硕士论文-高性能主动安全模型研究及其原型系统实现.pdf

东南大学

硕士学位论文

高性能主动安全模型研究及其原型系统实现

姓名：姚晓宇

申请学位级别：硕士

专业：计算机应用技术

指导教师：顾冠群

20030301
摘要略四个模块构成的主动安全原型系统，对关键部分主动过滤模块、IDXP通信机制和IDMEF随着网络技术的不断发展，硬件带宽不断地增加，界面友好的多媒体应用日益丰富，互联网逐步走进了我们的日常生活。然而，计算能力的增长远落后于带宽的增长速度，许多网络中的处理节点的软件本身也因为硬件的处理能力不断提高而被我们忽视，这就更加剧了网络服务的性能瓶颈问题。HTTP代理防火墙作为网络安全保护的基石之一，在大规模ISP和企业网络中获得了广泛应用，囿于传统的代理模型限制，往往需要高昂的硬件投资换取相对的高TCP／IP协议的设计初衷以共享和开放为宗旨，对于协议本身的安全性问题考虑不足，这种具有先天安全隐患的网络协议被简单地移植到企业和政府网络中使用，网络用户对象的改变和网络信息内容对安全性的需求的改变使安全问题成为企业和政府信息化过程中的首要问题。传统安全模型下的安全机制只能提供孤立、静态的安全保护，但互联网环境的动态特性使得该模型对安全事件无法及时地做出响应，这样的系统在面临安全事件时往往处于非本论文以金智公司资助的“宽带环境下的高性能防火墙关键技术”项目中的高性能应用层代理服务和主动性防御子课题为背景，从理论角度在第二章和第三章分别对高性能主动安全模型从主动安全模型和高性能代理模型进行了研究：(I)首先对传统安全模型的发展和不足进行分析，然后对主动安全模型P2DR的体系结构、数学基础和关键技术进行了研究，对P2DR模型的集成机制一--CIDF框架下的互操作的标准和IDWG工作组草案进行分析、比较和评价：(2)分析了HTTP协议规范，研究了HTTP／I．0和HTTP／1．1的不同传输机4'h对传统HTTP在实践方面，论文大量使用了Linux的Netfilter框架提供的报文截获机制，本文在第四章对Linux2．4．18内核包过滤系统～Netfiiter框架实现和基于Netfilter框架的内核模块扩展进行了研究和实践；第五章基于第三章HTTP代理模型的研究，设计并实现了基于TCPSpl先ing模型的高性能HTTP代理原型系统，对系统的吞吐量、请求处理能力和时延特性进行了性能测试和分析：第六章根据P21)R模型设计了由入侵检测、主动过滤、响应和控制策安全事件封装进行了实现，并针对jolt2服务失效攻击进行了测试。主动安全模型P2DR性能。常被动的局面。代理模型和基于TCPSplicing模型进行了分析，得出TCPSplicing模型下可以充分利用HTTP／I．1的传输机制优化HTTP代理性能。关键词：HTTP／I．0HTTP／I．iTCPSplicingCIDFIDMEFIDXP
performance仃8“5挈mtionAbstractnetworksharply．Networkprojecttwotee碰ologies，especiallymodel·3．designsyntaxj01t2一aandtransplantedmakesanchangedmodelImechanismanalyzesanalysisWithgrowthcorporationSMP，GbitEthemet，ete．Intemetaccurately．WhenModuletheoryIDMEF．Finally，weSecurityModelIDMEFthemodel，theforenvkonment，inmostproblemsprotocolsbuild．ingovernmentenvkonmentrequirementsproblemseparatedtimelyCorporationunderapplicationmodelprotoc01．Linuxchapterimplementaresystem，andparts：Afilter，Commanderstandardsdevelopmentoftechnologies，bandwidthavailablegrowsrapidlyvariousmultimediaapplicationswithfriendlyincreasehascomeintoindispensablepartlife．However，thecomputingcapacityalwayslagsbandwidth．Someinsoftwareitselfomittedbybecauseincreasinghardwarespeed．AlltheseaddboRleneckserviceInternet．HTTPfirewalliSfoundationssecurity