基于BPF的数据过滤机制研究.pdfVIP

第8卷 第23期 2008年 l2月 科 学 技 术 与 工 程 Vo1．8 No．23 Dec．2008 1671-1819(2008)23—6392-04 ScienceTechnologyandEngineering ⑥ 2008 Sci．Tech．Engng． 基于BPF的数据过滤机制研究 夏 欣 (南京农业大学信息科技学院，南京210095) 摘 要 随着网络的飞速发展，数据过滤在网络安全中起着极为重要的作用，数据过滤器的性能直接决定 了安全系统的效 率。研究了数据过滤的工作原理，分析了BPF工作机制和过滤模型，得出CFG模型优于树型模型的结论。 关键词 过滤机制 网络安全 BPF 中图法分类号 TP393．06； 文献标志码 A 计算机网络的日益普及，在给人们带来巨大便 的物理基础。 利的同时，带来的安全 问题也越来越多的威胁到每 以太网是一种总线型的网络，从逻辑上来看是 一 个网络用户。在这种情况下，网络监控变得非常 由一条总线和多个连接在总线上的站点所组成各 必要，而实现网络监控 的最重要的一点便是对网络 个站点采用上面提到的CSMA／CD协议进行信道的 数据包的过滤和分析。通过在中断上下文中过滤 争用和共享。每个站点 (这里特指计算机通过的接 掉大量无用的网络数据包从而获得较少的、关键性 口卡)网卡来实现这种功能。网卡主要的工作是完 的信息并进行分析，网络监视程序和入侵检测系统 成对于总线当前状态的探测，确定是否进行数据的 在近几年发展极为迅速，成为保障用户网络安全的 传送，判断每个物理数据帧 目的地是否为本站地 有力武器 。 址，如果不匹配，则说明不是发送到本站的而将它 丢弃。如果是的话，接收该数据帧，进行物理数据 1 数据包捕获原理 帧的CRC校验 ，然后将数据帧提交给 LLC子层 。 网卡具有如下的几种工作模式。 以太网(Ethernet)具有共享介质的特征，信息 (1)广播模式 (BroadCastMode1) 它的物理 是以明文的形式在网络上传输 ，当网络适配器设置 地址(MAC)地址是 0Xffffff的帧为广播帧，工作在 为监听模式 (混杂模式，Promiscuous)时，由于采用 广播模式的网卡接收广播帧。 以太网广播信道争用的方式，使得监听系统与正常 (2)多播传送(MultiCastMode1) 多播传送地 通信的网络能够并联连接，并可以捕获任何一个在 址作为 目的物理地址的帧可 以被组 内的其它主机 同一冲突域上传输的数据包。IEEE802．3标准的以 同时接收，而组外主机却接收不到。但是，如果将 太网采用的是持续 CSMA的方式，正是由于以太网 网卡设置为多播传送模式，它可以接收所有的多播 采用这种广播信道争用的方式，使得各个站点可 以 传送帧，而不论它是不是组内成员。 获得其他站点发送的数据。运用这一原理使信息