Web的入侵防御系统的设计分享.pdfVIP

Web的入侵防御系统的设计分享

0引言

随着网络技术的不断发展和深入应用，人们对网络的安全性和可管理性的要

求也越来越高，与此同时网络hacker的攻击方式，也变得越来越多样化，技术的复杂

程度也越来越高，网络用户使用网络过程中常见的攻击类型有：未经授权的远程访问、

本地超级用户的非法访问、扫描与探查、拒绝服务攻击以及恶意软件包。

这就要求对用户端发送的HTTP®息进行分析比对，但这种报文解析的方式需

要一种截获下层原始报文的能力，这可以通过截获传输层或网际层报文的实现，所以

我们通过Web®务器提供的接口仅仅截获应用层的HTTP®文。

要求用户端口发起的检测本身全面监控用户端口的行为是不够的，因为我们

只知道用户端口发起的请求，但不知道如何在服务器响应到用户端口。由于完整的

HTTP^话，包括用户端口发送一个请求，服务器端响应请求，那么服务器只监控的内

容后，才作出回应的HTTP^话将结束。如果Web®务器端口提供给用户端口响应

HTTP^据包封装的接口，当我们试图调用WebK务器也接口，而不是试图组装消息的

HTTP因此，这个入侵防御系统的核心是它的策略引擎，通过强大，灵活的策略引擎，

实现功能检测或异常检测。

1体系结构

通常一个系统会采用单层或者多层的体系结构。单层的结构将模块都紧密连

接在一起，模块与模块问都能交义调用，多层的结构划分了不同功能的模块，层与层

之间是靠已经定义好的接口进行通信传输。单层结构没多层的结构有良好的扩展性，

而单层结构可以对模块之间交互的更加高效。为了能使系统能够适合不同的Web^艮务

器平台，综合以上的因素考虑后，本系统采取了分层式体系结构。图1为

本系统的体系结构图。如图1所示，这个Web的入侵防御系统主要分层了以下三层：

图IWebIPS的体系结构

解析及响应层：这一层的作用是为IPS提供解析客户端HTTP!文请求以及封

装服务响应报文的接口。当客户端要对服务器进行访问时，该层通知策略引擎

调度策略，客户端的访问信息进行检测，并为策略引擎提供响应。按照以上的分析结

果，这一层由服务器提供的接口封装实现。如图2所示。

图2WebIPS的解析与响应流程

策略引擎：这一层的作用是策略调配，通过“解析及响应层”提供的接口来

获取用户端的信息，并交给“解析及响应层”来完成。同时策略加载策略引擎的调配数

据管理层来完成，以及日志记录的功能。

数据管理：这一层主要提供日志记录的信息、策略脚本解析及配置管理的功

能。因此数据进行处理过程都是在这一层里来处理完成。

每一层都独立的完成功能，当其中某层的发生变化时，只要接口没有改变，

对另外层没有影响。这样整体结构就有较大的扩展性，例如：我们可以把响应层和解析

的具体实现方法是由调用Web服务器的接口方式替换为直接截获传输层网络层封包的

方式等。

2处理流程

WebIPS勺处理流程图2所示，具体流程如下：当用户端向发送HTTP®求的

时候，解析模块解析原始的数据报文经HTTPffi文，报文解析模块会告知策略引擎模块

对用户端的信息进行排查检测，策略引擎会根据策略脚本中编写的策略，告知HTTPA

向应模块对用户端的行为做出响应，并根据策略脚本中的策略，告知日志记录信息模块

记录相应的日志。如图3所示，依据WebIPS系统的处理流程及体系结构，系统主要模

块和实际作用如下：

图3WebIPS的处理过程图

IPS管理模块

该模块的主要工作是管理和连接IPS的各个功能模块，同时管理和监控数据

流，根据读取配置文件的相关设置完成系统的初始化，对系统的信息状态进行管理：运

行、停止、重新加载。当HTTP