网络入侵检测中数据采集技术的研究.pdf.pdfVIP

·78· 第十九次全旧计算机安全李术交流套伦灰 网络入侵检测中数据采集技术的研究 窦伟平 邱 伟 李传林 山东大学计算机科学与技术学院 摘 要:网络数据包采集是网络入侵检测系统高效工作的基石。目前大多数网络入侵检测系 统的数据采集模块都是基于LIBPCAP(WINDOWS版本为WINPCAP)提供的库 函数开发的，这种方法已经无法适应 目前出现的各种高速网络技术。为了解决这个 问题，文章采用编写协议驱动程序采集数据包，并通过在驱动程序中过滤数据包和 减少数据包在核心态空间和用户态空间之间的拷贝次数等方法，提高数据包采集的 效率，从而提高了整个网络入侵检刚系统的性能。 关键词:入侵检测 网络安全 数据采集协议驱动程序 用关系如图2-1所示，应用程序可以调用底层的API 一、引言 也就是packet.dll，也可以调用高层的APIwpcap.dll 来实现各种高级的应用，比如人侵检测。目前绝大多 在网络人侵检测系统中，数据包采集模块是整 数的网络人侵检测系统的包捕获模块都采用这种方 个系统高效工作的基础，包采集能力是衡量系统性 法。另外一种方法是在WINDOWS2000系统中通过 能的一个重要指标，目前国内外的大多数网络人侵 开发相应的WDM(WINDOWSDRIVERMODEL)网 检测系统的数据采集模块，都是利用LIBPCAP提供 络驱动程序来实现对数据包的捕获。WDM网络驱动 的函数库来实现，如SNORT1I21，其在WINDOWS下的 程序是通过拦截操作系统对NDIS的功能函数的调 版本为WINPCAP。考虑到采集效率、自主知识产权、 用来截获进人本机的网络数据包，可以在两个层次进 采集模块与系统其他模块的配合等因素，我们通过 行拦截:一个是在NDIS的协议驱动层与应用层接口 自己编写协议驱动程序来捕获数据包，并通过在驱 之间进行拦截，另外一个则是利用NDIS的中间层驱 动程序中实施数据包过滤、减少数据包在用户态空 动拦截。除了这两种方法外，还可以采用HOOK技术 间和核心态空间之间拷贝的次数等方法，提高了采 来挂接NDIS所提供的服务，从而截获数据包。NDIS 集的效率。 (NetworkDriverInterfaceSpecification)是MicroSoft 和3Com公司开发的网络驱动程序接口规范的简称， 二、网络数据包采集的常用技术 NDIS定义了网卡或网卡驱动程序与上层协议驱动程 序之间的通信接口规范，它屏蔽了底层物理硬件的不 在WINDOWS2001〕下采集数据包有两种常用 同，使上层的协议驱动程序可以和底层任何型号的网 的方法，一种是通过在WIN32系统中安装Winpcap 卡通信 t%[ WDM首先在Windows98中实现，在 实现，Winpcap为应用程序提供了与数据包截获有关 WINDOWS2000中得到了进一步的完善，并在后续开 的过程，包括两个不同层次的API,packet.dll,wpcap. 发的WINDOWS操作系统中都将存在。微软通过 dll和一个虚拟设备驱动程序npf.vxd，他们之间的调 WDM模型的引人，希望减轻设备驱动程序的开发难