Windows平台个人防火墙的分析与设计.docxVIP

PAGE 1 PAGE 1 Windows平台个人防火墙的分析与设计 能够在前台监视进程界面得到进程访问网络的具体信息对个人防火墙系统至关重要——这些进程信息有助于判定是否是有害的网络通信从而加以干预。为获得访问进程的具体信息，必需在TDI以上层进行包过滤分析，而在NDIS中间层开发驱动进行包过滤则无法得到进程信息。笔者无从得知商业个人防火墙产品如金山网镖的包过滤核心解决方案，但从使用SPI个人防火墙系统来看，当在一台宿主机上同时安装该SPI包过滤防火墙系统和金山网镖时，该SPI包过滤防火墙对发送数据领先截获于金山网镖，因此，可断定SPI包过滤发生于金山网镖的更上层，金山网镖应当采用TDI方案进行包过滤来获得访网进程信息。  结合项目目标，要实现通用于Windows平台的个人防火墙系统只有采用SPI包过滤技术路线进行开发，NDIS和TDI方案不适用于Window9x平台。另外，个人防火墙系统应能具体记录各种进程的访问网络信息，而应用层过滤能最早得到应用层进程的发送数据包信息，得到最完整的接收方发送的数据包信息，从而实现记录最丰富网络访问信息的个人防火墙系统。或者可以认为，若须记录最具体的进程访网信息，必需使用SPI进行包过滤。  能够在前台监视进程界面得到进程访问网络的具体信息对个人防火墙系统至关重要——这些进程信息有助于判定是否是有害的网络通信从而加以干预。为获得访问进程的具体信息，必需在TDI以上层进行包过滤分析，而在NDIS中间层开发驱动进行包过滤则无法得到进程信息。笔者无从得知商业个人防火墙产品如金山网镖的包过滤核心解决方案，但从使用SPI个人防火墙系统来看，当在一台宿主机上同时安装该SPI包过滤防火墙系统和金山网镖时，该SPI包过滤防火墙对发送数据领先截获于金山网镖，因此，可断定SPI包过滤发生于金山网镖的更上层，金山网镖应当采用TDI方案进行包过滤来获得访网进程信息。  结合项目目标，要实现通用于Windows平台的个人防火墙系统只有采用SPI包过滤技术路线进行开发，NDIS和TDI方案不适用于Window9x平台。另外，个人防火墙系统应能具体记录各种进程的访问网络信息，而应用层过滤能最早得到应用层进程的发送数据包信息，得到最完整的接收方发送的数据包信息，从而实现记录最丰富网络访问信息的个人防火墙系统。或者可以认为，若须记录最具体的进程访网信息，必需使用SPI进行包过滤。  5结束语  本文目标是实现一个适用于全部Window平台的个人防火墙系统，由于TDIS和NDIS的包过滤技术路线都不能适用于全部Windows平台，因此从项目目标来看，选用SPI是合适的。笔者使用SPI实现了一个人防火墙系统MyFilter1．0，试验表明其具有较好的包过滤处理性能。但可以看到，SPI和TDI都有被“旁路”的可能，而只有NDIS能从底层截获全部的网络通信数据包解决旁路隐患。因此，一个真正可商业化的个人防火墙系统必需同时具备高层包过滤和NDIS底层包过滤的“双截获”方案才能达到抱负的效果，即既能在高层包过滤充分获取访网进程信息，又能在在底层采用NDIS解决旁路的隐患。笔者正在对SPI+NIDS的复合技术路线进行技术验证，但这样的个人防火墙系统不能适用于全部Windows平台。