分布式网络监控系统设计与实现

监控端
２ 主机监控端功能描述 ． ２
（） １内容过 滤功能 。主要 针对应用层 的应用 协议 ，
方面 的问题 ，采 用下述 措施提 升系统 的安全性 ：（） １ 分 ￣ Ｈ Ｔ 、Ｓ Ｔ 、Ｐ Ｐ 等 。该 层 的 目标 是能够控 制用 Ｉ ＴＰ Ｍ Ｐ Ｏ ３ ］
布式基 础模型 ：（） ２三层过 滤框架 结构 ，监 控更彻 底全 户 的ＷＥ 行 为与邮件行为等 。 Ｂ 面 ；（） ３策略集 中控制 ，被监控设 备无权 更改策 略 。安 全性更 高 ：（ 更强 的防木 马特性 ：（） 细 日志记录。 ４ ） ５ 详
参数 及其意义 ： Ｐ ｄ包 括该线程 的进 程 ，而不是 创建该 线程 的进 Ｉ
程 Ｔ Ｐ￣备转交连 接请求 。 Ｃ￥ 过 滤发送 Ｕ Ｐ Ｄ 数据包请 求 的实现 ：驱动程序 接到 Ｔｄ Ｉ 将要创建 的线程的线程号
ＭａｏＦ ｎ ｔ ｎＣ ｄ 为Ｉ Ｐ ＭＪ Ｄ Ｖ Ｃ — Ｏ Ｔ Ｏ ｊｒ ｕ ｃｉ ｏ ｅ Ｒ — — Ｅ Ｉ Ｅ Ｃ Ｎ Ｒ Ｌ， ｏ ＭｉｏＦ ｎｔ ｎＣ ｄ ｎ ｒｕ ｃｉ ｏ ｅ为Ｔ ＩＳ Ｎ —Ｄ Ｔ Ｇ Ａ ｏ Ｄ— Ｅ Ｄ Ａ Ａ Ｒ Ｍ的Ｉ Ｐ Ｒ
中包括 ：ＷＳ Ｓ Ｃ Ｅ 、ＷＳ Ｓ Ｎ Ａ Ｏ Ｋ Ｔ Ａ Ｅ Ｄ、ＷＳ Ｓ Ｎ Ｔ Ａ Ｅ Ｄ ０、
ＷＳ Ｒ Ｃ 、ＷＳ Ｒ Ｃ Ｆ ０ 、ＷＳ Ｃ Ｎ、Ｎ Ｃ 等。 Ａ ＥＶ Ａ Ｅ Ｖ ＲＭ ＡＯ ＥＴ 只要是通过 套接字 方式进行 网络通 信 的数据 都能被 拦 截 到 ，但 是对 于直接通 过ｔｐｓｓ ｄ ． ｓ 行通信 的 ｃ ． ，ｕ ｐｓ 进 ｙ ｙ 数 据该 层是 拦截 不 到的 。在ＷＳ Ｃ Ｎ Ｅ Ｔ Ａ Ｏ Ｎ Ｃ 函数 中 ， 可 以通过远 程端 口号对套接 字 的协 议类 型进 行设置 ， 协 议类 型 包括 Ｈ Ｔ 、Ｐ Ｐ 、Ｓ Ｐ 。这 样根 据 协 Ｔ Ｐ Ｏ ３ ＭＴ 等
／ 计与应用／ 设
分布 式 网络 监控系统设 计与实现
于 涛
（ 山东济南生产力促进 中心 ）
摘 要 ：本 文针对 目前防火墙等 网络监控产品存在过滤不全 面，力度 不强等问题 ，研 究设计 了分布式 网络监控
系统 （ 简称Ｄ ＮＭ ），给 出了Ｄ ＮＭ系统框 架和结构设计 ，并详细介绍 了Ｄ ＮＭ系统的核心—监控端的设计与实现。 关键词 ：分布式 ；网络监控 ；防木 马 ；监控 端
｝Ｅ ＳＯＮ，Ｐ Ｅ Ｓ Ｏ Ｓ ＳＩ Ｓ Ｓ Ｉ Ｎ；
／ 一
．．
Ｌ Ａ１
３２ ．应用过滤 在 本 层 只有 策 略 中给 出的 进程 才 是 允许 访 问 网 络 的进 程 ，没 有允许 的就是禁止 的 。同时为 了防止 嵌 入在 系统进程 中的嵌入 式木马 ，将 系统进 程与端 口绑 定 比如 ｗｎ ｏ ｓ ０ ０ ｉｄ ｗ ２ ０ 中的ｓｒｉｅ系统 进程 ，该 进程 完 ｅｖｃ ｓ 成 Ｄ Ｓ 址解 析等功 能 ，通 过５ 号端 口访 问Ｄ ｓ Ｎ地 ３ Ｎ 服务
１ 引 言 、
能 。监 控端是 整个系统 的重 中之重 。本 文主要 介绍监
随着计算 机 网络技 术 的发展与普及 ，网络安全 已 控 端的设 计与实现技术 。 经成 为一个 国 际化 的问题 。今天 网络安 全事故 的发生
由多方面 的原 因造成 ，系统漏洞 、配 置漏洞 ，同时人
为 的疏忽 也越来越 占更大 的 比率 。除数 据破坏 以外 ，
墙相 类似 。整个 系统 分 为监 管 中心和 监控 端 ，如 图 １ 问 ，禁止本 机对某 些Ｉ 地址段 的访 问 ，限制 某些本 地 Ｐ
所示 ；监管 中心统 一制定 策略 ，具 有 日志审计查 看功 端 口被访 问 ，限制 访 问远 程端 口地 址段 。限制各 种协 能 。实 时查看 管理被 监控设 备 网络 连接 ；监控端 负责 议数据 的进出。 监控设 备 的网络行 为 ，同时具有 一定程度 的防木马 功
Ｔ ｐ ｄ ｆ ｓｒ ｅ Ｓ Ｓ Ｉ Ｎ｛ ｙ ｅ ｅ ｔ ｔ Ｅ Ｓ Ｏ ｅ
＿
图３ 应用过滤模块 流程 图 过 滤 ＴＣＰ 接 请 求 的 实 现 ： 驱 动 程 序 接 到 连
Ｍａｏ Ｆ ｎ ｔ０ 为 Ｉ — — Ｅ Ｃ — ＯＮ ＲＯＬ， ｊ ｒ ｕ ｃｉ ｎ ＲＰ ＭＪ Ｄ ＶＩ Ｅ Ｃ Ｔ
３ 、关键技术 等
／ 布 式 网络 监 控 系 统 设 计 与 实 现 ／ 分
Ｓ Ｃ Ｅ ：／ Ｏ Ｋ Ｔ Ｓ ／ 字描述符 套接
Ｄ Ｒ ｌ ｅ ｏｅ ； ／ ＷＯ Ｄ ｕＲ ｍ ｔ Ｐ ／ ｌ 远端Ｉ地址 Ｐ
Ｂ Ｔ Ｄｒ ｔｎ ／ Ｙ Ｅ ｂ ｉ ｃｉ ；／ ｅ ｏ 数据进 出方向 Ｂ Ｔ Ｐ ｏ ｃｌ ／ Ｙ Ｅ ｂ ｒｔ ｏ；／ ｏ 协议类 型。包括Ｈ Ｔ 、Ｓ Ｐ Ｔ Ｐ ＭＴ Ｔ Ｈ Ｒ ｓｅ ｏ ＸＰ Ｔ １ ／ Ｃ Ａ Ｍ ｍ ［ ＭＡ ＿ Ａ Ｈ ； ／ 数据包关键 字
议类 型 。在 ＷＳ Ｓ Ｎ Ａ Ｅ Ｄ、ＷＳ Ｓ Ｎ Ｔ Ａ Ｅ Ｄ Ｏ、ＷＳ Ｒ Ｃ Ａ Ｅ Ｖ、
ＷＳ Ｒ Ｃ Ｆ Ｏ 函数 就可以解析该协议数据 ，提取 关 Ａ Ｅ Ｖ ＲＭ 键 字 。在提 取完关键 字之后 ，需要 按照策 略对关键 字 进行过滤 ，并且 记录下来作为 日志 。 关 于关 键 字 的提 取 ，以 上各 个 协 议都 是 明文 协 议 。例 如 。通 过 在ＨＴ Ｐ 据 包查 找 “ Ｓ ” 字 符 Ｔ数 ＨＯ Ｔ 串 。就 能 得 到 网站 名 称 。通 过 在 Ｓ Ｐ 据 包 中查 ＭＴ 数 找 “ ｕｊｃ：” 字符 串 ，就 可 以得 到邮件 主题 。查 Ｓ ｂｅｔ 找 “ ｒｍ：”字 符 串 ，可 以得 到 发信 人 地址 。查 找 Ｆｏ “０ Ｔ ：”字符 串。可 以得 到收信人地址 。对于Ｐ Ｐ 协 Ｏ３ 议也 同样适用 。 关键数 据结构 体定 义 ：
信息外泄也成为网络安全需要解决的一个重要问题 ，
其造成 的危 害和损 失不亚 于有 时甚至大 大高于直 接 的 数据 破坏 。如何对 网络设 备进行 监视 与控 制是解 决 问
题 的基础 和关键所 在。
作 为保护 主机 的 “ 盾牌 ”一 单机 防火墙 、分 布式 防火墙 、网络监控 系统等 ，这些 产品和技 术一 直在不
断 的发展 ，但是 现有 的防火墙及 其他 网络监控 产品侧
重 于对 用户 应用程 序和数 据包 的过滤控制 ，而 忽视 了 对ＷＥ 浏览 、邮件收发 、以及 系统进程及其服务应用 的 Ｂ 控制 ，仍然存在过滤不够全面 、力度不够强等不足 。
分 布式 网络监 控系统 （ 简称Ｄ Ｍ）针对上述 几个 Ｎ 图１ Ｎ Ｍ系统框架模型 Ｄ
作为 以上两层 的补充 ，该层过 滤可 以更充 分 的过 够 比较创 建线程 的进程 和包含线 程 的进 程是不是 同一 滤掉各 种数据包 。 比如上层过滤无法过滤掉 的ＩＭＰ Ｃ 等 个 进程 ，从而判断是不是远程线程 。 协议 ，还 有Ｎ ｔｉ 协 议数据 等 。在该 层过滤 中，策 略 ｅ ｏ ｂｓ （） ２注册表写入控制 注 册表 写 入 控制 的 实现 是基 于 Ｈｏ ｋ ｏ 系统 服 务调 中给出的都是禁止 的。 在进行 数据包 分析 的时候 ，从 以太 网数据得 到Ｉ 用 的方 法 。在 ｎｏｋ ｎ．ｘ 中维 护着 两 个 表 系统 服务 Ｐ ｔｓ ｒ１ ｅ ｅ 数据 或者Ａ Ｐ Ｒ 数据 。从 Ｉ数据得￣ Ｔ Ｐ Ｐ Ｊ Ｉ Ｃ 数据 ，或者Ｕ Ｐ 调度表 （ｙｔｍ Ｓ ｒｉｅＤ ｓ ａｈＴ ｂｅ和 系统服 务参数 Ｄ Ｓ ｓ ｅｖｃ ｉ ｔ ａ ｌ） ｅ ｐ 数据 ，或者Ｉ ＭＰ 据 。本层 具有 “ Ｃ 数 宏观 ”过滤和 “ 细 表（ｙｔｍ Ｓ ｒｉｅＰ ｒｍ ｔｒＴ ｂｅ。如果修 改 Ｓ Ｄ Ｓ ｓ ｅｖｃ ａａ ｅｅ ａ ｌ） ｅ ＳＴ 致 ”过滤 。 “ 观 ”控 制是指在 本层存 在一 个全局 策 中 的某 个 系 统 服务 程 序 的人 口地 址 为指 向 自定义 的 宏 略 ，这个 宏观控 制策 略包括 ：协议控 制 、端 口控制 、
２ 、系统设计
（） ２应用过 滤功能 。主要 针对 主机 上访 问网络的进 程 。该层 的 目标是 控制进程 访 问网络 的行 为 ，任何 一
个进程都 必须在策略 的允许下才能访 问网络 。
（） 据包 过 滤 功 能 。该层 的 目标 能 够 从全 局 上 ３数
２１ 系统框架 ．
本 系统 的体 系结构 和部分 功能与分 布式 网络防火 控 制 网络访 问。限制某 些Ｉ 地址段 的主机对 本机 的访 Ｐ
科与理 学管 ０
｛ 计 与随忍｝ 设
Ｌ Ｉ ＮＢ Ｅ Ｃ ｅ ｔ） ＭｉｏＦ ｎ ｔ ｎ Ｔ ＩＣ Ｎ Ｅ Ｔ Ｒ 后 调用 相应 的 ＨＡＮＤ ＥＴ ｄ， Ｉ ＯＯＬ ＡＮ ｂ ｒａｅ ｎ ｒ ｕ ｃｉ 为 Ｄ — Ｏ Ｎ Ｃ 的Ｉ Ｐ ｏ
处 函数 ，处理 函数调 用访 问控 制模块 函数 判断请 求 的 合法性 。根据 访 问控 制模块 函数 的返 回结 果拒绝 或 向
器 ，那 么只有通过 ５ 号端 口发送 出去的数据是 合法 的 ３ 数据 。 在Ｔ Ｉ Ｄ 驱动层 中 ，一个 进程 要访 问 网络 ，必 须首
先发 送Ｍａ ｒｕｃｏ为Ｉ ＰＭＪＣ Ｅ Ｔ ｊ Ｆ ｎｔｎ Ｒ ＿ — Ｒ Ａ Ｅ的ＩＰ Ｊ ｏ ｉ Ｒ ￣建一 个代 表传输 地址 的文 件对象 。如果一 个进程无 法创建 代表 传输地址 的文件 对象 ，就 无法访 问 地址文件 对象 图２ 监控端三层过滤模块框架 图 的请 求就可 以达到拒 绝该进程 所有 网络请求 的 目的 。 Ｄ Ｍ按照三层过 滤的规划 ，划分 为 内容过 滤 、应 Ｎ 创建 传输地址 文件对 象的请求 中提供 了要 求创 建的地 用 过滤 、数据包 过滤 。数 据包要 经过层层 的过滤 最终 址信 息 （ Ｅ 提 供 的Ｔ ＡＮ Ｐ Ｒ — Ｄ Ｒ Ｓ 中 ）， 在 Ａ Ｒ ＳＯ ＴＡ Ｄ ＥＳ 才能完成传输 。三层过滤之 间的关 系如 图２ 所示 。 这些 信息包括 进程要求 使用 的本 地端 口号 。是否应 该 ３１ 内容 过 滤 ． 拒绝 某进程创 建传输 地址文件 对象 的请求 是通 过调用 该层 的策 略只给 出了用户 可以访 问的Ｗｅ 站点 ， ｂ 访 问控 制模块 函数确定 的 。访 问控制模块 的流程 图如 没有给 出的站点 ，都是不允 许用户 访 问的站点 。将 服 图３ 示 。 所 务 提供者接 口的几 个关键 函数替换 为 自己的 函数 ，其