發布時間：所屬分類：計算機職稱論文瀏覽：1次
摘 要： 論文通過介紹如何運用包過濾技術實現個人防火墻,深入的剖析了個人防火墻中所用到的各種技術,并重點介紹了通過微軟的NDIS 中間驅動程序實現網絡封裝包,以及驅動程序與應用程序之間的通訊方法。
關鍵詞：包過濾技術,NDIS,中間層驅動程序,刊發論文
摘 要：論文通過介紹如何運用包過濾技術實現個人防火墻,深入的剖析了個人防火墻中所用到的各種技術,并重點介紹了通過微軟的NDIS 中間驅動程序實現網絡封裝包,以及驅動程序與應用程序之間的通訊方法。
隨著網絡的迅速發展,各種各樣的網絡軟件也隨之出現,人們的生活和學習對網絡的依賴也越來越多,但問題也接踵而來,防火墻是一種用于在兩個網絡間進行訪問控制的設備,防火墻系統防范的對象是來自被保護的網絡的外部的對網絡安全的威脅,它通過檢測、限制、更改跨越防火墻的數據流,盡可能的實現對外部網絡的安全保護。刊發論文《計算機科學與探索》雜志是由中華人民共和國工業和信息化部主管、華北計算技術研究所主辦的國內外公開發行的計算機學報級高級學術期刊，中國計算機學會會刊，2010年開始由雙月刊更改為月刊，大16開。歡迎踴躍投稿(中文，英文稿件均可)。報導范圍：堅持刊登計算機(硬件、軟件)各學科具有創新性、前沿性、導向性、開拓性及探索性的科研成果。讀者對象：計算機相關專業科研開發人員、工程技術人員及大專院校師生。
一、防火墻和包過濾技術簡介
而包過濾技術是防火墻最基本的實現技術,具有包過濾技術的裝置是用來控制內、外網絡數據流入和流出,包過濾技術的數據包大部分是基于TCP/IP協議平臺的,對數據流的每個包進行檢查,根據數據報的源地址、目的地址、TCP和IP的端口號,以及TCP的其他狀態來確定是否允許數據包通過。
二、截獲網絡封裝包
截獲數據包是實現一個防火墻的第一步，截獲數據包的方法有很多種,既可以在用戶態下攔截網絡數據包,又可以在核心狀態下進行數據包截獲。
在用戶態下進行網絡數據包攔截有以下幾種方法：
(1)Winsock Layered Service Provider (LSP)。
(2)Windows 2000 包過濾接口。
(3)替換系統自帶的WINSOCK動態連接庫。
很顯然，在用戶態下可以很簡單的進行數據包攔截,但其最致命的缺點就是只能在Winsock層次上進行，而對于網絡協議棧中底層協議的數據包無法進行處理。對于一些木馬和病毒來說很容易避開這個層次的防火墻。
因此大多數的個人防火墻選擇利用網絡驅動程序來實現的。例如用中間層驅動程序來截獲數據包。
中間層驅動介于協議層驅動和小端口驅動之間，它能夠截獲所有的網絡數據包(如果是以太網那就是以太幀)。NDIS中間層驅動的應用很廣泛，不僅僅是個人防火墻，還可以用來實現VPN，NAT，PPPOverEthernet以及VLan。中間層驅動的概念是在Window NT SP4之后才有的，因此對于Windows9x來說無法直接利用中間層驅動的功能。Windows DDK提供了兩個著名的中間層驅動例子：Passthru以及Mux。開發人員可以在Passthru的基礎上進行開發，Mux則實現了VLan功能。目前個人防火墻的產品還很少用到這種技術，主要的原因在于中間層驅動的安裝過于復雜，尤其是在Windows NT下。Windows 2000下可以通過程序實現自動安裝，但是如果驅動沒有經過數字簽名的話，系統會提示用戶是否繼續安裝。中層層驅動功能強大，應該是今后個人防火墻技術的趨勢所在，特別是一些附加功能的實現。
三、驅動程序和應用程序間的通訊
當驅動程序截獲網絡數據包后,驅動程序要和應用程序進行通訊,通知應用程序對數據包進行判斷,如果符合過濾規則,則接受數據包,否則,則放棄該數據包,其步驟大致如下:
(1)應用程序創建一事件Event;
(2)應用程序通過CreateFile創建驅動程序實例;
(3)把該事件的句柄傳給驅動程序;
(4)驅動程序通過DeviceControl函數接受Event的句柄;
(5)應用程序通過DeviceIOControl函數傳遞控制驅動程序的消息;
(6)驅動程序通過Dispatch歷程得到應用程序傳來的消息,然后根據消息類型進行不同的服務;
(7)把結果數據放入共享內存區,設置Event事件通知應用程序所請求的事情已經辦完;
(8)應用程序通過WaitForSingleObject來獲知事件發生;
(9)應用程序在共享內存區獲得數據,并重置該事件。
四、過濾規則設置
包過濾防火墻的過濾規則集由若干條規則組成，它應涵蓋對所有出入防火墻的數據包的處理方法，
對于沒有明確定義的數據包，應該有一個缺省處理方法;過濾規則應易于理解，易于編輯修改;
同時應具備一致性檢測機制，防止沖突。IP包過濾的依據主要是根據IP包頭部信息如源地址和目的地址進行過濾，
如果IP頭中的協議字段表明封裝協議為ICMP、TCP或UDP，那么再根據ICMP頭信息(類型和代碼值)、
TCP頭信息(源端口和目的端口)或UDP頭信息(源端口和目的端口)執行過濾，其他的還有MAC地址過濾。
應用層協議過濾要求主要包括FTP過濾、基于RPC的應用服務過濾、基于UDP的應用服務過濾要求以及動態包過濾技術等。
在一般情況下,我們可以從以下幾個方面來進行訪問規則的設置：
(1)禁止一切源路由尋徑的IP包通過;
(2)IP包的源地址和目的地址;
(3)IP包中TCP與UDP的源端口和目的端口;
(4)運行協議;
(5)IP包的選擇。
動作 協議 方向 訪問時間 遠端IP 端口 應用程序 備注
放行 IP 流進 工作時間 202.114.165.240 8080 IE
詢問 TCP 流進 工作時間 202.114.165.192 1080 IE
拒絕 IP 流出 工作時間 202.114.204.153 80 IE
五、記錄和報警
防火墻處理完整日志的方法：防火墻規定了對于符合條件的報文做日志，應該提供日志信息管理和存儲方法。
提供自動日志掃描：指防火墻是否具有日志的自動分析和掃描功能，這可以獲得更詳細的統計結果，達到事后分析、亡羊補牢的目的。
提供自動報表、日志報告書寫器：防火墻實現的一種輸出方式，提供自動報表和日志報告功能。
動作 開始時間
-結束時間 協議 進流量 出流量 本地IP:端口-
遠端IP:端口 應用程序 備注
放行 21:54 -
22:00 TCP 200 400 202.114.165.240:80
202.114.165.225:80 IE
放行 22:01-
22:10 IP 250 100 202.114.165.240:80
202.114.165.193:80 IE
警告通知機制：防火墻應提供告警機制，在檢測到入侵網絡以及設備運轉異常情況時，通過告警來通知管理員采取必要的措施，包括E-mail、呼機、手機等。
提供簡要報表(按照用戶ID或IP 地址)：防火墻實現的一種輸出方式，按要求提供報表分類打印。
提供實時統計：防火墻實現的一種輸出方式，日志分析后所獲得的智能統計結果，一般是圖表顯示。
用包過濾技術實現防火墻較為容易,具有比較好的網絡安全保障功能,但也存在不足之處,由于過濾技術中無法包括用戶名,而僅僅是客戶機的IP地址,那么如果要過濾用戶名就不能使用包過濾技術了,另外,由于包過濾技術遵循”未禁止就允許通過”的規則,因此,一些未經禁止的包的進出,可能對網絡產生安全威脅。今后防火墻的發展會朝著簡單化、安全化方向邁進, 綜合包過濾和應用代理的功能,達到兩者的有效結合,實現新型加密算法的設計,使數據的傳輸更加安全, 會和IDS、病毒檢測等相關安全產品聯合起來，充分發揮各自的長處，協同配合，共同建立一個有效的安全防范體系。
