论文部分内容阅读
随着全球Internet用户数量的激增，黑客对个人网络用户的攻击次数越来越频繁，攻击的手段也越来越先进，针对个人主机的安全防护技术已经成为当前网络安全研究领域的重点。目前针对个人主机的安全防护主要是采用个人防火墙系统。现在市场上有大量的个人防火墙安全产品，但是这些安全产品在设计过程中主要考虑的是用户使用的简单和方便，所以采用的技术一般比较单一，从而造成整个安全产品存在不同程度的安全漏洞，并不能完全的保证个人用户的安全需求。 综合采用多种网络安全技术对个人主机进行防护，是当前个人安全技术发展的趋势。本文中提到的个人安全防御系统将包过滤技术、入侵检测技术和内容过滤技术有机的结合，形成一个综合的安全防护体系。单纯的包过滤技术由于其自身的缺陷而不能提供完全的安全保护。入侵检测作为一种主动防御技术，是包过滤的重要补充，起到了第二道防线的作用。内容过滤弥补了前两种技术在信息内容防范方面的不足，形成了安全防护的最后一道屏障。 本论文研究的重点是个人安全防御系统中包过滤技术的设计与实现。本文以包过滤系统的具体实现过程为主线，结合Windows2000平台的技术特点，深入的分析了基于个人主机的包过滤系统中的各种关键技术。首先本文分析比较了现有包过滤技术的优缺点，根据模块化的设计思想，设计出了适用于个人主机的包过滤系统模型。然后详细讨论了Windows2000协议栈的工作原理，深入的分析了NDIS协议驱动程序的运行机制，并在此基础上详细描述了基于NDIS驱动程序的数据包截获实现过程。在对包过滤规则的设计中，本文采用了一种形式化的定义方法，并对现有的规则匹配算法作了一定的改进，同时对规则集的一致性问题进行了分析，设计了规则集的一致性控制算法。本文还详细的描述了数据包认证的原理，并给出了认证的具体实现过程。在接口设计部分，分析了如何设计接口实现入侵检测和内容过滤系统的动态规则反馈。 论文共分为七章，第一章为绪论，介绍了本课题研究的背景，分析了课题的研究现状，总结了研究工作以及论文的组织结构。 第二章：根据包过滤系统的设计目标，给出总体设计方案，同时分析包过滤系统与其它子系统间的关系。 第三章：分析Windows2000网络体系结构，结合Windows2000操作系统分析比较几种流行的数据包截获技术，对Windows2000下NDIS协议驱动程序的实现原理进行了深入的探讨，并详细描述了本系统的数据包截获方法。 第四章：基于过滤规则的形式化定义理论，推导出本系统的包过滤规则，对现有的过滤规则匹配算法进行了一些改进工作，同时针对过滤规则的一致性问题，给出了一个一致性控制算法的设计。 第五章:分析了发送、接收数据包的存储结构及数据包的具体解析过程，详细描述了基于TCP，UDP及ICMP协议的认证过程。 第六章:分析各子系统之间的关系并给出了接口的定义。 第七章:总结了本论文所做的工作，并对进一步的研究与实现做了深入的展望。