基于BPF数据过滤机制研究.pdfVIP

第8卷第23期2008年12月科学技术与工程 VoL8No．23Dec．2008 Science and Technology @2008Sci．Tech．Engng． 1671-·1819(2008)23·-6392··04 Engineering 基于BPF的数据过滤机制研究 夏欣 (南京农业大学信息科技学院，南京210095) 摘要随着网络的飞速发展，数据过滤在网络安全中起着极为重要的作用，数据过滤器的性能直接决定了安全系统的效 率。研究了数据过滤的工作原理，分析了BPF工作机制和过滤模型，得出CFG模型优于树型模型的结论。 关键词过滤机制 网络安全 BPF 中图法分类号TP393．06； 文献标志码A 计算机网络的日益普及，在给人们带来巨大便 的物理基础。 利的同时，带来的安全问题也越来越多的威胁到每 以太网是一种总线型的网络，从逻辑上来看是 一个网络用户。在这种情况下，网络监控变得非常 由一条总线和多个连接在总线上的站点所组成各 必要，而实现网络监控的最重要的一点便是对网络 个站点采用上面提到的CSMA／CD协议进行信道的 数据包的过滤和分析。通过在中断上下文中过滤 争用和共享。每个站点(这里特指计算机通过的接 掉大量无用的网络数据包从而获得较少的、关键性 口卡)网卡来实现这种功能。网卡主要的工作是完 的信息并进行分析，网络监视程序和人侵检测系统 成对于总线当前状态的探测，确定是否进行数据的 在近几年发展极为迅速，成为保障用户网络安全的 传送，判断每个物理数据帧目的地是否为本站地 有力武器。 址，如果不匹配，则说明不是发送到本站的而将它 丢弃。如果是的话，接收该数据帧，进行物理数据 1数据包捕获原理 帧的CRC校验，然后将数据帧提交给LLC子层。 网卡具有如下的几种工作模式。 以太网(Ethemet)具有共享介质的特征，信息 Cast (1)广播模式(BroadModel)它的物理 是以明文的形式在网络上传输，当网络适配器设置 为监听模式(混杂模式，Promiscuous)时，由于采用 广播模式的网卡接收广播帧。 以太网广播信道争用的方式，使得监听系统与正常 (2)多播传送(MuhiCastModel)多播传送地 通信的网络能够并联连接，并可以捕获任何一个在 址作为目的物理地址的帧可以被组内的其它主机 同一冲突域上传输的数据包。IEEE802．3标准的以 同时接收，而组外主机却接收不到。但是，如果将 太网采用的是持续CSMA的方式，正是由于以太网 网卡设置为多播传送模式，它可以接收所有的多播 采用这种广播信道争用的方式，使得各个站点可以 传送帧，而不论它是不是组内成员。 获得其他站点发送的数据。运用这一原理使信息