數(shù)據(jù)包分析檢測系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)答辯稿

題目：數(shù)據(jù)包分析檢測系統(tǒng)的

設(shè)計(jì)與實(shí)現(xiàn)答辯人：校內(nèi)導(dǎo)師：基地導(dǎo)師實(shí)習(xí)基地：同信科技本科畢業(yè)論文答辯提綱：本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系系統(tǒng)模塊劃分系統(tǒng)模塊的設(shè)計(jì)與實(shí)現(xiàn)完成本系統(tǒng)的關(guān)鍵技術(shù)測試程序程序安裝部署結(jié)論提綱：本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系系統(tǒng)模塊劃分系統(tǒng)模塊的設(shè)計(jì)與實(shí)現(xiàn)完成本系統(tǒng)的關(guān)鍵技術(shù)測試程序程序安裝部署結(jié)論本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系INTERNET項(xiàng)目工程部署INTRANET本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系INTERNET項(xiàng)目工程部署INTRANET本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系INTERNET項(xiàng)目工程部署INTRANET項(xiàng)目工程處理本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系INTERNET項(xiàng)目工程部署INTRANET本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系INTERNET項(xiàng)目工程部署INTRANET本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系INTERNET項(xiàng)目工程部署INTRANET本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系數(shù)據(jù)包分析檢測系統(tǒng)過濾數(shù)據(jù)包系統(tǒng)INTERNET存儲(chǔ)轉(zhuǎn)發(fā)過程（Store-and-Forward）提綱：本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系系統(tǒng)模塊劃分系統(tǒng)模塊的設(shè)計(jì)與實(shí)現(xiàn)完成本系統(tǒng)的關(guān)鍵技術(shù)測試程序程序安裝部署結(jié)論系統(tǒng)模塊劃分系統(tǒng)模塊劃分系統(tǒng)流程圖提綱：本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系系統(tǒng)模塊劃分系統(tǒng)模塊設(shè)計(jì)與實(shí)現(xiàn)完成本系統(tǒng)的關(guān)鍵技術(shù)主要模塊的關(guān)鍵技術(shù)測試程序程序安裝部署結(jié)論系統(tǒng)模塊設(shè)計(jì)與實(shí)現(xiàn)數(shù)據(jù)包捕捉模塊協(xié)議族模塊數(shù)據(jù)包匹配模塊協(xié)議分類模塊用戶模塊系統(tǒng)模塊設(shè)計(jì)與實(shí)現(xiàn)數(shù)據(jù)包捕捉模塊

協(xié)議族模塊數(shù)據(jù)包匹配模塊協(xié)議分類模塊用戶模塊數(shù)據(jù)包捕捉模塊流程圖數(shù)據(jù)包捕捉模塊在將網(wǎng)卡改為混雜模式的基礎(chǔ)上進(jìn)行網(wǎng)絡(luò)的數(shù)據(jù)包捕獲，將數(shù)據(jù)包傳遞給程序的上層。將網(wǎng)卡設(shè)為混雜模式；混雜模式設(shè)置完成；實(shí)現(xiàn)混雜模式并進(jìn)行捕包的方法；系統(tǒng)模塊設(shè)計(jì)與實(shí)現(xiàn)數(shù)據(jù)包捕捉模塊協(xié)議族模塊數(shù)據(jù)包匹配模塊協(xié)議分類模塊用戶模塊協(xié)議族模塊本模塊要將網(wǎng)絡(luò)中各種層次中的協(xié)議進(jìn)行對比分析，對已知數(shù)據(jù)字段進(jìn)行分析（這個(gè)字段就是協(xié)議的標(biāo)志字段），這種分析是逐層進(jìn)行的，也就是它鑲嵌在每一個(gè)協(xié)議類型固定的字段中。協(xié)議族模塊在本項(xiàng)目中，采用的是對網(wǎng)絡(luò)中的OSI標(biāo)準(zhǔn)，即網(wǎng)絡(luò)的七層結(jié)構(gòu)協(xié)議族模塊協(xié)議族模塊工作過程：Step1得到捕捉的數(shù)據(jù)包;Step2分析數(shù)據(jù)包個(gè)字段的類型提供給協(xié)議分析模塊；協(xié)議族模塊這是重點(diǎn)模塊，這個(gè)程序的核心在同一命名空間（namespace）下MyClasses,生成MyClasses.dll其中有43個(gè)類（Class）分二大類：1、DeviceIOCtl.cs與WinService.cs；2、PacketDNS.cs

PacketHTTP.cs

PacketICMP.cs

PacketIP.cs

PacketIPX.cs

PacketTCP.cs

PacketUDP.cs

等各種數(shù)據(jù)包協(xié)議類。協(xié)議族模塊1、DeviceIOCtl.cs與WinService.cs：DeviceIOCtl.cs:設(shè)備輸入輸出控制，主要是在進(jìn)行捕包的時(shí)候首先將操作系統(tǒng)中的設(shè)備（文件）進(jìn)行初始化，主要是對網(wǎng)卡的初始化（函數(shù)控制編碼）;

注：這些函數(shù)控制編碼的標(biāo)號(hào)是固定的（MicrosoftCorporation）協(xié)議族模塊WinService.cs：系統(tǒng)服務(wù)初始化；主要是對操作系統(tǒng)中各種服務(wù)進(jìn)行初始化，這里的作用是在出現(xiàn)系統(tǒng)錯(cuò)誤時(shí)，程序?qū)ο到y(tǒng)錯(cuò)誤所做的反應(yīng)，在WinService類里面包含了各種服務(wù)的錯(cuò)誤返回編碼等一些其他的服務(wù)編碼；協(xié)議族模塊2、PacketDNS.cs

PacketHTTP.cs

PacketICMP.cs

PacketIP.cs

PacketIPX.cs

PacketTCP.cs

PacketUDP.cs

等各種數(shù)據(jù)包協(xié)議類：判斷數(shù)據(jù)包各個(gè)字段的協(xié)議類型，并提供給協(xié)議分類模塊使用；系統(tǒng)模塊設(shè)計(jì)與實(shí)現(xiàn)數(shù)據(jù)包捕捉模塊協(xié)議族模塊數(shù)據(jù)包匹配模塊協(xié)議分類模塊用戶模塊協(xié)議分類模塊主要是對協(xié)議族模塊的應(yīng)用：分析數(shù)據(jù)包各個(gè)字段的協(xié)議類型；MyFunctions.cs與Ndis.cs是這個(gè)程序中硬件與軟件的中間橋梁。MyFunctions.cs逐行分析了數(shù)據(jù)包的各個(gè)字段的標(biāo)記內(nèi)容，并將各個(gè)字段特征內(nèi)容添加到樹形結(jié)構(gòu)當(dāng)中去，注：NDIS（網(wǎng)絡(luò)驅(qū)動(dòng)器接口規(guī)范）是Windows的通信協(xié)議程序（比如TCP/IP）和網(wǎng)絡(luò)設(shè)備驅(qū)動(dòng)器之間通信的規(guī)范。系統(tǒng)模塊設(shè)計(jì)與實(shí)現(xiàn)數(shù)據(jù)包捕捉模塊協(xié)議族模塊數(shù)據(jù)包匹配模塊

協(xié)議分類模塊用戶模塊數(shù)據(jù)包匹配模塊協(xié)議分析完畢之后將此類實(shí)例化并在調(diào)用類中進(jìn)行引用。值得一提的是在數(shù)據(jù)包匹配模塊中我們不得不再次回到協(xié)議選擇模塊中，因?yàn)槲覀冊趨f(xié)議選模塊中的時(shí)候建立了層次結(jié)點(diǎn)的樹形結(jié)構(gòu)Function.cs.與協(xié)議分析的不同的是在這里我們返回了所有捕獲數(shù)據(jù)包的統(tǒng)計(jì)信息。這個(gè)模塊返回的是包含有更多信息的一個(gè)類，這個(gè)類可以被用戶界面層更方便的應(yīng)用。系統(tǒng)模塊設(shè)計(jì)與實(shí)現(xiàn)數(shù)據(jù)包捕捉模塊協(xié)議族模塊數(shù)據(jù)包匹配模塊

協(xié)議分類模塊用戶模塊

用戶界面用戶界面——類用戶界面在這個(gè)模塊中程序提供了各個(gè)事件響應(yīng)模塊，數(shù)據(jù)包信息的顯示，其中包括捕包開始和結(jié)束，數(shù)據(jù)包分析顯示，網(wǎng)絡(luò)通斷控制，流量控制等，這些功能都是在引用了上述各個(gè)模塊提供的具體功能。用戶界面網(wǎng)絡(luò)通斷控制：這個(gè)模塊式獨(dú)立于后臺(tái)的，眾所周知網(wǎng)絡(luò)的通斷控制是每個(gè)入侵檢測軟件必不可少的一部分實(shí)現(xiàn)：PowerNet.cs

和ControlAdapter.cs實(shí)現(xiàn)的主要方式：usingShell32;usingSystem.Data;Shell32.dll是調(diào)用的系統(tǒng)內(nèi)類來實(shí)現(xiàn)控制網(wǎng)絡(luò)通斷提綱：本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系系統(tǒng)模塊劃分系統(tǒng)模塊的設(shè)計(jì)與實(shí)現(xiàn)完成本系統(tǒng)的關(guān)鍵技術(shù)測試程序程序安裝部署結(jié)論完成本系統(tǒng)的關(guān)鍵技術(shù)Windows網(wǎng)絡(luò)編程的基本技術(shù)，主要包括Winsock編程、TCP/IP協(xié)議（尤其是IP頭的格式）、Windows管理規(guī)范（WMI）的基礎(chǔ)知識(shí)。當(dāng)然還要用到.NETFramework中與socket編程、Windows界面編程相關(guān)的一些命名空間和其中包含的類的相關(guān)知識(shí)。完成本系統(tǒng)的關(guān)鍵技術(shù)捕包方法：Rawsocket方法Winpcap方法完成本系統(tǒng)的關(guān)鍵技術(shù)Rawsocket方法對于數(shù)據(jù)包的接收還是和普通的socket一樣，通過recv()函數(shù)來完成，因?yàn)檫@里涉及到不同的socket模型，接收方法差別很大。開始需要開啟winsock.dll，創(chuàng)建創(chuàng)建rawsocket。最大的問題是rawsocket捕獲的數(shù)據(jù)包沒有以太頭

完成本系統(tǒng)的關(guān)鍵技術(shù)Winpcap方法：Winpcap驅(qū)動(dòng)包，是我們操作數(shù)據(jù)包不可或缺的，Winpcap的主要功能在于獨(dú)立于主機(jī)協(xié)議，而發(fā)送和接收原始數(shù)據(jù)包。完成本系統(tǒng)的關(guān)鍵技術(shù)Winpcap的來源：意大利人FulvioRisso和LorisDegioanni提出并實(shí)現(xiàn)了Winpcap函數(shù)庫，作者稱之為NPF。由于NPF的主要思想就是來源于BPF，它的設(shè)計(jì)目標(biāo)就是為Windows系統(tǒng)提供一個(gè)功能強(qiáng)大的開發(fā)式數(shù)據(jù)包捕獲平臺(tái)，希望在Unix系統(tǒng)中的網(wǎng)絡(luò)分析工具經(jīng)過簡單編譯以后也可以移植到Windows中，因此這種捕包架構(gòu)是非?，F(xiàn)實(shí)的。就實(shí)現(xiàn)來說提供的函數(shù)調(diào)用接口也是一致的。完成本系統(tǒng)的關(guān)鍵技術(shù)Winpcap的功能：(1)捕獲原始數(shù)據(jù)報(bào)，包括在共享網(wǎng)絡(luò)上各主機(jī)發(fā)送/接收的以及相互之間交換的數(shù)據(jù)包；(2)在數(shù)據(jù)包發(fā)往應(yīng)用程序之前，按照自定義的規(guī)則將某些特殊的數(shù)據(jù)包過濾掉；(3)收集網(wǎng)絡(luò)通信過程中的統(tǒng)計(jì)信息；完成本系統(tǒng)的關(guān)鍵技術(shù)Winpcap的唯一缺點(diǎn):在運(yùn)行用Winpcap開發(fā)的程序以前，都要在主機(jī)上先安裝Winpcap的驅(qū)動(dòng)完成本系統(tǒng)的關(guān)鍵技術(shù)Winpcap開發(fā)的主要對象是WindowsNT/2000/XP，這主要是因?yàn)樵谑褂肳inpcap的用戶中只有小部分是僅使用Windows95/98/Me，并且Microsoft也已經(jīng)放棄了對Win9x的開發(fā)。其實(shí)Winpcap中的面向9x系統(tǒng)的概念和NT系統(tǒng)的非常相似，只是在某些實(shí)現(xiàn)上有點(diǎn)差異，比如說9x只支持ANSI編碼，而NT系統(tǒng)則提倡使用Unicode編碼。完成本系統(tǒng)的關(guān)鍵技術(shù)

Winpcap的內(nèi)部結(jié)構(gòu)：Winpcap提供了兩個(gè)不同的庫：packet.dll和wpcap.dll前者提供了一個(gè)底層API，伴隨著一個(gè)獨(dú)立于Microsoft操作系統(tǒng)的編程接口，這些API可以直接用來訪問驅(qū)動(dòng)的函數(shù)；后者導(dǎo)出了一組更強(qiáng)大的與Libpcap一致的高層抓包函數(shù)庫提綱：本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系系統(tǒng)模塊劃分系統(tǒng)模塊的設(shè)計(jì)與實(shí)現(xiàn)完成本系統(tǒng)的關(guān)鍵技術(shù)測試程序程序安裝部署結(jié)論測試程序測試TCP包

測試程序數(shù)據(jù)采集測試程序數(shù)據(jù)采集的詳細(xì)信息測試程序網(wǎng)絡(luò)關(guān)閉測試：測試程序網(wǎng)絡(luò)開啟測試：測試程序---性能測試測試對象AM用例目的測試M在1s內(nèi)捕捉100數(shù)據(jù)包時(shí)的表現(xiàn)測試環(huán)境局域網(wǎng)絡(luò)輸入數(shù)據(jù)期望結(jié)果實(shí)際結(jié)果（平均值）峰值10個(gè)線程；每個(gè)線程捕獲10個(gè)數(shù)據(jù)包；—45ms113.5ms測試對象BN用例目的測試N在捕獲1000數(shù)據(jù)包時(shí)的表現(xiàn)

測試環(huán)境局域網(wǎng)絡(luò)輸入數(shù)據(jù)期望結(jié)果實(shí)際結(jié)果（平均值）估算峰值10個(gè)線程；每個(gè)線程捕獲10個(gè)進(jìn)行10次循環(huán)；

—600ms900ms測試程序---性能測試用一些測試軟件以及系統(tǒng)自帶的測試工具發(fā)現(xiàn)，本軟件存在一些性能指標(biāo)超常的問題，在做集成測試時(shí)尤為明顯，最后經(jīng)過一些代碼優(yōu)化的過程之后問題有所緩解。提綱：本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系系統(tǒng)模塊劃分系統(tǒng)模塊的設(shè)計(jì)與實(shí)現(xiàn)完成本系統(tǒng)的關(guān)鍵技術(shù)測試程序程序安裝部署結(jié)論程序安裝部署1系統(tǒng)要求：.NETFramework2.0補(bǔ)訂包，Winpcap驅(qū)動(dòng)；2安裝部署程序（本系統(tǒng)的名稱為Ana）3卸載程序程序安裝部署安裝程序程序安裝部署安裝程序程序安裝部署安裝程序程序安裝部署安裝程序程序安裝部署安裝程序程序安裝部署卸載程序提綱：本系統(tǒng)與整個(gè)項(xiàng)目工程的關(guān)系系統(tǒng)模塊劃分系統(tǒng)模塊的設(shè)計(jì)與實(shí)現(xiàn)完成本系統(tǒng)的關(guān)鍵技術(shù)測試程序程序安裝部署結(jié)論結(jié)論設(shè)計(jì)思想來源：Ethereal結(jié)論結(jié)論當(dāng)然本設(shè)計(jì)還存在著一些可以改進(jìn)之處，比如系統(tǒng)的性能可以進(jìn)一步提高，可以減少由于誤操作所引起的異常，應(yīng)該進(jìn)一步閱讀國外的技術(shù)文檔和吸收好的編程經(jīng)驗(yàn)。最后本設(shè)計(jì)應(yīng)用的主要知識(shí)是對網(wǎng)絡(luò)數(shù)據(jù)傳輸中的各種協(xié)議知識(shí)，以及進(jìn)程間通訊等網(wǎng)絡(luò)安全知識(shí)，有些底層的設(shè)計(jì)和實(shí)現(xiàn)對我來說還有很多困難之處。由于本系統(tǒng)將后臺(tái)操作和前臺(tái)執(zhí)行完全