Linux下基于Netfilter自适应防火墙及入侵检测技术研究

论文摘要

随着网络技术的飞速发展,网络攻击方法与手段日趋复杂多变,使得防火墙、入侵检测系统、杀毒软件等安全技术和产品层出不穷,虽然都能保障信息的安全性,但都因其具有高度的针对性而只能应用于网络安全的某一方面。如入侵检测系统最大的特点是能发现入侵、阻断连接,重点是入侵的行为检测。而防火墙则能够检查流经的全部数据包,拦截不符合安全规则的数据包,但防火墙的访问规则是静态的,不能动态地响应入侵行为的变化。显然,单独的某一种安全技术和产品已无法应对日益复杂多变的攻击工具与手法,人们迫切需要多种安全技术协同作战、全力保护系统的安全。防火墙和入侵检测系统是保障网络安全的两项核心技术,防火墙是静态的,对于多变的网络攻击缺乏有效的灵活过滤策略,而入侵检测是动态的,对于相对复杂一些的攻击缺乏有效的措施和阻断能力,它们都由于这些自身无法克服的问题而都存在着一些安全隐患。防火墙和入侵检测系统的功能特点和局限性决定了它们的相依性和不可替代性。原因在于防火墙侧重于控制,而入侵检测系统侧重于入侵检测,两者互补不足,互为保护。从信息安全整体防御的角度出发,二者的结合也能极大地提高网络安全体系的防护能力。这种基于防火墙与入侵检测构成的入侵防御系统不仅体现了防火墙技术发展趋势,更实现了网络安全的深度防御。它使防护体系由静态过渡到动态,提升了防火墙的机动性和实时反应能力,增强了入侵检测系统的阻断功能。因此,防火墙与入侵检测系统的联合防控已经成为国内外网络安全领域研究的新课题。本文首先通过深入剖析TCP/IP架构协议和Netfilter防火墙架构原理,并对网络嗅探程序和端口扫描检测技术进行深入的分析和研究,在深入理解和分析分布式防火墙的技术基础上,通过深入研究入侵检测系统和主动防御系统,最终提出了一个相对较为安全的防火墙架构模型。实验表明,将防火墙、入侵检测和主动防御有机融合所实现的防火墙架构模型具有更好的防御效果。

论文目录

• 中文摘要
• 英文摘要
• 1 绪论
• 1.1 网络安全概述
• 1.2 国内外研究现状
• 1.3 入侵检测系统
• 1.4 研究背景
• 1.5 本文的主要工作
• 2 网络基础知识
• 2.1 TCP/IP 协议栈参考模型
• 2.2 主机到网络层协议
• 2.3 地址解析协议ARP
• 2.4 IP 协议
• 2.5 网际控制报文协议ICMP
• 2.6 传输控制协议TCP
• 2.7 用户数据报文协议UDP
• 2.8 检验和checksum
• 2.9 IP 地址的分类
• 2.10 端口的概念和分类
• 2.11 套接字
• 2.12 小结
• 3 防火墙技术
• 3.1 防火墙的发展历史
• 3.2 防火墙分类
• 3.2.1 包过滤防火墙
• 3.2.2 应用层火墙
• 3.2.3 状态检测防火墙
• 3.3 Linux 防火墙体系结构
• 3.3.1 Netfilter 的框架结构
• 3.3.2 Iptables 管理工具
• 3.3.3 Iptables 表的分类
• 3.3.4 Iptables 使用方法
• 3.3.5 Iptables 规则库的管理
• 3.4 小结
• 4 扫描原理与技术
• 4.1 主机扫描原理与技术
• 4.1.1 主机扫描程序的概要（scanhost）
• 4.1.2 scanhost 的程序结构和处理流程
• 4.1.3 scanhost 程序运行结果及分析
• 4.2 端口扫描原理与技术
• 4.3 TCP 端口的检测原理
• tcp）概要'>4.3.1 TCP 端口扫描程序（scanport_tcp）概要
• tcp 程序运行结果及分析'>4.3.2 scanport_tcp 程序运行结果及分析
• udp）'>4.4 UDP 端口扫描程序（scanport_udp）
• 4.5 小结
• 5 入侵检测技术研究
• 5.1 端口扫描检测技术
• 5.2 入侵防御系统Snort 的体系结构分析
• 5.2.1 系统运行原理
• 5.2.2 工作流程图
• 5.2.3 重难点
• 5.3 小结
• 6 自适应防火墙和网络入侵检测系统设计
• 6.1 模型设计
• 6.2 检测系统架构
• 6.3 负载均衡模块
• 6.3.1 数据包转发
• 6.3.2 负载均衡算法
• 6.4 检测引擎优化
• 6.5 主动防御系统
• 6.6 入侵阻止模块
• 6.7 嗅探程序及部分实验结果
• 6.8 小结
• 7 总结和展望
• 7.1 本章小结
• 7.2 工作展望
• 致谢
• 参考文献
• 附录
• A. 作者在攻读学位期间发表的论文附录
• B. 本论文部分源程序附录