基于数据包过滤技术的防火墙模型设计
包过滤防火墙在仿真平台中的研究与实现
第３ ６卷
第 ６期
航 空 计 算 技 术
Ａｅｏ ａ ｔ ａ ｏ ｕｉｇＴｅｈ ｉｕ ｒｎ ｕｉ ｌＣ ｍｐ ｔ ｃｎ ｑ ｅ ｃ ｎ
Ｖｏ． ６ Ｎｏ ６ １３ ．
Ｎ ｖ２ ｏ ｏ ．ｏ ６
２０ ０６年 １ 月 １
包过滤 防火墙 在仿真平 台中的研 究与 实现
设计 ， 于此 ， Ｇ Ｎ ｔ 真平台 中实现 了一个 包过 滤防火墙 ， 基 在 Ｔｅ Ｓ仿 并使 用适 当的测 试 用例验 证 了其 正
确性 。
关键词 ： 防火墙 ； 真 ； 则；自动机 ； Ｔ ｅ 仿 规 Ｇ Ｎｔ Ｓ
中圈分类号 ：Ｐ９．８ ３３０ ｒ
文献标识码 ： Ａ
文章编号 ： ７ － ４ （０６０ ４ ８－ １ １ ５ Ｘ ２０ ）６） ３ ４ ６ ６ ０ ０
巍（９ ３）男 ， Ｊ广安人 ， １８ －， ｌ ￣ａ ｌ 硕士研究生 ， 研究方 向为 网络安全 ， 网络仿真 。
维普资讯
・
８ ４－
航 空 计 算 技 术
第３ ６卷 第 ６ 期
处理等都为了节省资源而进行 了简化和改变 ， 在实施 中， 需要对平 台进行修改； 由于要适合大规模分布式仿 真的需要 ， 在实施中还需要考虑性能的影响 、 底层 Ｒ Ｉ Ｔ 更新机制及平台特有的事件调度方式等 内容 。
通过仿真研究 网络安全 ， 与基于在实际 网络上进
行研究 ， 具有经济 、 快捷、 活和高效等特点。正是基 灵
于这样一种思想 ， 本文在分布式仿真平 台 Ｇ Ｎ ｔ［３ Ｔ ｅ ２］ Ｓ． 中研究并实现了一个包过滤防火墙 。 防火墙通常安装在受 保护 的内部网络与 因特 网
１ 系统仿真设计
基于内容过滤的防火墙设计与实现
网络通信重定 向问题 ； 标 Ｉ 目 Ｐ地址过滤模块 主要负
责对 用 户提 出 的 Ｈ Ｆ Ｔ Ｐ请求 的 目标 地址 进 行安 全检 测； 内容 过滤 模 块 主要负 责 在接 收 远程 ｗ ｗ服 务器 ｗ 返 回的数 据 时进 行 安全 内容 过滤 ； 全 日志 模块 主 安 要 负 责对 防火 墙 的每一 项 代 理做 记 录 ， 括 Ｅ志文 包 ｔ
通信 ， 采用过滤数据包 、 问控制 、 访 禁用非法访问 、
记 录 网络 活 动 、 测 和 报 警 等 技 术 手 段 ， 达 到 防 检 以
Ａｃ ｅ ｔ— ｎ ｕ ｇ ： ｈ ｎ ｃ ｐ —Ｌａ ｇ ａ ｅ ｚ －ｃ
Ａｃ ｅ ｔ Ｅ ｃ ｄ ｎ ： ｚｐ ｄ ｆ ｔ ｃ ｐ — ｎ ｏ ｉ ｇ ｇ ｉ ， ｅ ａｅ ｌ
了当前计算 机网络面临的安全问题和防火墙技术 ， 在此基础上 ， 内容过 滤技术引入 防火墙的设计 中， 将 最后探讨 了
防火墙 的设计方案和实现方法。
关键词 ： 计算机技术 ； 网络安全 ； 防火墙 ； 内容过滤
中图分类号 ：Ｐ ９ ． Ｔ ３ ３０ ８ 文献标识码 ： Ａ 文章编号 ：０ ８ ８ ８ （ ０ １ ０ — ０ ３ ０ １０ — ８ １２ １ ）４ ０ ９ — ３
用在 应 用 层 ，其 特 点是 完 全 阻 隔 了网 络通 信 流 ， 通 过对 每 种 应用 服 务 编制 专 门 的代 理 程 序 ， 现监 视 实 和控 制 应用层 通信 流 的作 用 。其 优点 是屏 蔽 网络 内 部结构 、 功能 更丰 富 ， 点是 开发 的工作 量较 大 。 缺
１ 网络 安全 和 防火墙 技术
理 服 务 器连 接 ” 当局 域 网 中一 台工 作 站指 定 了该 ，
信息安全运维方案
安全监控与检测
通过部署安全监控设备和检测工具，实时 监测组织信息系统的安全状态，及时发现 并应对安全事件。
安全控制措施实施
根据安全策略和风险评估结果，采取相应 的安全控制措施，如访问控制、加密技术 应用、防火墙设置等。
02
信息安全风险评估
信息安全风险评估的方法
01
02
03
定量评估
通过定量指标如资产价值 、威胁频率等来评估风险 。
信息安全运维方案
汇报人：
日期:
• 信息安全运维概述 • 信息安全风险评估 • 信息安全运维技术 • 信息安全运维管理 • 信息安全运维实践建议 • 信息安全运维案例分析
目录
01
信息安全运维概述
信息安全运维的定义
信息安全运维是指确保组织的信息系 统安全、稳定、可靠地运行，并采取 必要的措施和管理策略，以防范潜在 的安全威胁和风险。
2. 建立应急响应小组
成立专门的应急响应小组，明确职责和权限，确保在紧急 情况下能够迅速响应。
3. 定期进行应急演练
定期进行模拟演练，检验应急响应计划的可行性和有效性 。
4. 与外部合作配合
与相关机构和合作伙伴建立良好的沟通与协作关系，共同 应对信息安全事件。
感谢观看
THANKS
05
信息安全运维实践建议
定期进行信息安全风险评估
总结词
预防风险、及时发现、全面分析
详细描述
定期进行信息安全风险评估，旨在预防潜在的安全风险，通过全面的分析和评 估，及时发现潜在的安全威胁，为采取有效的防护措施提供依据。
制定科学的信息安全管理制度
总结词
规范行为、强化管理、提高效率
详细描述
制定科学的信息安全管理制度，旨在规范信息安全行为，强化信息安全管理，提 高信息安全工作效率。通过明确信息安全职责、规范信息安全操作流程，确保信 息安全工作的有效实施。
基于数据包过滤技术的防火墙模型设计
中图分类号：Ｔ ３３ ８ Ｐ ９． ０
文献标识码：Ａ
文章编号 ：１０－ ５９ （ ００ ０ － １５ ０ ０７ ９９ ２ １ ） ５ ０４－ １
Ｆｉｅ ｉ Ｍ ｏ ｌ ｓｇ ｇ ｉ ｓ ｔ ｃ ａ ｅＦｉｔ ｒｎｇ Ｔｅ ｈ ｌｇ ｒ ｗａ ｌ ｄｅ Ｄｅ ｉ ｎ ａ ａ ｎ ｔＤａ ａＰａ ｋ ｇ ｌｅ ｉ ｃ ｎｏ ｏ ｙ
ｍａ ｈ ｎ ｓｔｅｃｉｎ ，ｅ ｄ Ｃ ｈ Ｐａ ｄ ｅ ｓｏ ｅｈｏ ｔｍａ ｈｉｅａ ｅｓｒ ｅ －ｉｅｐ ｒ Ｃ ． ｃ ｉ ｅａ ｌｅ ｔｎ ｅ ｔ Ｓ ａ ｔ ｅＩ ｄ ｒ ｓ ｆｔ ｓ ｃ ｎ ｓｔ ｅｖ ｒｓｄ ｏ ｔＳ ａ ｈ ｏ ｎ ｈ ｈ ｎ Ｋ ｅ ｗｏｒ ： ｒ ｗａｌ ｃ ｅ； ｍ ｅ ； Ｉ Ｆｉｔｒ ｙ ｄｓＦｉｅ ｌ； ｔＫｅ ｌＮＤ Ｓ； ｌｅ Ｓｏ
系统 模块 的划分 系统 由数据包 过滤模 块、 进程 管理模 块及 Ｉ Ｐ地址 扫描 功能三 大部 分组成 。过滤 模块 是本系 统工 作的基 础 ，在 设计 阶段 充分考 虑 了系 统在 实际应用 中的 实际应用 情况 ， 设计 了过滤规 则 的添 加 、 修改 ，过滤数 据包 的实 时性等 ，并详 细描述 了过 滤钩子 驱动 的实 现 。进 程管理 模块可 以在 本系统 查看 并结束 相应 非法进 程 。客户 端使用 套接 口技术 实现 了端 口扫 描功 能 。三 部分 结合在 一起 组成 了个人 防火 墙系 统 的完 整功 能 。
当应 用程 序或者 上层 驱动程 序通 过 向过 滤器 钩子驱 动程序 发 送 Ｉ 控制请 求建 立过 滤器钩 子 时，驱动程 序 自 会响应 例程 ， ］ Ｏ 动 例程 处理发 来 的 Ｉ ／ Ｏ控制请 求 。 三、进 程管理 模块 （ ）进 程管 理模块 的功 能 一 程 序 的进 程 管理模块 主要应 实现 的功 能包括 ： １ ． 获取本机 正在 运行 的系统进 程 的名称 、Ｄ 号等 ，并显 示在 列 表框 中 。 ２ 除某 个进 程 ：指定 需要 删 除的进程 的唯一 标志 号进行 删 ． 删 除。 （ ）进程 管理 的实现 二 １ ． 和显 示系统 进程 获取 首先使 用 函数给 当前系统 内执 行的进程 拍 快照 （ ｎｐｈｔ， Ｓ ａｓｏ） 也就 是获得 一个进 程列表 ， 列表 中记录着 进程 的 Ｉ 、进 程对应 该 Ｄ 的可执 行文 件 的名称等 数据 。然 后遍历 快照 中记录 的列表 。可显 示每个 进程 的可执行 文件 名和进 程 Ｉ Ｄ号 等 。 ２ 除系 统进程 ． 删 在对 一个 进程操 作前 ，必 须首先 取得 该进程 的进程 句柄 。函 数创 建进程 后会 返回 一个进 程句柄 ， 而对 于一个 已经存在 的进程 ， 只 能使用 固定 函数来 取得 这个进 程 的访 问权 限 ，该 函数 打开 一个 存在 的进程 并返 回其句 柄 。 四、基 于套接 口技 术端 口扫描 模块 的设计 端 口扫 描模块 通过创 建套 接 口、请求连 接 、套 接 口 Ｉ 状态 ／ Ｏ
包过滤防火墙程序设计
关键问题－填写包过滤规则
• • • • //规则1 filter_table filter[2]; memset(filter[0].SourceAddr,0,16); memcpy(filter[0].SourceAddr,"218.194.97.161 ",strlen("218.194.97.161"));//源IP • filter[0].Protocol = TCP_PRO;//协议类型 • filter[0].Operation = REJECT_OPT; //操作
关键问题－初始化socket（创建）
• 使用socket()函数来给应用程序创建一个套 接字 Socket使用的协议族 使用的协议族 TCP/IP为AF_INET SOCKET socket( int af, Socket类型，有三种， 类型， 类型 有三种， int type, 本程序采用raw 本程序采用 int protocol );
包过滤防火墙程序设计
设计要求
• 编写包过滤程序，捕获并分析IP数据包，并 将符合过滤条件的IP包信息显示出来 • 本例中，我们设置两条简单的包过滤规则：
ID 源地址 目的地址 协议类型 操作
1 2
18.194.96.8
TCP TCP
Reject Permit
• 具体要求如下：
关键问题－定义IP数据包数据结构
• union • { • unsigned short Flags; • unsigned short FragOffset; • }; • unsigned char TimeToLive; • unsigned char Protocol; • unsigned short HeadChecksum; • unsigned int SourceAddr; • unsigned int DestinAddr; • unsigned char Options; • }ip_head;
基于防火墙技术为重心的网络安全体系架构
基于防火墙技术为重心的网络安全体系架构熊亚蒙（广州工程技术职业学院 信息工程系 广东 广州 510900）摘 要： 近年来，随着网络的发展，网络安全问题也日益严重。
防火墙作为最早出现的使用量最大的安全产品，备受网络用户和网络研发机构的青睐。
重点讨论防火墙的概念、分类与功能，结合自己对防火墙技术的理解对防火墙技术进行阐述，并对防火墙网络安全体系架构的进行初步的研究。
关键词： 防火墙技术；网络；技术；安全；体系架构中图分类号：TP393 文献标识码：A 文章编号：1671－7597（2012）1120049－02类型的数据包通过。
ACL可以被配置为根据数据包报头的任何1 防火墙的概念部分进行接收或拒绝数据包，目前，这种过滤主要是针对数据防火墙实际上是一种隔离技术，它可以将内部网和公众访包的协议地址（包括源地址和目的地址）、协议类型和问网分开，是一种最重要的网络防护设备。
从专业角度讲，防TCP/IP端口（包括源端口和目的端口）来进行的。
因此，数据火墙是位于两个网络间，实施网络之间访问控制的一组组件集包过滤服务被人为是工作在网络层与传输层的边界安全机制。
合，它可以在两个网络通讯时执行的一种访问控制尺度，它允4.2 状态检测防火墙许安全的数据进入内部网，同时将有威胁的数据拒之门外。
最状态检测防火墙采用了状态检测包过滤的技术，是传统包大限度地减少恶意用户访问给网络信息带来的威胁。
防火墙的过滤上的功能扩展。
采用这种技术的防火墙对通过其建立的每目的是在网络连接之间建立一个安全控制点，通过允许、拒绝一个连接都进行跟踪，并且根据需要动态地在过滤规则中增加或重新定向经过防火墙的数据流，实现对进、出内部网络的服或更新条目。
状态检测防火墙在网络层有一个检查引擎，它截务和访问进行审计和控制。
获数据包从中抽取出与应用层状态有关的信息，并以此为依据2 防火墙的分类决定对该连接是接受还是拒绝。
防火墙有很多种形式，有的以软件形式运行在普通计算机4.3 代理服务型防火墙之上，也有的以固件形式设计在路由器之中。
基于包过滤的防火墙技术原理及实现
１ 包 过 滤 防 火 墙 的 定 义 包 过 滤 防 火 墙 是 用 一 个 软 件 查 看 流 经 数 据 包 的 包 头 （ ｅ ｄ ｒ ， 此 决 定 整 个 包 的 命 运 。它 可 能 会 决 ｈ ａ ｅ） 由
定 丢弃 （ ＤＲＯＰ） 个 包 ， 能 会 接 受 （ ＣＥＰ ） 这 可 ＡＣ用 过 滤 路 由 器 来 实 现 ， 种 这 路 由 器 与 普 通 的 路 由 器 有 所 不 同 。 普 通 的 路 由 器 只 检 查 数 据 包 的 目标 地 址 ， 选 择 一 个 达 到 目的 地 址 并 的 最 佳 路 径 。 处 理 数 据 包 是 以 目标 地 址 为 基 础 的 ， 它 存 在 着 两 种 可 能 性 ： 路 由 器 可 以 找 到 一 个 路 径 到 若
３ 包过 滤 技 术 ．１
包、 ＵＤＰ 包 、ＣＭ Ｐ 包 ） 源 端 口 、 的 端 口 等 报 头 信 Ｉ 、 目 息 及 数 据 包 传 输 方 向等 信 息 来 判 断 是 否 允 许 数 据 包 通 过 。 过 滤 也 包 括 与 服 务 相 关 的 过 滤 ， 是 指 基 于 包 这
现 个人 防火墙 的原理 。
关 键 词 ： 过 滤 ； 火 墙 包 防
中 图 分 类 号 ： ３ ３ ０ ＴＰ ９ ． ８
文献标 识码 ： Ａ
文 章 编 号 ： Ｏ ７ ６ ２ （０ Ｏ １ 一 Ｏ １～ Ｏ １ ｏ— ９ １ ２ １ ） ４ １７ １
防 火 墙 是 用 于 两 个 网 络 间 进 行 访 问 控 制 的 设
特 定 的 服 务 进 行 包 过 滤 ， 于 绝 大 多 数 服 务 的 监 听 由 都 驻 留 在 特 定 ＴＣＰ／ ＵＤＰ 端 口 。 此 ， 阻 断 所 有 进 因 为
基于包过滤防火墙穿透技术研究
}* I ’ ( } * H/
� 0Z ‘ [ \ H %’* +* ,-. _]^_
!"#"$%&’ () *+%",-.. /-#"0 (1 2-&3"4 *+.4"%+15 2"1"4%-4+(1 0/12 34567894:67 20/12 ;<8=>62?)@ &4A67
7)6B5CD:E>56 F67>6AAC>67 @6>GAC9>EH2 IA6:6 34A67J45< !"---$a !"
DEFHoR2Q
� ‘A � � � � � � � � � 5 m ,R6 n @ ) 7< *
8R9Q
abcdefgDEFRhijk) � � � � � BlmnHopqD ’ @A) @!) :@**) 9Q R;<01 ’ &A )&!) :&*B )! @<" � EF)cdR_‘rsBtu � � � � &<A 3 )DEF TUn @ R . � � !7& vwxyhi)z{|sR � 7& vwPYxyA I m+ 9QRb|01 !)>+ }~\]hi) JK PRQRnSDEFTU9 & G &A I &! I:I&. J&J G J&AJ K J&!J K :K J&.JL <Rb| u 9Q ’ @AC@!D :@.* E*FG.H )
!BCDEF12 � 8" � -&GH) IJK %97 LMNO ); !"# DEFR-. QRn_‘
防火墙包过滤技术分析
防火墙包过滤技术分析[摘要] 随着计算机网络技术的突飞猛进，网络安全的问题已经日益突出地摆在各类用户的面前。
而防火墙已经成为一般企业用来保护自身网络安全的主要机制，因此对防火墙技术进行深入探讨是非常必要的。
防火墙技术主要分为包过滤和应用代理两类。
从数据包结构出发，分析包过滤技术，首先提出包过滤技术的核心问题；然后在分析传统包过滤技术缺陷的基础上，详细论述了包过滤技术的两种发展趋势。
[关键词] 防火墙包过滤动态包过滤深度包检测一、引言随着Internet的迅速发展，网络应用涉及到越来越多的领域，网络中各类重要的、敏感的数据逐渐增多；同时由于黑客入侵以及网络病毒的问题，使得网络安全问题越来越突出。
因此，保护网络资源不被非授权访问，阻止病毒的传播感染显得尤为重要。
就目前而言，对于局部网络的保护，防火墙仍然不失为一种有效的手段。
防火墙技术主要分为包过滤和应用代理两类。
其中包过滤作为最早发展起来的一种技术，其应用非常广泛。
所谓包过滤，就是对流经网络防火墙的所有数据包逐个检查，并依据所制定的安全策略来决定数据包是通过还是不通过。
包过滤最主要的优点在于其速度与透明性。
也正是由于此，包过滤技术历经发展演变而未被淘汰。
考虑包过滤技术的发展过程，可以认为包过滤的核心问题就是如何充分利用数据包中各个字段的信息，并结合安全策略来完成防火墙的功能。
二、包过滤防火墙工作原理包过滤防火墙工作在OSI网络参考模型的网络层和传输层，它根据数据包头源地址，目的地址、端口号和协议类型等标志确定是否允许通过。
只有满足过滤条件的数据包才被转发到相应的目的地，其余数据包则被从数据流中丢弃。
包过滤方式是一种通用、廉价和有效的安全手段。
之所以通用，是因为它不是针对各个具体的网络服务采取特殊的处理方式，适用于所有网络服务；之所以廉价，是因为大多数路由器都提供数据包过滤功能，所以这类防火墙多数是由路由器集成的；之所以有效，是因为它能很大程度上满足了绝大多数企业安全要求。
防火墙技术-包过滤防火墙
? 一个逻辑的、通用的、虚拟的TCP/IP互联网尽管各底层网络可能 不一样，但在网络层（及以上层）是一致的。
? 在这个一致的TCP/IP互联网上实现源端和目的端间的数据通信， 需要有一个统一的、逻辑的通信端点标识方案，TCP/IP在网络层 上使用IP地址编址方案。
? IP地址是以TCP/IP协议进行数据通信的双方必须的、符合标准格
28
如何过滤？
? 对于每个进来的数据包，适用一组规则，然后决定转发 或者丢弃该包
? 过滤的规则以网络层和传输层为基础，包括源和目标IP 地址、协议类型、源和目标端口号
? 过滤器往往建立一组规则，根据IP数据包是否匹配规则 中指定的条件来作出决定 ?如果匹配到一条规则，则根据此规则决定转发或者丢 弃 ?如果所有规则都不匹配，则根据缺省策略
27
包过滤防火墙设计目标与能力
? 防火墙的基本设计目标 ?首先能够区分“内部”与“外部”网络。所有通过“ 内部”和“外部”的网络流量都要经过防火墙 ?通过设置安全策略，来保证只有经过授权的数据才可 以通过防火墙 ?防火墙本身具备较高的性能与安全
? 防火墙的控制能力 ?设备控制，确定哪些设备可以被访问 ?服务/应用控制，确定哪些服务/应用可以被访问 ?方向控制，对于特定的服务，可以确定允许哪个方向 能够通过防火墙 ?用户控制，根据用户来控制对服务的访问
式的节点（主机或路由器等）地址标识符，同一网络上联网的节 点IP地址不能重复（冲突）。
? 在互联网上进行数据通信，每个节点必须拥有全球认可的、统一 管理的、唯一的IP地址。（内部网络不受此限制，只要它的设备
不直接与互联网通信；而通过代理服务器或地址转换设备可以间 接与互联网通信。）
? 每个具体的PC、服务器、路由器的各通信端口（如网卡）均需赋
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
计算机光盘软件与应用
2010年第5期 Computer CD Software and Applications 软件设计开发
— 145 —基于数据包过滤技术的防火墙模型设计
肖 瑜，吕定辉
（濮阳职业技术学院，河南濮阳 457000）
摘 要：本文分三部分介绍了个人防火墙系统模型的设计。
第一部分介绍了数据包过滤模块的设计；第二部分进程管理模块实现了与Windows操作系统的任务管理器的“任务管理”部分的功能；第三部分端口扫描模块在Windows平台下使用套接口（SOCKET）技术实现了把本机作为客户端，把需要扫描的IP地址所在的机器作为服务器端端口扫描。
关键词：防火墙；套接口；内核；NDIS；过滤器
中图分类号：TP393.08 文献标识码：A 文章编号：1007-9599 （2010） 05-0145-01
Firewall Model Design against Data Package Filtering Technology
Xiao Yu,Lv Dinghui
（Puyang Vocational&Technical Institute,Puyang 457000,China）
Abstract:This three-part model describes the design of a personal firewall.The first part describes the design of packet filtering module;second part of the process management module with the Windows operating system Task Manager"Task Manager"section of the function;third part of the port scan module in the Windows platform using the socket（SOCKET）technology has put the machine as the client,need to scan the IP address of the host machine as the server-side port scan.
Keywords:Firewall;Socket;Kernel;NDIS;Filter
一、系统模块的划分
系统由数据包过滤模块、进程管理模块及IP地址扫描功能三大部分组成。
过滤模块是本系统工作的基础，在设计阶段充分考虑了系统在实际应用中的实际应用情况，设计了过滤规则的添加、修改，过滤数据包的实时性等，并详细描述了过滤钩子驱动的实现。
进程管理模块可以在本系统查看并结束相应非法进程。
客户端使用套接口技术实现了端口扫描功能。
三部分结合在一起组成了个人防火墙系统的完整功能。
二、过滤模块
（一）过滤模块的功能
内核中将操作系统的网络传输所有出入包，都流入到虚拟设备中，按照一定的规则进行处理数据包，即可完成数据包过滤功能。
程序的过滤模块主要应实现的功能包括：
添加过滤规则；删除过滤规则；保存过滤规则；加载过滤规则；卸载过滤规则；安装过滤规则；启动过滤；停止过滤。
本文采用过滤钩子技术获取数据包，因此应当首先加载过滤钩子驱动。
（二）过滤钩子驱动
NDIS（网络驱动程序接口）提供了一种通过建立过滤器钩子驱动过滤IP包的方法。
具体步骤是：在过滤器钩子驱动中建立一个普通的设备，通过IOCTL_PF_SET_TENSION_POINTER操作将其内核模式过滤钩子挂接到系统默认的IP过滤器驱动上，从而在其过滤钩子中实现完整的基于数据包的各种分析和过滤处理。
该法仅能对IP包进行过滤，其他的协议不会经过该过滤钩子进行处理。
下面对该步骤予以详细说明。
1.过滤钩子驱动的创建
首先由过滤器钩子驱动程序设置过滤器钩子回调函数，它是这类驱动程序的主体，通过系统提供的IP过滤器驱动注册这些过滤器钩子回调函数。
接着，IP过滤器驱动就可以使用过滤器钩子决定如何处理传入或传出的数据包。
当过滤器钩子驱动通过系统提供的IP过滤器驱动注册其过滤钩子（的入口点时，它给出了过滤器钩子的符号（可变）地址。
由于过滤器驱动程序并不提供过滤器钩子入口点的名称，因此，开发人员可以自由选择过滤器钩子名称。
一般地，应根据过滤器钩子函数的基本功能来命名[51]。
过滤器钩子对传入和传出的数据包做一些特殊处理。
首先是把数据包的特定信息和IP过滤器驱动提供给过滤器钩子的信息加以比较，以此决定下一步如何处理数据包。
其次，在过滤器钩子检测完数据包后，向IP过滤器驱动回复三种响应代码，通知IP 过滤器驱动如何对数据包进行处理数据包。
2.初始化和卸载过滤器钩子驱动
像所有的内核模式驱动程序一样，过滤器钩子驱动程序为驱动对象创建和初始化一个设备对象例程是某个系统对外提供的功能接口或服务的集合。
通过IP过滤器驱动注册驱动的过滤器钩子。
如果用户模式应用程序（非核心态工作模式）或高层驱动程序通过向下层过滤钩子驱动程序发送一个I/O控制请求设置过滤钩，则必须设置和输出一个控制设备的入口点。
当操作系统卸载过滤器钩子驱动程序时，卸载例程将函数中已创建的设备对象移走，而不是清除先前已注册的过滤器钩子。
3.设置和清除过滤器钩子
过滤器钩子驱动程序设置了过滤器钩子回调函数，并通知IP 过滤器驱动为每个传入或者传出的IP数据包调用这个钩子回调函数。
过滤器钩子有可能清除先前注册的钩子回调。
4.过滤器钩子的I/O控制
当应用程序或者上层驱动程序通过向过滤器钩子驱动程序发送I/O控制请求建立过滤器钩子时，驱动程序自动会响应例程，例程处理发来的I/O控制请求。
三、进程管理模块
（一）进程管理模块的功能
程序的进程管理模块主要应实现的功能包括：
1.获取本机正在运行的系统进程的名称、ID号等，并显示在列表框中。
2.删除某个进程：指定需要删除的进程的唯一标志号进行删除。
（二）进程管理的实现
1.获取和显示系统进程
首先使用函数给当前系统内执行的进程拍快照（Snapshot），也就是获得一个进程列表，该列表中记录着进程的ID、进程对应的可执行文件的名称等数据。
然后遍历快照中记录的列表。
可显示每个进程的可执行文件名和进程ID号等。
2.删除系统进程
在对一个进程操作前，必须首先取得该进程的进程句柄。
函数创建进程后会返回一个进程句柄，而对于一个已经存在的进程，只能使用固定函数来取得这个进程的访问权限，该函数打开一个存在的进程并返回其句柄。
四、基于套接口技术端口扫描模块的设计
端口扫描模块通过创建套接口、请求连接、套接口I/O状态查等一系列动作与其他IP地址建立连接。
主要实现的功能为：对单个IP地址的端口进行扫描；对IP段地址的特定端口进行扫描。
五、小结
本章描述了个人防火墙系统的设计模型。
用户可以根据基于钩子过滤技术的数据包过滤模块获得的数据和IP过滤器驱动提供给过滤器钩子的信息加以比较，以此决定数据包被如何被处理。
进程管理模块可以让用户更便捷的判断当前的进程是否合法，并决定是否继续或者中断当前进程。
使用套接口技术来扫描当前与用户主机进行通信的IP地址，设计了端口扫功能，描在一定程度上起到了更加全面的保护作用。