HTTP報(bào)文監(jiān)測和過濾技術(shù)研究.pdf

1、隨著信息技術(shù)的發(fā)展與Internet應(yīng)用的普及，在當(dāng)前網(wǎng)絡(luò)攻擊、入侵等活動(dòng)不斷增多的情況下，信息系統(tǒng)安全，尤其是計(jì)算機(jī)網(wǎng)絡(luò)安全的重要性變得日益突出，加強(qiáng)網(wǎng)絡(luò)安全方面的研究與實(shí)踐就顯得更加重要。監(jiān)控、審計(jì)與取證技術(shù)是保障信息系統(tǒng)安全、可靠運(yùn)行的重要手段。 本文圍繞網(wǎng)絡(luò)安全監(jiān)控與審計(jì)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)，研究了數(shù)據(jù)包的采集與重組技術(shù)及Linux下伯克利包過濾(BPF)機(jī)制，分析了監(jiān)聽方式與網(wǎng)關(guān)方式下兩種數(shù)據(jù)采集方案的特點(diǎn)與重組原理。把網(wǎng)

2、絡(luò)監(jiān)控系統(tǒng)的設(shè)計(jì)分解為與協(xié)議無關(guān)的網(wǎng)絡(luò)探測器及與協(xié)議相關(guān)的HTTP數(shù)據(jù)還原模塊兩部分，并把網(wǎng)絡(luò)探測器的設(shè)計(jì)分為與數(shù)據(jù)中心的通信模塊，解析配置文件，記錄探測器日志，采集網(wǎng)絡(luò)數(shù)據(jù)包，緩沖采集到的數(shù)據(jù)包，重組TCP會話這幾個(gè)模塊。研究了HTTP數(shù)據(jù)還原技術(shù)，包括對HTTP內(nèi)容的解壓縮及傳輸編碼的塊解碼。在還原HTTP數(shù)據(jù)后對設(shè)置的關(guān)鍵字進(jìn)行過濾并把中標(biāo)的數(shù)據(jù)傳回?cái)?shù)據(jù)中心進(jìn)行保存以便日后取證。 重點(diǎn)研究了HTTP數(shù)據(jù)過濾技術(shù)，針對基于模

3、式匹配的過濾技術(shù)在關(guān)鍵字較多時(shí)需要回溯多次造成過濾速度慢的缺點(diǎn)，采用以文本反向匹配關(guān)鍵字的過濾技術(shù)，分別以哈希表及trie樹結(jié)構(gòu)存儲關(guān)鍵字，以HTTP數(shù)據(jù)中的文本反向匹配存儲在哈希表或trie樹中關(guān)鍵字的過濾技術(shù)，文本不再需要回溯，提高了匹配速度。 本文設(shè)計(jì)實(shí)現(xiàn)的網(wǎng)絡(luò)監(jiān)控系統(tǒng)，能對敏感HTTP內(nèi)容的訪問進(jìn)行實(shí)時(shí)報(bào)警。對嚴(yán)重影響系統(tǒng)性能的關(guān)鍵字過濾技術(shù)，采用以trie樹存儲關(guān)鍵字，以數(shù)據(jù)包中的文本反向匹配關(guān)鍵字的過濾技術(shù)大大提高了