數(shù)據(jù)包分析檢測系統(tǒng)的設計與實現(xiàn)答辯稿

題目：數(shù)據(jù)包分析檢測系統(tǒng)的

設計與實現(xiàn)答辯人：校內導師：基地導師實習基地：同信科技本科畢業(yè)論文答辯提綱：本系統(tǒng)與整個項目工程的關系系統(tǒng)模塊劃分系統(tǒng)模塊的設計與實現(xiàn)完成本系統(tǒng)的關鍵技術測試程序程序安裝部署結論提綱：本系統(tǒng)與整個項目工程的關系系統(tǒng)模塊劃分系統(tǒng)模塊的設計與實現(xiàn)完成本系統(tǒng)的關鍵技術測試程序程序安裝部署結論本系統(tǒng)與整個項目工程的關系INTERNET項目工程部署INTRANET本系統(tǒng)與整個項目工程的關系INTERNET項目工程部署INTRANET本系統(tǒng)與整個項目工程的關系INTERNET項目工程部署INTRANET項目工程處理本系統(tǒng)與整個項目工程的關系INTERNET項目工程部署INTRANET本系統(tǒng)與整個項目工程的關系INTERNET項目工程部署INTRANET本系統(tǒng)與整個項目工程的關系INTERNET項目工程部署INTRANET本系統(tǒng)與整個項目工程的關系數(shù)據(jù)包分析檢測系統(tǒng)過濾數(shù)據(jù)包系統(tǒng)INTERNET存儲轉發(fā)過程（Store-and-Forward）提綱：本系統(tǒng)與整個項目工程的關系系統(tǒng)模塊劃分系統(tǒng)模塊的設計與實現(xiàn)完成本系統(tǒng)的關鍵技術測試程序程序安裝部署結論系統(tǒng)模塊劃分系統(tǒng)模塊劃分系統(tǒng)流程圖提綱：本系統(tǒng)與整個項目工程的關系系統(tǒng)模塊劃分系統(tǒng)模塊設計與實現(xiàn)完成本系統(tǒng)的關鍵技術主要模塊的關鍵技術測試程序程序安裝部署結論系統(tǒng)模塊設計與實現(xiàn)數(shù)據(jù)包捕捉模塊協(xié)議族模塊數(shù)據(jù)包匹配模塊協(xié)議分類模塊用戶模塊系統(tǒng)模塊設計與實現(xiàn)數(shù)據(jù)包捕捉模塊

協(xié)議族模塊數(shù)據(jù)包匹配模塊協(xié)議分類模塊用戶模塊數(shù)據(jù)包捕捉模塊流程圖數(shù)據(jù)包捕捉模塊在將網(wǎng)卡改為混雜模式的基礎上進行網(wǎng)絡的數(shù)據(jù)包捕獲，將數(shù)據(jù)包傳遞給程序的上層。將網(wǎng)卡設為混雜模式；混雜模式設置完成；實現(xiàn)混雜模式并進行捕包的方法；系統(tǒng)模塊設計與實現(xiàn)數(shù)據(jù)包捕捉模塊協(xié)議族模塊數(shù)據(jù)包匹配模塊協(xié)議分類模塊用戶模塊協(xié)議族模塊本模塊要將網(wǎng)絡中各種層次中的協(xié)議進行對比分析，對已知數(shù)據(jù)字段進行分析（這個字段就是協(xié)議的標志字段），這種分析是逐層進行的，也就是它鑲嵌在每一個協(xié)議類型固定的字段中。協(xié)議族模塊在本項目中，采用的是對網(wǎng)絡中的OSI標準，即網(wǎng)絡的七層結構協(xié)議族模塊協(xié)議族模塊工作過程：Step1得到捕捉的數(shù)據(jù)包;Step2分析數(shù)據(jù)包個字段的類型提供給協(xié)議分析模塊；協(xié)議族模塊這是重點模塊，這個程序的核心在同一命名空間（namespace）下MyClasses,生成MyClasses.dll其中有43個類（Class）分二大類：1、DeviceIOCtl.cs與WinService.cs；2、PacketDNS.cs

PacketHTTP.cs

PacketICMP.cs

PacketIP.cs

PacketIPX.cs

PacketTCP.cs

PacketUDP.cs

等各種數(shù)據(jù)包協(xié)議類。協(xié)議族模塊1、DeviceIOCtl.cs與WinService.cs：DeviceIOCtl.cs:設備輸入輸出控制，主要是在進行捕包的時候首先將操作系統(tǒng)中的設備（文件）進行初始化，主要是對網(wǎng)卡的初始化（函數(shù)控制編碼）;

注：這些函數(shù)控制編碼的標號是固定的（MicrosoftCorporation）協(xié)議族模塊WinService.cs：系統(tǒng)服務初始化；主要是對操作系統(tǒng)中各種服務進行初始化，這里的作用是在出現(xiàn)系統(tǒng)錯誤時，程序對系統(tǒng)錯誤所做的反應，在WinService類里面包含了各種服務的錯誤返回編碼等一些其他的服務編碼；協(xié)議族模塊2、PacketDNS.cs

PacketHTTP.cs

PacketICMP.cs

PacketIP.cs

PacketIPX.cs

PacketTCP.cs

PacketUDP.cs

等各種數(shù)據(jù)包協(xié)議類：判斷數(shù)據(jù)包各個字段的協(xié)議類型，并提供給協(xié)議分類模塊使用；系統(tǒng)模塊設計與實現(xiàn)數(shù)據(jù)包捕捉模塊協(xié)議族模塊數(shù)據(jù)包匹配模塊協(xié)議分類模塊用戶模塊協(xié)議分類模塊主要是對協(xié)議族模塊的應用：分析數(shù)據(jù)包各個字段的協(xié)議類型；MyFunctions.cs與Ndis.cs是這個程序中硬件與軟件的中間橋梁。MyFunctions.cs逐行分析了數(shù)據(jù)包的各個字段的標記內容，并將各個字段特征內容添加到樹形結構當中去，注：NDIS（網(wǎng)絡驅動器接口規(guī)范）是Windows的通信協(xié)議程序（比如TCP/IP）和網(wǎng)絡設備驅動器之間通信的規(guī)范。系統(tǒng)模塊設計與實現(xiàn)數(shù)據(jù)包捕捉模塊協(xié)議族模塊數(shù)據(jù)包匹配模塊

協(xié)議分類模塊用戶模塊數(shù)據(jù)包匹配模塊協(xié)議分析完畢之后將此類實例化并在調用類中進行引用。值得一提的是在數(shù)據(jù)包匹配模塊中我們不得不再次回到協(xié)議選擇模塊中，因為我們在協(xié)議選模塊中的時候建立了層次結點的樹形結構Function.cs.與協(xié)議分析的不同的是在這里我們返回了所有捕獲數(shù)據(jù)包的統(tǒng)計信息。這個模塊返回的是包含有更多信息的一個類，這個類可以被用戶界面層更方便的應用。系統(tǒng)模塊設計與實現(xiàn)數(shù)據(jù)包捕捉模塊協(xié)議族模塊數(shù)據(jù)包匹配模塊

協(xié)議分類模塊用戶模塊

用戶界面用戶界面——類用戶界面在這個模塊中程序提供了各個事件響應模塊，數(shù)據(jù)包信息的顯示，其中包括捕包開始和結束，數(shù)據(jù)包分析顯示，網(wǎng)絡通斷控制，流量控制等，這些功能都是在引用了上述各個模塊提供的具體功能。用戶界面網(wǎng)絡通斷控制：這個模塊式獨立于后臺的，眾所周知網(wǎng)絡的通斷控制是每個入侵檢測軟件必不可少的一部分實現(xiàn)：PowerNet.cs

和ControlAdapter.cs實現(xiàn)的主要方式：usingShell32;usingSystem.Data;Shell32.dll是調用的系統(tǒng)內類來實現(xiàn)控制網(wǎng)絡通斷提綱：本系統(tǒng)與整個項目工程的關系系統(tǒng)模塊劃分系統(tǒng)模塊的設計與實現(xiàn)完成本系統(tǒng)的關鍵技術測試程序程序安裝部署結論完成本系統(tǒng)的關鍵技術Windows網(wǎng)絡編程的基本技術，主要包括Winsock編程、TCP/IP協(xié)議（尤其是IP頭的格式）、Windows管理規(guī)范（WMI）的基礎知識。當然還要用到.NETFramework中與socket編程、Windows界面編程相關的一些命名空間和其中包含的類的相關知識。完成本系統(tǒng)的關鍵技術捕包方法：Rawsocket方法Winpcap方法完成本系統(tǒng)的關鍵技術Rawsocket方法對于數(shù)據(jù)包的接收還是和普通的socket一樣，通過recv()函數(shù)來完成，因為這里涉及到不同的socket模型，接收方法差別很大。開始需要開啟winsock.dll，創(chuàng)建創(chuàng)建rawsocket。最大的問題是rawsocket捕獲的數(shù)據(jù)包沒有以太頭

完成本系統(tǒng)的關鍵技術Winpcap方法：Winpcap驅動包，是我們操作數(shù)據(jù)包不可或缺的，Winpcap的主要功能在于獨立于主機協(xié)議，而發(fā)送和接收原始數(shù)據(jù)包。完成本系統(tǒng)的關鍵技術Winpcap的來源：意大利人FulvioRisso和LorisDegioanni提出并實現(xiàn)了Winpcap函數(shù)庫，作者稱之為NPF。由于NPF的主要思想就是來源于BPF，它的設計目標就是為Windows系統(tǒng)提供一個功能強大的開發(fā)式數(shù)據(jù)包捕獲平臺，希望在Unix系統(tǒng)中的網(wǎng)絡分析工具經過簡單編譯以后也可以移植到Windows中，因此這種捕包架構是非?，F(xiàn)實的。就實現(xiàn)來說提供的函數(shù)調用接口也是一致的。完成本系統(tǒng)的關鍵技術Winpcap的功能：(1)捕獲原始數(shù)據(jù)報，包括在共享網(wǎng)絡上各主機發(fā)送/接收的以及相互之間交換的數(shù)據(jù)包；(2)在數(shù)據(jù)包發(fā)往應用程序之前，按照自定義的規(guī)則將某些特殊的數(shù)據(jù)包過濾掉；(3)收集網(wǎng)絡通信過程中的統(tǒng)計信息；完成本系統(tǒng)的關鍵技術Winpcap的唯一缺點:在運行用Winpcap開發(fā)的程序以前，都要在主機上先安裝Winpcap的驅動完成本系統(tǒng)的關鍵技術Winpcap開發(fā)的主要對象是WindowsNT/2000/XP，這主要是因為在使用Winpcap的用戶中只有小部分是僅使用Windows95/98/Me，并且Microsoft也已經放棄了對Win9x的開發(fā)。其實Winpcap中的面向9x系統(tǒng)的概念和NT系統(tǒng)的非常相似，只是在某些實現(xiàn)上有點差異，比如說9x只支持ANSI編碼，而NT系統(tǒng)則提倡使用Unicode編碼。完成本系統(tǒng)的關鍵技術

Winpcap的內部結構：Winpcap提供了兩個不同的庫：packet.dll和wpcap.dll前者提供了一個底層API，伴隨著一個獨立于Microsoft操作系統(tǒng)的編程接口，這些API可以直接用來訪問驅動的函數(shù)；后者導出了一組更強大的與Libpcap一致的高層抓包函數(shù)庫提綱：本系統(tǒng)與整個項目工程的關系系統(tǒng)模塊劃分系統(tǒng)模塊的設計與實現(xiàn)完成本系統(tǒng)的關鍵技術測試程序程序安裝部署結論測試程序測試TCP包

測試程序數(shù)據(jù)采集測試程序數(shù)據(jù)采集的詳細信息測試程序網(wǎng)絡關閉測試：測試程序網(wǎng)絡開啟測試：測試程序---性能測試測試對象AM用例目的測試M在1s內捕捉100數(shù)據(jù)包時的表現(xiàn)測試環(huán)境局域網(wǎng)絡輸入數(shù)據(jù)期望結果實際結果（平均值）峰值10個線程；每個線程捕獲10個數(shù)據(jù)包；—45ms113.5ms測試對象BN用例目的測試N在捕獲1000數(shù)據(jù)包時的表現(xiàn)

測試環(huán)境局域網(wǎng)絡輸入數(shù)據(jù)期望結果實際結果（平均值）估算峰值10個線程；每個線程捕獲10個進行10次循環(huán)；

—600ms900ms測試程序---性能測試用一些測試軟件以及系統(tǒng)自帶的測試工具發(fā)現(xiàn)，本軟件存在一些性能指標超常的問題，在做集成測試時尤為明顯，最后經過一些代碼優(yōu)化的過程之后問題有所緩解。提綱：本系統(tǒng)與整個項目工程的關系系統(tǒng)模塊劃分系統(tǒng)模塊的設計與實現(xiàn)完成本系統(tǒng)的關鍵技術測試程序程序安裝部署結論程序安裝部署1系統(tǒng)要求：.NETFramework2.0補訂包，Winpcap驅動；2安裝部署程序（本系統(tǒng)的名稱為Ana）3卸載程序程序安裝部署安裝程序程序安裝部署安裝程序程序安裝部署安裝程序程序安裝部署安裝程序程序安裝部署安裝程序程序安裝部署卸載程序提綱：本系統(tǒng)與整個項目工程的關系系統(tǒng)模塊劃分系統(tǒng)模塊的設計與實現(xiàn)完成本系統(tǒng)的關鍵技術測試程序程序安裝部署結論結論設計思想來源：Ethereal結論結論當然本設計還存在著一些可以改進之處，比如系統(tǒng)的性能可以進一步提高，可以減少由于誤操作所引起的異常，應該進一步閱讀國外的技術文檔和吸收好的編程經驗。最后本設計應用的主要知識是對網(wǎng)絡數(shù)據(jù)傳輸中的各種協(xié)議知識，以及進程間通訊等網(wǎng)絡安全知識，有些底層的設計和實現(xiàn)對我來說還有很多困難之處。由于本系統(tǒng)將后臺操作和前臺執(zhí)行完全