分布式防火墻技術(shù)研究及其在校園網(wǎng)的應(yīng)用.pdf

1、網(wǎng)絡(luò)信息安全的概念己被各方接受和認(rèn)同，防火墻、入侵檢測(cè)、防病毒、安全審計(jì)等安全技術(shù)己經(jīng)得到了廣泛的應(yīng)用。在此基礎(chǔ)上，如何構(gòu)建一個(gè)動(dòng)態(tài)的、全方位的安全防護(hù)體系，成為網(wǎng)絡(luò)安全中研究的熱點(diǎn)。 本文在與傳統(tǒng)的網(wǎng)絡(luò)防火墻、個(gè)人防火墻技術(shù)對(duì)比的基礎(chǔ)上，對(duì)分布式防火墻這一全新的防火墻體系結(jié)構(gòu)進(jìn)行了分析，提出一個(gè)分布式防火墻系統(tǒng)的軟件設(shè)計(jì)方案。本方案在保留傳統(tǒng)網(wǎng)絡(luò)邊界防火墻的同時(shí)，設(shè)計(jì)了一種駐留在內(nèi)部網(wǎng)絡(luò)終端的主機(jī)防火墻及其控制中心，將防火墻延

2、伸到內(nèi)部網(wǎng)絡(luò)的終端，從而有效防范來(lái)自網(wǎng)絡(luò)內(nèi)部的非法訪問(wèn)與惡意破壞。主機(jī)防火墻利用NDIS-HOOK與SPI相結(jié)合，在應(yīng)用層利用SPI進(jìn)行封包來(lái)過(guò)濾各種應(yīng)用程序，而在核心層利用NDIS-HOOK來(lái)過(guò)濾各種非Socket通信的數(shù)據(jù)包。這種方法克服了單方面從用戶態(tài)或核心態(tài)截獲數(shù)據(jù)包的缺點(diǎn)，極大提高了系統(tǒng)的安全性能。主機(jī)防火墻利用進(jìn)行網(wǎng)絡(luò)通訊的應(yīng)用程序、IP地址、TCP/UDP端口號(hào)等信息對(duì)計(jì)算機(jī)內(nèi)部網(wǎng)絡(luò)終端發(fā)出的數(shù)據(jù)包進(jìn)行過(guò)濾，同時(shí)將日志信息