入网客户机检测的设计与实现答辩稿.pptVIP

本科生毕业设计毕业答辩 入网客户机检测的设计与实现 入网客户机检测的设计与实现 答辩人： 导师： 日期： 项目来源及开发的目的和意义 目前，政府内部，企业内部的计算机都是通过局域网连接的，但是现有的防病毒、防入侵等措施都是在网关进行的，在局域网内部没有防范措施。 金山毒霸网络版3.0的主动防御模块就可以及早的发现新入网客户机并且将其迅速隔离，使其在局域网内不能通信。而这个发现新入网客户机的过程就是入网客户机检测。 新入网客户机概念 我们规定：已经开启的计算机将网线接入网络，那么这台客户机则被视为新入网客户机。 入网客户机概念重要扩充 有些情况与新入网的客户机的行为一致，具体有以下三种情况： 1） 更改自己的IP。 2） 更换网卡或者直接更改MAC地址。 3） 在网络上重启动。 　　为了防止漏报，如果有以上三种情况之一，我们也会对有以上行为的客端进行检查. 重点模块简介 1）位于代理服务器的ARP检测模块 维护一个动态的活动客户机信息列表（维护可见的），如果发现新入网客户机则向管理中心报警，并且它还负责检测客户机的状态（在线还是离线）。 2）位于管理中心下的ARP的检测模块 负责检测整个网络的新入网客户机的检测和报警工作，并且维护一个全网的在线客户机列表；接受报警信息并通知上层模块做进一步处理。 3）位于客户端的ARP检测模块 发现白名单外的未知客户机则向管理中心报警。 而事实上它直接与代理服务器ARP模块进行通讯，再由代理模块的ARP模块进行转发。 怎样检测 入网客户机检测说到底就是根据现有协议在网络中的应用，我们利用这些协议包中所提供的信息间接得到我们想要的信息，也就是说协议包就是我们判断的依据。 下面我们主要来介绍一下网络包的获取。 驱动的实现 NDIS层的概念：NDIS 是 Network Driver Interface Specification （网络驱动程序接口规范）的缩写，为传输层提供了标准的网络接口。 驱动的实现 现在很多人都是编写中间层驱动，在NDIS层的对MINIPORT和协议驱动之间的数据包进行拦截。这是微软提供的一种技术。虽然这种方法在编写完成后有很大的优点（可以方便扩充功能）但是，这种程序非常的复杂，安装又非常的麻烦。 驱动的实现 NDIS协议驱动程序，是通过填写一张NDIS_PROTOCOL_CHARACTERISTICS表，并调用NDIS API的注册函数来注册新的协议的 事实上，每个协议的这张表是由一个链表组织起来的。 驱动的实现 在注册完一个协议后，NDIS会通过调用表中的BindAdapterHandler派发函数，通知协议对每一个网卡进行BINDING。NdisBindingHandle其实是指向NDIS_OPEN_BLOCK表的一根指针。 驱动的实现 那么NDIS_OPEN_BLOCK表有什么用呢？当协议顺利的绑定后，每个绑定的网卡和每一个协议之间建立了数据传输的通道，而NDIS_OPEN_BLOCK就是用来维护这一数据通道的表。 驱动的实现 当第N块网卡发送数据包到第M个协议时，就会调用第M个协议与第N个网卡之间建立的NDIS_OPEN_BLOCK表里的SendHandler或SendPacketHandler。 这样我们只需要把这些函数替换成我们自己的函数。 检测客户机是否下线的方法 成果 到结题前为止，已经完成的模块有 Oliver驱动 MC下的ARP模块 Agent下的ARP模块 Client的模拟ARP模块 致谢 感谢我的亲人给我的鼓励 感谢我的同事对我的帮助。 感谢我的导师对我的指导。 感谢我的学院和公司给我这次实习的的机会。 * * 在 Windows 操作系统中，所有的应用程序都最终通过调用 NDIS 接口，实现网络访问。 每个客户机在代理服务器的活动客户机列表中共有3种状态：在线、探测中、 不在线。 在客户机自探测中状态转换为不在线状态时，代理服务器的ARP模块会主动给这个IP发送一个ARP REQUEST请求，并等待回应，正常在线的客户机都会返回一个ARP REPLY，并不会对客户机造成任何影响，如果客户机下线，则不会有这样的响应。 *