基于NDIS技术的深度包检测防火墙的研究与实现-毕业论文.docVIP

上海交通大学硕士论文  摘 要  基于 NDIS 技术的深度包检测防火墙的研究与实现 摘 要 近年来，网络攻击呈大幅上升趋势，冲击波、震荡波等蠕虫给网 络安全带来了很大的挑战。传统的防火墙技术如包过滤防火墙、状态 检测防火墙等，都缺乏应对这些新的攻击的能力。作为网络安全体系 的重要一环，防火墙技术也需要不断发展，需要增加新的技术手段来 应对新出现的威胁。 基于此，本文提出了新型的、基于 TDI 层过滤驱动和基于 NDIS-HOOK 技 术 的 深 度 包 检 测 双 重 防 护 型 防 火 墙 架 构 ， 并 在 windows 内核实现了防火墙系统。论文的主要工作包括： （1）研究了 Windows 内核的 I/O 机制，分析试验了在 TDI 层、 NDIS 层捕获、过滤以及控制网络请求包的方法； （2）设计实现了基于 TDI 层的网络包过滤控制。在 TDI 层可以 获得 IP 地址、端口、协议、用户、进程等多方面的信息，从而能够 实现针对特定用户和特定应用程序的精确控制； （3）设计实现了基于 NDIS 层，应用深度包检测技术的网络包过 滤控制。利用深度包检测技术，全面地分析这些协议内容，以发现网 络通信过程中可疑或异常的行为，并结合状态检测技术，判断应用层 的会话状态，实现及时阻断； （4）对论文中设计的系统进行了系统测试。包括 TDI 层的基于应 用进程的七元组过滤控制的测试，以及 NDIS 层的 HTTP 协议深度包 检测控制测试。测试表明，本文提出并实现的基于 TDI 层过滤驱动和 基于 NDIS-HOOK 技术的深度包检测双重防护型防火墙架构实现了 在各自层次的网络访问控制和深度包检测，提高了主机的安全性。 关键词：防火墙，TDI，NDIS，协议分析，状态检测，深度包检测 第 I 页 上海交通大学硕士论文  ABSTRACT  RESEARCH AND IMPLEMENT OF DEEP PACKET INSPECTION FIREWALL BASED ON NDIS TECHNOLOGY ABSTRACT In the recent several years, attacks from network are growing greatly year by year. These attacks which aim at loopholes in application layer, such as worm and trojan horse, have bring a great challenge to network security, but traditional firewall technologies, such as packets filter firewall and stateful inspection firewall, cant defense them efficiently.As an important part of network secuity system, firewalls must improve their abilities and new technology and motheds must be developed in order to defend these attacks which aim at application layer. Based on circumstances talked above, this paper puts forward a new-style, double-defence firewall framework based on TDI filter driver and NDIS-HOOK deep packet inspection technology, and implement it in windows kernel. The main works of this paper are as follows: (1) Researched I/O mechanism in windows kernel. Analysed and tested how to capture, analyze, filtrate and control IRP packets in TDI layer and NDIS layer of windows network protocol stack by means of attaching drivers. (2) Designed and implemented the filtration and control of network IRP in