基于WinPcap的入侵检测.docVIP

基于WinPcap的入侵检测 　　摘要:针对目前日益突出的网路入侵问题,该文提出一种网络入侵检测的方法,该方法基于WinPcap,将网络适配器设置为混杂模式,可以有效地捕获网络数据包,并对数据包进行分析,判断是否有入侵行为。 　　关键词:入侵检测;winPcap;数据包;拦截 　　中图分类号:TP393文献标识码:A文章编号:1009-3044(2009)26-7385-02 　　 　　WinPcap-based Intrusion Detection 　　FU Long-tian 　　( Institute of Minjiang, Fuzhou 350011, China) 　　Abstract: Increasingly prominent view of the current network intrusion issues, This paper presents a method of network intrusion detection, this method is based on WinPcap, the network adapter is set to promiscuous mode is an effective way to capture network packets, and packet analysis to determine whether there is an act of trespass. 　　Key words: intrusion detection; winPcap; packet; intercept 　　 　　随着网络技术的发展,越来越多的公司将其核心业务向互联网转移、网络服务成为当前IT业另一个生长点,但网络安全作为一个无法回避的问题呈现在人们面前。计算机网络知识的普及,导致攻击者越来越多,知识日趋成熟,攻击工具与手法日趋复杂多样,单纯的防火墙策略已经无法满足对安全高度敏感的部门的需要,网络的防卫必须采用一种纵深的、多样的手段。网络环境也变得越来越复杂,各式各样的复杂的设备,需要不断升级、补漏的系统使得网络管理员的工作不断加重,不经意的疏忽便有可能造成安全的重大隐患。于是,入侵检测系统成为了安全市场上新的热点,不仅愈来愈多的受到人们的关注,而且已经开始在各种不同的环境中发挥其关键作用。 　　 　　1 入侵行为(Net Inbreak)与入侵检测系统(Intrusion Detection System) 　　 　　入侵行为主要是指对系统资源的非法使用,造成系统的丢失和破坏,甚至造成系统拒绝对合法用户的服务。入侵检测系统(IDS)是通过抓取网络上的所有报文,监视、分析用户及系统活动;审计系统构造和弱点;识别、反映已知进攻的活动模式,统计分析异常行为模式;评估重要系统和数据文件的完整性,报告异常和行为模式,使网络安全管理元清楚地了解网络上发生的事件,并能够采取行动阻止可能的破坏。入侵检测一般分为3个步骤,:信息收集、数据分析、响应(被动响应和主动响应)。 　　 　　2 入侵检测技术 　　 　　入侵检测技术有很多种类,目前常用的有:基于行为的概率统计方法、神经网络方法,基于知识的专家系统等等。一般来说入侵检测系统在数据传输的各个环节进行检测,IDS结构图如图1。 　　防火墙阻止了某一类人群的进入,但是无法阻止同一类人群中的破坏分子,因此需要通过IDS系统来监测,定时扫描,才能真正的起到保护系统的作用。在同类检测技术中WinPcap具有很多的优点:从底层捕获数据包,稳定可靠;对网络协议进行封装,使用简单方便;性能较高;可以进行网络扫描,流量监控等操作。 　　 　　3 基于WinPcap的入侵检测 　　 　　3.1 什么是WinPcap 　　WinPcap (windows packet capture)是windows平台下一个免费、公共的网络访问接口,是针对Win32平台上的捕获网络数据包和进行分析的开源库。它包括一个核心态的包过滤器,一个底层的动态链接库(packet.dll)和一个高层的不依赖于系统的运行库(wpcap.dll),为win32应用程序提供访问底层网络的能力。例如:捕获原始数据报,在数据报发往应用程序之前,按照自定义的规则将某些特殊的数据报过滤掉,收集网络通信过程中的统计信息等。其内部结构如图2所示。 　　WinPcap可以用来开发许多类型的网络工具,比如具有分析,解决纷争,安全和监视功能的工具。特别地,一些基于WinPcap的典型应用有: 　　A、网络与协议分析器 (network and protocol analyzers) 　　B、网络监视器 (network monitors)