基于鏈路層數(shù)據(jù)的信息審計(jì)系統(tǒng)研究.pdf

1、本文通過(guò)對(duì)網(wǎng)絡(luò)信息審計(jì)過(guò)濾系統(tǒng)的需求分析，在借鑒傳統(tǒng)入侵檢測(cè)系統(tǒng)在處理網(wǎng)絡(luò)底層數(shù)據(jù)所使用方法的基礎(chǔ)上，深入的分析了TCP/IP協(xié)議，采用了模塊化設(shè)計(jì)方法設(shè)計(jì)并實(shí)現(xiàn)了一款基于鏈路層數(shù)據(jù)的網(wǎng)絡(luò)信息審計(jì)系統(tǒng)。并對(duì)目前信息審計(jì)過(guò)濾技術(shù)進(jìn)行了分析和介紹。 論文按照軟件生存周期各個(gè)階段對(duì)系統(tǒng)設(shè)計(jì)進(jìn)行了闡述和介紹，并針對(duì)目前信息審計(jì)過(guò)濾系統(tǒng)中存在數(shù)據(jù)捕獲問(wèn)題采用了基于BPF技術(shù)的Libpcap函數(shù)庫(kù)對(duì)網(wǎng)絡(luò)底層數(shù)據(jù)進(jìn)行拷貝式收集。針對(duì)TCP會(huì)話

2、重組中存在的報(bào)文非按序到達(dá)及重傳問(wèn)題，提出了一種利用序列號(hào)確定TCP報(bào)文順序的方法，并利用二維鏈表對(duì)TCP會(huì)話進(jìn)行還原。針對(duì)系統(tǒng)要對(duì)網(wǎng)絡(luò)底層進(jìn)行數(shù)據(jù)捕獲，在應(yīng)用層面進(jìn)行分析的功能需求，論文中通過(guò)對(duì)HTTP、SMTP、POP3協(xié)議進(jìn)行分析，設(shè)計(jì)了三個(gè)協(xié)議分析方法，從還原以后的TCP會(huì)話中提取URL、Email地址、內(nèi)容、編碼方式信息，根據(jù)編碼方式將信息還原成明文。考慮到系統(tǒng)在特征匹配的過(guò)程中對(duì)速度的要求，論文研究了傳統(tǒng)的字符串匹配算法，并