備一項(xiàng)非常強(qiáng)大的功能，那就是自定義網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)及連接。通過Boson我們可以隨意構(gòu)建網(wǎng)絡(luò)，PC、交換機(jī)、路由器都可被模擬出來，而且它還能模擬出多種連接方式(如PSTN、ISDN、PPP等)。2.5 NDISNDIS是基于X86平臺(tái)操作系統(tǒng)網(wǎng)卡驅(qū)動(dòng)程序必須遵守的設(shè)計(jì)框架。他將NDIS驅(qū)動(dòng)程序中的一些公用代碼提取出來，使NDIS驅(qū)動(dòng)程序只需要利用和硬件有關(guān)的少量代碼。Transport driverProtocol XxxMediaxNDISNDIS中間層驅(qū)動(dòng)介于協(xié)議層與小端口層之間，IMD對(duì)上面的協(xié)議層表現(xiàn)了一個(gè)模擬的微端口網(wǎng)卡結(jié)構(gòu)，而對(duì)于下面的網(wǎng)卡則表現(xiàn)為一個(gè)協(xié)議層的結(jié)構(gòu)，他能截獲所有的網(wǎng)絡(luò)數(shù)據(jù)包。NDIS中間層驅(qū)動(dòng)應(yīng)用廣泛，除了對(duì)數(shù)據(jù)包攔截與過濾外，還可以實(shí)現(xiàn)VPN、NAT.PPPoe.以及網(wǎng)絡(luò)負(fù)載均衡等。因此，研究NDIS中間驅(qū)動(dòng)程序的實(shí)現(xiàn)很有意義。NDIS中間層驅(qū)動(dòng)程序位于網(wǎng)卡驅(qū)動(dòng)與協(xié)議驅(qū)動(dòng)之間，同時(shí)具有MINIport和PROTOCOL兩種驅(qū)動(dòng)程序接口。因此他在驅(qū)動(dòng)層結(jié)構(gòu)的中間層。它既與上層協(xié)議驅(qū)動(dòng)程序通行又與下層端口驅(qū)動(dòng)程序通信。上層協(xié)議驅(qū)動(dòng)程序是通過NDIS調(diào)用函數(shù)進(jìn)行通信。而對(duì)于下層驅(qū)動(dòng)程序，中間驅(qū)動(dòng)程序就像是一個(gè)協(xié)議驅(qū)動(dòng)程序。下圖就描述了這種NDIS分層結(jié)構(gòu)。NDIS包括三個(gè)部分，NDIS中間層驅(qū)動(dòng)，微端口網(wǎng)卡結(jié)構(gòu)，協(xié)議層的結(jié)構(gòu)，他們位于不同層次，實(shí)現(xiàn)不同的功能，但三者之間的關(guān)聯(lián)非常重要，整個(gè)模塊要三者協(xié)同工作才能完成，NDIS分層結(jié)構(gòu)如圖2-2所示4。Miniport XxxMediaxIntermediate driverProtocol XxxMediayMiniport XxxMediayNIC Driver圖2-2 NDIS分層結(jié)構(gòu)133 趙平：網(wǎng)絡(luò)安全監(jiān)控系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)第三章 總體設(shè)計(jì)3.1 監(jiān)控系統(tǒng)功能針對(duì)P2P文件共享帶來的安全問題，本文設(shè)計(jì)了P2P文件共享監(jiān)控系統(tǒng)。監(jiān)控系統(tǒng)實(shí)現(xiàn)的主要功能如下所示:(1)對(duì)主機(jī)所在局域網(wǎng)內(nèi)的各個(gè)主機(jī)上的文件共享進(jìn)行一定的監(jiān)控。當(dāng)有文件進(jìn)行傳輸時(shí)，根據(jù)管理員自己定義的具體安全策略做出相應(yīng)的操作，如允許或拒絕傳輸。(2)文件安全策略是由該局域網(wǎng)的管理員進(jìn)行集中定義，但進(jìn)行具體操作時(shí)是要分配到各個(gè)主機(jī)監(jiān)控終端執(zhí)行。系統(tǒng)的防范不僅僅依賴于網(wǎng)絡(luò)邊界單個(gè)檢查點(diǎn)，消除了網(wǎng)絡(luò)性能的瓶頸，容易實(shí)施針對(duì)特價(jià)協(xié)議的包過濾，實(shí)現(xiàn)對(duì)特定應(yīng)用程序的安全策略。(3)對(duì)文件的傳輸行為提供日志和審計(jì)功能，系統(tǒng)記錄下安全日志，于此同時(shí)也可以對(duì)日志進(jìn)行查詢統(tǒng)計(jì)，生成報(bào)表有助于管理員的審計(jì)。3.2 監(jiān)控系統(tǒng)模塊文件共享監(jiān)控系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)包括六塊子系統(tǒng)：(1)GUI（圖形用戶接口）(2)監(jiān)控中心(3)終端監(jiān)控程序(4)NDIS（驅(qū)動(dòng)中間層）(5)非法文件下載報(bào)警(6)非法文件共享報(bào)警以上六塊子模塊分別實(shí)現(xiàn)不同的功能，用戶在GUI中實(shí)現(xiàn)安全策略的設(shè)置，監(jiān)控中心將策略分發(fā)到各個(gè)終端，終端根據(jù)監(jiān)控中心發(fā)來的策略，執(zhí)行相關(guān)操作，然后將相關(guān)的數(shù)據(jù)在NDIS中進(jìn)行過濾和截獲。產(chǎn)生日志，最后再進(jìn)行日志審計(jì)，而日志記錄供管理員參考，對(duì)當(dāng)前網(wǎng)絡(luò)做出有效管理。系統(tǒng)模塊如圖3-1所示。P2P文件共享監(jiān)控系統(tǒng)NDIS終端主控程序監(jiān)控中心GUI非法文件共享報(bào)警安全策略設(shè)置用戶登錄設(shè)置終端監(jiān)控日志和審計(jì)圖3-1 系統(tǒng)模塊3.3 系統(tǒng)工作流程 現(xiàn)在我們來介紹系統(tǒng)系統(tǒng)工作的流程，在P2P文件共享監(jiān)控系統(tǒng)中，首先該局域網(wǎng)的管理員通過GUI（圖形用戶接口）對(duì)局域網(wǎng)內(nèi)的各個(gè)用戶的P2P文件共享安全策略進(jìn)行集中定義，然后監(jiān)控中心將定義好的安全策略發(fā)送到各個(gè)主機(jī)終端主控程序，然后再由主控程序交給內(nèi)核的驅(qū)動(dòng)程序程序執(zhí)行相關(guān)的操作。在此過程中要由NDIS（Network Driver Interface Specification，即網(wǎng)絡(luò)驅(qū)動(dòng)接口規(guī)范）驅(qū)動(dòng)截獲來自主控程序的數(shù)據(jù)包，按策略過濾數(shù)據(jù)包并生成日志再傳給終端主控程序。最后監(jiān)控中心收集處理各個(gè)主機(jī)的日志信息，向管理員提供日志查詢和審計(jì)功能。經(jīng)過日志審計(jì)之后將所得的數(shù)據(jù)分析結(jié)果傳給GUI，在GUI中做出相應(yīng)的反應(yīng)，如果審計(jì)結(jié)果與GUI的策略設(shè)置不附，則會(huì)觸發(fā)報(bào)警模塊，非法文件共享報(bào)警，或者是非法文件下載報(bào)警模塊會(huì)發(fā)出報(bào)警信號(hào)。提醒管理員，而當(dāng)管理員得到系統(tǒng)提醒后，就會(huì)采取相關(guān)的操作，對(duì)局域網(wǎng)做出有效的安全管理。下面給出了系統(tǒng)工作時(shí)的子模塊的作用。系統(tǒng)工作流程如圖3-2所示。 數(shù)據(jù)過濾監(jiān)控中心終端主控程序分發(fā)策略策略設(shè)置策略傳入日志傳出提交日志日志審計(jì)GUINDIS驅(qū)動(dòng) 圖3-2 系統(tǒng)工作流程3.4 每塊模塊的作用 3.4.1 GUI GUI(圖形用戶界面)的廣泛應(yīng)用是當(dāng)今計(jì)算機(jī)發(fā)展的重大成就之一。INMS系統(tǒng)的GUI作為整個(gè)網(wǎng)管的用戶接口，負(fù)責(zé)所有數(shù)據(jù)的呈現(xiàn)與網(wǎng)管系統(tǒng)后臺(tái)各模塊做必要的信息交互，在本系統(tǒng)中它的主要作用就是有助于管理員對(duì)整個(gè)局域網(wǎng)里的集中管理，并且管理員可以根據(jù)自己的需要登錄到監(jiān)控中心自己定義局域網(wǎng)內(nèi)的文件共享的安全策略，將每個(gè)用戶登錄情況，及對(duì)文件的共享情況，如最早共享時(shí)間與共享時(shí)間信息，以及在某一時(shí)間段文件下載信息和下載源5。3.4.2 監(jiān)控中心 監(jiān)控中心將管理員定義好的文件安全策略存儲(chǔ)起來，而且為了取得終端的安全策略，終端主控程序?qū)⒔K端ID等信號(hào)發(fā)送到監(jiān)控中心。于此同時(shí)將所配置的安全策略分發(fā)到各個(gè)終端主控程序。 3.4.3 終端主控程序?yàn)榱吮阌诓呗缘膱?zhí)行，監(jiān)控系統(tǒng)將用戶和其使用的主機(jī)綁定。當(dāng)在主機(jī)上安裝終端監(jiān)控程序時(shí)，自動(dòng)生成一個(gè)終端ID，用于表示使用該主機(jī)及其用戶。以后管理員通過設(shè)置的用戶策略與其用戶和終端ID聯(lián)系起來。如果管理員尚未創(chuàng)建該用戶的策略，則取默認(rèn)策略，通常是禁止文件傳輸。中間層驅(qū)動(dòng)程序就可以依據(jù)取得的策略對(duì)數(shù)據(jù)包過濾。3.4.4 NDIS為了對(duì)局域網(wǎng)內(nèi)主機(jī)的P2P文件傳輸行為進(jìn)行監(jiān)控，需要能夠截獲和過濾終端發(fā)送和接收的數(shù)據(jù)包，通過數(shù)據(jù)包的截獲與過濾，進(jìn)行數(shù)據(jù)分析。并生成日志報(bào)表和日志審計(jì)，供管理員參考。這是通過NDIS Hook Driver來實(shí)現(xiàn)的。趙平：網(wǎng)絡(luò)安全監(jiān)控系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)第四章 詳細(xì)設(shè)計(jì)4.1 設(shè)計(jì)流程我們已經(jīng)介紹了本系統(tǒng)的工作流程，以及每個(gè)子系統(tǒng)的作用。現(xiàn)在我們來詳細(xì)的介紹此監(jiān)控系統(tǒng)的詳細(xì)設(shè)計(jì)。因?yàn)镮NMS的GUI是CMIN02移動(dòng)智能網(wǎng)的一個(gè)重要組成部分，INMS提供友好的人機(jī)界面，因此，INMS可以認(rèn)為是CMIN02系統(tǒng)的網(wǎng)元管理系統(tǒng)或操作維護(hù)中心。INMS系統(tǒng)的開發(fā)是為了達(dá)到網(wǎng)管新規(guī)范的要求，使網(wǎng)管軟件功能強(qiáng)大，界面友好，更方便的提供給用戶使用，它被認(rèn)為是管理智能網(wǎng)的有效手段。作為網(wǎng)管系統(tǒng)，他對(duì)外提供各種管理功能，主要包括配置管理，告管理，性能管理，報(bào)表管理，用戶管理，權(quán)限管理等功能。因此我們可以根據(jù)GUI的這些功能對(duì)局域網(wǎng)進(jìn)行一定的管理。因?yàn)閷?duì)文件進(jìn)行訪問時(shí)，要記錄下訪問日志，以有助于管理員對(duì)每個(gè)文件的訪問情況有所了解。這樣管理員能夠更好的管理局域網(wǎng)。4.2 GUI模塊的生成與功能實(shí)現(xiàn)GUI模塊在本系統(tǒng)中是一個(gè)重要模塊，此模塊包含三個(gè)子模塊：用戶注冊(cè)信息、文件共享安全策略設(shè)置、非法文件下載報(bào)警，每個(gè)子模塊具有如下功能，用戶注冊(cè)信息是為了有針對(duì)性向用戶提供文件共享，也只有用戶登錄正確之后才能進(jìn)行相關(guān)操作。管理員也可以通過用戶所注冊(cè)的信息對(duì)其進(jìn)行有效管理。安全策略設(shè)置模塊的功能是負(fù)責(zé)收集設(shè)備的各種軟件硬件配置信息，提供給網(wǎng)管模塊查詢。配置管理相制當(dāng)?shù)闹匾?，它初始化網(wǎng)絡(luò)，并配置網(wǎng)絡(luò)，以使其提供網(wǎng)絡(luò)服務(wù)。配置管理是一組對(duì)辨別，定義，控制和監(jiān)視組成一個(gè)通信網(wǎng)絡(luò)的對(duì)象所必要的相關(guān)功能，目的是為了實(shí)現(xiàn)某個(gè)特定功能或網(wǎng)絡(luò)性能達(dá)到最優(yōu)。非法文件報(bào)警模塊是為了當(dāng)某些用戶正在進(jìn)行非法訪問時(shí)能夠提醒管理員進(jìn)行相關(guān)操作，進(jìn)行有效的管理。4.2.1 用戶注冊(cè)信息模塊的設(shè)置為了維護(hù)文件共享安全性能，在向用戶提供資源共享時(shí)要具有針對(duì)性，也就是指當(dāng)用戶登錄成功時(shí)，該用戶才能進(jìn)行相關(guān)操作。所以我們應(yīng)該設(shè)置用戶注冊(cè)模塊，設(shè)計(jì)步驟如下：一、 使用Access數(shù)據(jù)庫創(chuàng)建用戶登錄，首先必須設(shè)置數(shù)據(jù)庫，這里僅僅設(shè)置用戶登錄表：數(shù)據(jù)表結(jié)構(gòu)如表4-1所示，數(shù)據(jù)表數(shù)據(jù)如表4-2所示910。 表4-1 數(shù)據(jù)表結(jié)構(gòu)列名稱數(shù)據(jù)類型數(shù)據(jù)大小說明ID自動(dòng)編號(hào)識(shí)別號(hào)MC文本20用戶名稱MM文本20用戶密碼QX數(shù)字長整型用戶權(quán)限表4-2數(shù)據(jù)表數(shù)據(jù)IDMCMMQX1AAA12312BBB12323CCC12334DDD1234二、數(shù)據(jù)庫連接：在程序中要連接數(shù)據(jù)庫，才能使用數(shù)據(jù)表，所以必須連接數(shù)據(jù)庫，數(shù)據(jù)庫連接比較簡單，關(guān)鍵是程序中必須添加引用，添加方法是點(diǎn)擊【工程】-【引用】在對(duì)話框選擇“Microsoft DAO 3.6 Object Library”和“Microsoft ActiveX Data Objects 2.6 Library”，將它們勾選，然后點(diǎn)擊【確定】，這樣就添加了數(shù)據(jù)庫的引用了。接下來在程序中添加一個(gè)模塊（注意，不是類模塊），模塊名稱為 Module1 在模塊中編寫下面的代碼：Public db As New ADODB.Connection 聲明數(shù)據(jù)庫連接對(duì)象Public RS As New ADODB.Recordset 聲明將來就對(duì)象Public Sub SJK(db) 連接數(shù)據(jù)庫過程db.ConnectionString = DRIVER=Microsoft Access Driver (*.mdb);dbQ= & App.Path & A.mdbdb.OpenEnd Sub由于是在模塊中聲明和創(chuàng)建過程的，因此這些聲明的變量和過程是程序共享的，也就是在程序的所有界面均可以調(diào)用變量和 SJK 過程。三、 用戶登錄界面的設(shè)計(jì)：添加一個(gè)窗體，修改窗體的名稱為“登錄”，修改窗體的 Caption 屬性為“用戶登錄”，修改 Width 屬性為8550，修改 Height 屬性為5130，修改 StartUpPosition 屬性為 2-屏幕中心，修改 MaxButton 屬性為 Fales，最后將圖片添加到 Picture 屬性中，好了窗體屬性基本設(shè)置完成，下面在窗體添加一下需要的控件。在左邊的工具欄選擇添加二個(gè)TextBox 控件，分別是Text1和Text2，添加二個(gè)CommandButton 控件，分別是Command1和Command2，添加4個(gè)Label控件，分別是Label1(0)、Label1(1)、Label1(2)、Label1(3）。四、窗體代碼窗口的有關(guān)代碼清單Dim strSQL As String 定義一個(gè)字符串變量Private Sub Command1_Click()If Text1.Text = Then MsgBox 用戶名不能為空！ 請(qǐng)輸入用戶名！, 16, 錯(cuò)誤！ Exit SubEnd IfIf Text2.Text = Then MsgBox 用戶密碼不能為空！請(qǐng)輸入用戶密碼！, 16, 錯(cuò)誤！ Exit SubEnd IfCall SJK(db) 調(diào)用數(shù)據(jù)庫連接strSQL = Select * form A1 where MC= & Text1.Text & 數(shù)據(jù)表連接字符串RS.Open strSQL, db, 2, 2 打開數(shù)據(jù)表If RS.EOF = True Then 用戶名錯(cuò)誤 MsgBox 沒有這個(gè)用戶！請(qǐng)檢查后重新輸入！, 16, 錯(cuò)誤！ RS.Close Set RS = Nothing db.Close Set db = Nothing Exit SubElse If Not RS!MM = Text2.Text Then 用戶密碼錯(cuò)誤 MsgBox 用戶密碼錯(cuò)誤！請(qǐng)檢查后重新輸入！, 16, 錯(cuò)誤！ RS.Close Set RS = Nothing db.Close Set db = Nothing Exit Sub Else 登錄成功 如果有必要，在這里可以添加系統(tǒng)共有變量存儲(chǔ)登錄人的一些信息 Unload Me 關(guān)閉登錄窗口 某某系統(tǒng)主頁面.Show 轉(zhuǎn)到用戶進(jìn)入的界面 End IfEnd If RS.Close Set RS = Nothing db.Close Set db = NothingEnd SubPrivate Sub Command2_Click()End 退出系統(tǒng)End SubPrivate Sub Form_Load()For I = 0 To 3Label1(I).BackStyle = 0 使標(biāo)簽透明Next I4.2.2 策略路由的設(shè)置系統(tǒng)構(gòu)建完成之后，安全性是必須考慮的問題，保證安全性首先是訪問權(quán)限，分為兩部分。其一是文件權(quán)限，即普通文件存取權(quán)限r(nóng)WX。一旦掛載完成，文件附著的用戶權(quán)限和組權(quán)限接管存取權(quán)限。其二是掛載權(quán)限，它主要針對(duì)試圖連接到NFS服務(wù)器的客戶機(jī)，由文件etcexports保證安全性。該文件列出允許訪問共享目錄的的主機(jī)名或者IP地址，如果客戶機(jī)的ip地址和列表中的匹配，則該客戶機(jī)獲得掛載權(quán)12。當(dāng)然，這不可能非常安全。如果用戶有能力假冒可信任的地址的話，那么他們也可以容易的掛載共享目錄。所以管理員要定義文件共享安全策略，要進(jìn)行4部分的設(shè)置。步驟如下：步驟1：用戶分普通用戶和根用戶為兩種用戶權(quán)限。而用戶權(quán)限是要與系統(tǒng)文件的屬性聯(lián)系在一起。此屬性可以向用戶提供對(duì)文件和目錄的讀、寫，執(zhí)行的權(quán)限檢查和訪問控制。普通用戶，他們只能修改自己的進(jìn)程或者文件，同時(shí)被禁止硬件和大部分網(wǎng)絡(luò)配置的訪問權(quán)。而根用戶就可以對(duì)所有進(jìn)程和文件進(jìn)行修改，對(duì)硬件和網(wǎng)絡(luò)的訪問也沒有任何限制，如果濫用根用戶的話，將帶來非常嚴(yán)重的安全威脅。在實(shí)際的系統(tǒng)中，對(duì)于不同目錄，賦予不同的屬性策略，從而得到不同的存取屬性。屬性策略設(shè)置步驟為，首先要新建三個(gè)目錄，rAndw(可讀寫的目錄)、aonly（只允許添加的目錄）、immut(不可寫目錄)。然后使用chattr命令添加目錄相應(yīng)的屬性。以下是幾個(gè)重要文件屬性如表4-3所示。表4-3 重要文件屬性 參數(shù) 全稱 介紹 A atime 禁止系統(tǒng)更新文件的訪問時(shí)間 S Snye 應(yīng)用程序?qū)懭霑r(shí)不緩存，立刻刷新寫入磁盤 系統(tǒng)只允許打開文件添加內(nèi)容而不允許任何進(jìn)程 a append-only 覆蓋或者刪除文件內(nèi)容。若為目錄，則只允許進(jìn) 程創(chuàng)建或修改文件而不允許刪除。 I immutable 系統(tǒng)不允許對(duì)任何文件的修改。若為目錄進(jìn)程能 修改目錄中已經(jīng)存在的文件。 U undelet 當(dāng)應(yīng)用程序刪除一個(gè)文件時(shí)，系統(tǒng)自動(dòng)保存文件， 使得允許以后可以執(zhí)行undelet來恢復(fù)文件。設(shè)置目錄的擴(kuò)展屬性只實(shí)現(xiàn)了一半的安全，如果是根用戶的話仍然可以除去EA位從而獲得訪問和修改權(quán)。目前有些版本的內(nèi)核里，出現(xiàn)了一種新的具有彈性的內(nèi)核控制的系統(tǒng)，它可以對(duì)EA的設(shè)置提供完全的保護(hù)。我們可以通過在系統(tǒng)啟動(dòng)階段對(duì)內(nèi)核可以進(jìn)行的操作進(jìn)行限制。這種機(jī)制把系統(tǒng)權(quán)限分成可以賦予和去除的邏輯組，允許系統(tǒng)管理員調(diào)整進(jìn)程可以進(jìn)行的操作，減少系統(tǒng)的安全威脅。一般的，標(biāo)準(zhǔn)庫文件目錄中的capabilityh中定義了系統(tǒng)能力集的列表。如表4-4所示。表4-4 系統(tǒng)能力集 名稱 偏移 意義 CAP_CHOWN 0 允許更改文件屬性 CAP_FSETID 4 允許設(shè)置setuid位 CAP_SETGID 6 允許改變組ID CAP_SETUID 7 允許改變用戶ID CAP_LINUX_IMMUTABLE 9 允許修改文件的i和a屬性 CAP_SYS_RAWIO 17 允許對(duì)ioperm/iopl的訪問 CAP_SYS_CHROOT 18 允許使用chroot（）系統(tǒng)調(diào)用正是這個(gè)內(nèi)核能力集限定了當(dāng)然內(nèi)核所有可以進(jìn)行的操作。直接編輯這個(gè)文件相當(dāng)復(fù)雜，lcap(Linuxkernelcapabilitiesboundingseteditor)提供了另外的方法，它是一個(gè)專門編輯內(nèi)核能力集的工具。在安裝lcnp包之后，我們執(zhí)行#lcap，得到如下輸出：0)*CAP_CHOWN. 1)*CAP_DAC_OVERRIDE.2)*CAP_DAC_READ_SEARCH. 3)*CAP_FOWNER.4)*CAP_FSETID. 5)*CAP_KILL.6)*CAP_SETGID. 7)*CAP_SETUID.8)*CAP_SETPCAP. 9)*CAP_LINUX_IMMUTABLE.10)*CAP_NET_BIND_SERVICE. 11)*CAP_NET_BROADCAST.系統(tǒng)共享目錄的屬性配置完成之后，執(zhí)行以下指令來禁止對(duì)immutable和rawio做修改。如圖4-1所示。rootlocalhost#lcap CAP_LINUX_IMMUTABLErootlocalhost#lcap CAP_SYS_RAWIO圖4-1 執(zhí)行指令前兩部分考慮文件權(quán)限。這一部分考慮掛載權(quán)限，由于文件系統(tǒng)的安全性很大程度上取決于NFS的安全性，因此，加強(qiáng)NFS的安全性非常重要如何加強(qiáng)的安全性。但是有些系統(tǒng)目前開發(fā)出了一套新的文件系統(tǒng)權(quán)限管理方法，叫文件訪問控制列表。簡單來說，ACL就是可以設(shè)置特定用戶或者用戶組對(duì)于一個(gè)文件的操作權(quán)限。ACL有兩種，一種是存取ACL(accessACLs)，針對(duì)文件和目錄設(shè)置訪問控制列表。一種是默認(rèn)ACL(defaultACLs)，只能針對(duì)目錄設(shè)置。如果目錄中的文件沒有設(shè)置ACL，它就會(huì)使用該目錄的默認(rèn)ACL。例如，我們希望安全策略1中創(chuàng)建的目錄nmtnfsrAndw可以讀寫。但nfs客戶掛載該文件之后，映射為nobody用戶(稍后解釋)，明顯的nobody用戶是不能讀寫這個(gè)目錄的，所以我們需要使用setfacl指令修改目錄的ACL。Setfacl指令如圖4-2所示。rootlocalhost#setfacl-m u:noboday：rw/mnt/nfs/rAndw圖4-2 Setfacl指令在此之前，需要給ext3文件系統(tǒng)添加ACL支持。在etcfstab(dom0和domU中都需要)中根文件系統(tǒng)屬性中添加acl并重啟。這樣，在使用1l查看文件屬性的時(shí)候，可以看到文件屬性列后面多了一個(gè)加號(hào)，這樣就單獨(dú)給nobody用戶添加了對(duì)rAndw目錄的讀寫權(quán)限。查看varlibnfsetab，確定ACL是否已經(jīng)開啟。rootlocalhost nfs# more/var/lib/nfs/etab/mnt/loop 192.168.0(rw,ayne,wdelay,hide,nocrossmnt,secure,root_squash,no_all_squash,shbree_check,secure-locks,acl,mapping=identity=-2,anongid=-2)/mnt/loop (ro,sync,wdelay,hide,nocrossmnt,secure,root_squash,no_all_squash,a.subtree_check,secure_locks,acl,mapping=identity.Anonuid=-2,anonaid=-2)NFS的服務(wù)器端有三個(gè)重要的文件，需要對(duì)這三個(gè)文件修改以進(jìn)行訪問控制。這三個(gè)文件如圖4-3所示。/etc/exports /etc/hosts.allow /etc/hosts.deny圖4-3 服務(wù)器端口文件首先重新編輯dom0的etcexports，給虛擬機(jī)內(nèi)網(wǎng)用戶讀寫權(quán)限，其他用戶只讀權(quán)限。編輯程序如圖4-4所示。 rootlocalhost# echo/mnt/share192.168.0.0/255.255.255.0(rw,sync) *(ro)/etc/exports圖4-4 編輯程序然后編輯etchostsallow和etchostsdenyNFS對(duì)這兩個(gè)文件的檢查規(guī)則如下，首先檢查etchosts&llow，符合規(guī)則的允許通過，然后檢查hostsdeny，符合規(guī)則的禁止，最后沒有在條目中出現(xiàn)的均允許通過。出于安全性考慮，應(yīng)該限制對(duì)提供NFS服務(wù)的守護(hù)進(jìn)程的訪問權(quán)限。如圖4-5所示。rootlocalhost# catEOF Portmap:ALL Lockd:ALL Rquotad:ALL Statd:ALL EOF rootlocalhost# catEOF Portmap:192.168.0.0/255.255.255.0 Lockd:192.168.0.0/255.255.255.0 Mountd:192.168.0.0/255.255.266.0.0 Rquotad:192.168.0.0/255.255.255.0 Statd:192.168.0.0/255.255.255.0 圖4-5 限制訪問權(quán)限代碼 在dom0上，刷新NFS服務(wù)器規(guī)則，如圖4-6所示。rootlocalhost#exportfs_rv 圖4-6 刷新NFS服務(wù)器規(guī)則 在domU上，編輯/etc/fstab和/etc/rc.d/rc.local。如圖4-7所示。 rootfc5pristine# eocho192.168.0.2:/mnt/share/mnt/sen nfs rsize=8192,wsize=8192,timeo=14,intr,nosuid,noexecetc/fstab rootfc5_pristine#echomount/mnt/sen/etc/rc.d/rc.local圖4-7 編輯代碼其中，mntsen為XenU上存放敏感文件的目錄。intr參數(shù)允許在服務(wù)器無響應(yīng)時(shí)中斷系統(tǒng)調(diào)用，nosuid參數(shù)禁止任何setuid的程序執(zhí)行，例如不允許客戶端執(zhí)行sodo操作，noexec參數(shù)表明客戶端沒有執(zhí)行權(quán)限。將掛載指令加入到re10cal中以實(shí)現(xiàn)自動(dòng)掛載。對(duì)于一個(gè)授權(quán)用戶來講，所有的敏感信息都是可見的。在大部分機(jī)密的環(huán)境中，由于內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的隔離以及防火墻的過濾，通過網(wǎng)絡(luò)進(jìn)行敏感文件的竊取已經(jīng)非常少，但授權(quán)用戶本身的USB口卻容易造成信息的泄露。當(dāng)然，可以通過禁用USB口來達(dá)到安全性，許多銀行正是這種做法，然后在USB設(shè)備普及的今天，這種方式必然會(huì)給正常的工作帶來很多的不便。SFS的做法是在訪問敏感文件的時(shí)候禁止USB設(shè)備，而在其他時(shí)問可以允許USB設(shè)備的使用，但這時(shí)敏感文件又是不可見的。例如，在訪問敏感文件時(shí)，執(zhí)行如下腳本。如圖4-8所示。 rootlocalhost# more/etc/access.start mount nfs xm save 11.sav rmmod usb_uhci圖4-8 執(zhí)行腳本 rootlocalhost# more/etc/access.over insmod usb_uhci xm restore 1.sav umount nfs然后可以在NFS掛載分區(qū)上進(jìn)行需要的操作，但此時(shí)訪問USB接口是不可以的，而作為DomU本身并沒有權(quán)限來進(jìn)行驅(qū)動(dòng)級(jí)的操作。訪問完畢，執(zhí)行如下腳本，如圖4-9所示。圖4-9 執(zhí)行腳本 具體訪問過程如下:1、掛載NFS服務(wù)器上的敏感文件到本地目錄。2、Xen0備份當(dāng)前客戶機(jī)xenU狀態(tài)，后兩個(gè)參數(shù)分別是VMID和備份文件。3、XenO卸載usb驅(qū)動(dòng)模塊。4、授權(quán)用戶讀寫更新敏感文件，此時(shí)usb設(shè)備不可用。5、訪問完畢，Xen0加載usb設(shè)備。6、Xen0恢復(fù)客戶機(jī)xenU訪問敏感文件前的狀態(tài)。7、卸載NFS服務(wù)器。至此，整個(gè)系統(tǒng)搭建完畢。 4.3 監(jiān)控中心模塊功能實(shí)現(xiàn)設(shè)置好安全策略后，將這些策略發(fā)送到監(jiān)控中心，監(jiān)控中心將管理員配置的策略存儲(chǔ)下來，以便下次進(jìn)行文件共享時(shí)對(duì)其進(jìn)行監(jiān)控，與此同時(shí)監(jiān)控中心將管理員定義的安全策略分發(fā)到終端主控程序，而主控程序?qū)⑦M(jìn)行相關(guān)的操作。在監(jiān)控中心將策略分發(fā)給終端之前，要先取得終端的安全策略，終端主控程序?qū)D等信號(hào)發(fā)送到監(jiān)控中心，監(jiān)控中心依據(jù)終端ID檢索到相應(yīng)的策略信息發(fā)送給該終端，如果管理員尚未創(chuàng)建該用戶策略，則取默認(rèn)策略，通常是禁止文件傳輸。而終端的ID是通過將用戶和其使用的主機(jī)綁定，當(dāng)在主機(jī)上安裝終端監(jiān)控程序時(shí)，自動(dòng)生成一個(gè)終端ID，用于標(biāo)示使用該主機(jī)及其用戶，以后管理員通過GUI設(shè)置的用戶策略與其用戶和終端ID聯(lián)系起來。而監(jiān)控中心還有一個(gè)重要的功能就是記錄各個(gè)終端的日志數(shù)據(jù)，并對(duì)日志數(shù)據(jù)進(jìn)行統(tǒng)計(jì)分析、審計(jì)，產(chǎn)生各種報(bào)表，并將這些日志報(bào)表傳輸給GUI，管理員就可以清楚的看到當(dāng)前整個(gè)局域網(wǎng)的工作狀態(tài)。4.4 NDIS模塊的功能實(shí)現(xiàn)4.4.1 NDIS的結(jié)構(gòu)功能在監(jiān)控中心將策略分發(fā)給終端主控程序后，中間層驅(qū)動(dòng)程序就可以依據(jù)取得的策略對(duì)數(shù)據(jù)包過濾。為了對(duì)局域網(wǎng)內(nèi)主機(jī)的P2P文件傳輸行為進(jìn)行監(jiān)控，需要能夠截獲和過濾終端發(fā)送和接送的數(shù)據(jù)包，那是如何實(shí)現(xiàn)的呢。首先NDIS hook driver 是通過掛接NDIS中派發(fā)函數(shù)來實(shí)現(xiàn)數(shù)據(jù)報(bào)的攔截過濾。那NDIS是如何實(shí)現(xiàn)數(shù)據(jù)包的截獲與過濾的呢。NDIS中包括三部分的驅(qū)動(dòng)程序，NDIS微端口驅(qū)動(dòng)程序，NDIS中間層驅(qū)動(dòng)程序，NDIS傳輸協(xié)議驅(qū)動(dòng)程序。這三個(gè)部分分別實(shí)現(xiàn)自己的功能。NDIS的功能有兩個(gè)(1) 管理一個(gè)網(wǎng)絡(luò)接口卡 ，包括通過網(wǎng)絡(luò)接口卡發(fā)送接收數(shù)據(jù)。 (NIC) (2) 提供與高層驅(qū)動(dòng)程序之間的接口