下一代防火墻中的邊界流量預(yù)過濾模塊設(shè)計與實現(xiàn).pdf

1、隨著網(wǎng)絡(luò)應(yīng)用的普及以及多元化，網(wǎng)絡(luò)安全形勢逐漸惡化，網(wǎng)絡(luò)攻擊愈加頻繁。防火墻技術(shù)作為解決網(wǎng)絡(luò)安全問題的方法之一，其地位愈發(fā)重要，由于傳統(tǒng)防火墻在應(yīng)對當(dāng)前大量的威脅以及不斷變化的應(yīng)用環(huán)境時已經(jīng)顯得力不從心，因此下一代防火墻便順勢而生。
　　本文是以下一代防火墻系統(tǒng)(Next Generation Firewall System)為研究背景。為避免已知“惡意流量”進(jìn)入防火墻系統(tǒng)后續(xù)防御模塊，設(shè)計并實現(xiàn)一個基于黑白名單的邊界流量預(yù)過濾系

2、統(tǒng)模塊。該系統(tǒng)模塊主要作用就是在防火墻系統(tǒng)收到數(shù)據(jù)包之初，利用黑白名單規(guī)則對流量進(jìn)行預(yù)過濾，減輕防火墻后續(xù)防御模塊的檢測壓力，提高防火墻系統(tǒng)整體效率。論文主要內(nèi)容為黑白名單管理、流量過濾以及日志聚合三大功能的設(shè)計與實現(xiàn)。
　　黑白名單管理涉及的首要內(nèi)容是黑白名單的收集工作。論文研究了歐洲網(wǎng)絡(luò)信息安全機構(gòu)提供的多個知名黑名單網(wǎng)站，并通過設(shè)計多個測度對黑名單網(wǎng)站進(jìn)行評估，篩選出符合要求的作為黑名單來源，同時針對這些篩選出的黑名單網(wǎng)站提

3、供相應(yīng)的數(shù)據(jù)解析功能，實現(xiàn)黑名單的自動獲取，并提供實時更新功能，保證數(shù)據(jù)的一致性。另外提供了自定義黑白名單的接口，便于用戶自定義，以及第三方接口用于與第三方安全廠商提供的網(wǎng)絡(luò)設(shè)備進(jìn)行交互。
　　流量過濾是本文實現(xiàn)的重要的環(huán)節(jié)之一，系統(tǒng)將截獲的數(shù)據(jù)包解析并與本地黑白名單規(guī)則進(jìn)行匹配過濾，匹配效率至關(guān)重要。論文通過研究整數(shù)散列算法，設(shè)計出高效的散列方法，保證散列表中的元素均勻存儲，并通過實驗驗證其有效性。同時本文基于傳統(tǒng)散列表設(shè)計方案

4、，對其存儲方案進(jìn)行優(yōu)化設(shè)計，降低其平均查找時間，保證高效匹配，并通過實驗數(shù)據(jù)驗證其有效性。
　　對于流量過濾匹配過程中所產(chǎn)生的大量冗余日志信息，本論文通過設(shè)計一種日志聚合算法對重復(fù)的日志記錄進(jìn)行合并操作，減少日志冗余信息，提高系統(tǒng)資源利用率。此外，本論文還為用戶設(shè)計提供了配置下發(fā)接口，用于用戶配置的設(shè)置和查詢。同時對各個模塊的實現(xiàn)細(xì)節(jié)做了詳細(xì)描述。
　　論文最后根據(jù)預(yù)過濾系統(tǒng)模塊需求分別對系統(tǒng)模塊的功能、性能做了合理的測試，