基于邮政网络防火墙体系的研究与设计

论文摘要

本文的研究目的是针对邮政网络的现状设计具有独特功能（算法）的防火墙体系。在研究防火墙技术和调研邮政网络的基础上,设计出对DDoS防御有一定优势的防火墙。最终将该防火墙应用于邮政中间业务系统的网络安全改造方案中。所以,本研究成果在企业网络中具有较高的实用价值和较广的应用领域。本文介绍了计算机网络安全、防火墙的系统结构和关键技术以及Linux防火墙工具。说明了基于Linux内核的防火墙模块设计原理,并设计了Linux防火墙的几个与本文算法有关的功能:入侵检测、VPN和流量管理.分析了目前最为常见也最难以防御的分布式拒绝服务攻击（DDoS）的现状。介绍了现有的DDoS防御对策和四类技术:减小伤害、限制流量、入口过滤和DDoS攻击源的追踪,重点介绍了DDoS攻击源追踪的几种技术（链路测试法、随机采样法、动态安全关联跟踪、流量记录法）,它们对网络的积极防御有着重大的意义。本文在这些DDoS防御技术的基础上进行了创新,结合邮政企业网络情况设计一种新的检测算法。企业的网络流量是随业务发展的趋势变化的,分析了流量历史数据后可以按照该趋势预测未来时间内网络的正常流量,用该流量作为阀值,随时与当前流量做比对,当前流量过大说明网络流量异常,可能存在DDoS攻击。所以,计算正常流量的阀值是关键。本文依据趋势外推法的理论基础提出了一个预测流量阀值的数学模型,通过对网络流量的历史数据进行分析选定了合适的数模,并用最小二乘法进行推算,得到预测网络正常流量阀值的公式,并对该函数可否准确描述网络流量的拟合程度进行了验证。随后提出了新算法---基于防火墙的路由器流量反向追踪算法:利用防火墙检测通过自身的当前流量,当流量大于预测的流量阀值时,说明可能存在DDoS攻击,此时防火墙分析流量阀值确定路由器上当前流量是否异常,反向追踪DDoS攻击源。算法提出后,分析满二叉树攻击网络,满三叉树攻击网络情况下检测进程数量对反向追踪时间的影响,分析结果并建议了该防御体系进程的最佳数量。然后将设计的新算法与现有的DDoS攻击源的追踪技术进行了比较,指出该算法的优点。文章的最后探索了适合在邮政的企业环境中采用的网络安全体系,以支持目前的邮政中间业务系统的网络安全的需要;提出了一个防火墙系统设计方案,以设计好的LinuX防火墙为安全核心,给出了一种面向邮政企业的网络整体安全保证机制,采用LinuX防火墙为邮政中间业务系统做出一个省市县三级网络系统安全改造的解决方案。

论文目录

• 摘要
• ABSTRACT
• 第一章 前言
• 1.1 研究背景
• 1.2 研究目的
• 1.3 文献综述
• 1.4 本文的研究工作
• 1.5 本文的章节安排
• 第二章 Linux防火墙功能设计
• 2.1 防火墙体系概述
• 2.2 入侵检测
• 2.3 VPN功能的设置
• 2.4 流量管理
• 第三章 分布式拒绝服务攻击的防御
• 3.1 现状分析
• 3.2 DDoS的攻击原理
• 3.3 拒绝服务攻击的防御对策
• 3.3.1 减轻攻击
• 3.3.2 限制流量
• 3.3.3 入口过滤
• 3.3.4 DDoS攻击源的追踪
• 3.3.4.1 链路测试法
• 3.3.4.2 随机采样
• 3.3.4.3 动态安全关联跟踪
• 3.3.4.4 流量记录法
• 第四章 基于防火墙系统的路由器流量反向追踪算法
• 4.1 分布式拒绝服务进攻的检测
• 4.2 建立预测网络流量阀值的数学模型
• 4.2.1 预测方法的理论依据
• 4.2.2 预测方法的具体推算
• 4.2.2.1 趋势模型的种类
• 4.2.2.2 趋势模型的选择
• 4.2.3 针对邮政网络的流量情况推导预测公式
• 4.3 通过分析路由器流量进行反向追踪
• 4.3.1 本文反向追踪方法原理
• 4.3.2 反向追踪平台设置
• 4.3.3 路由器的设置与监控
• 4.4 基于路由器流量分析的DDoS反向追踪算法
• 4.5 反向追踪算法在防火墙上的实现
• 4.6 选取最佳检测进程数
• 4.7 反向追踪方法分析比较
• 第五章 邮政中间业务基于防火墙的网络安全改造方案
• 5.1 邮政企业中间业务网络现状
• 5.2 邮政企业中间业务网络传输需求分析
• 5.2.1 统一网络传输平台需求
• 5.2.2 应用系统隔离需求
• 5.2.3 网络线路备份需求
• 5.2.4 网络设备管理需求
• 5.3 邮政企业中间网络安全设计方案
• 5.3.1 统一网络传输平台建设
• 5.3.1.1 省级网络设计
• 5.3.1.2 地市级网络设计
• 5.3.1.3 县级网络设计
• 5.3.2 ATM骨干线路备份设计
• 5.3.3 移动用户远程访问业务网
• 5.4 方案实施的必要性
• 第六章 结束语
• 参考文献
• 致谢
• 学位论文评阅及答辩情况表