分布式网络监控系统设计与实现

／设计与应用／　分布式网络监控系统设计与实现　于　涛　（山东济南生产力促进中心）　摘要：本文针对目前防火墙等网络监控产品存在过滤不全面，力度不强等问题，研究设计了分布式网络监控　系统（简称ＤＮＭ），给出了ＤＮＭ系统框架和结构设计，并详细介绍了ＤＮＭ系统的核心—监控端的设计与实现。　关键词：分布式；网络监控；防木马；监控端　１、引言　能。监控端是整个系统的重中之重。本文主要介绍监　随着计算机网络技术的发展与普及，网络安全已　控端的设计与实现技术。　经成为一个国际化的问题。今天网络安全事故的发生　由多方面的原因造成，系统漏洞、配置漏洞，同时人　为的疏忽也越来越占更大的比率。除数据破坏以外，　信息外泄也成为网络安全需要解决的一个重要问题，　其造成的危害和损失不亚于有时甚至大大高于直接的　数据破坏。如何对网络设备进行监视与控制是解决问　题的基础和关键所在。　作为保护主机的“盾牌”一单机防火墙、分布式　防火墙、网络监控系统等，这些产品和技术一直在不　断的发展，但是现有的防火墙及其他网络监控产品侧　重于对用户应用程序和数据包的过滤控制，而忽视了　对ＷＥＢ浏览、邮件收发、以及系统进程及其服务应用的　控制，仍然存在过滤不够全面、力度不够强等不足。　分布式网络监控系统（简称ＤＮＭ）针对上述几个　图１　ＤＮＭ系统框架模型　监控端　２．２　主机监控端功能描述　（１）内容过滤功能。主要针对应用层的应用协议，　方面的问题，采用下述措施提升系统的安全性：（１）分　￣Ｉ］ＨＴＴＰ、ＳＭＴＰ、ＰＯＰ３等。该层的目标是能够控制用　布式基础模型：（２）三层过滤框架结构，监控更彻底全　户的ＷＥＢ行为与邮件行为等。　面；（３）策略集中控制，被监控设备无权更改策略。安　全性更高：（４）更强的防木马特性：（５）详细日志记录。　２、系统设计　（２）应用过滤功能。主要针对主机上访问网络的进　程。该层的目标是控制进程访问网络的行为，任何一　个进程都必须在策略的允许下才能访问网络。　（３）数据包过滤功能。该层的目标能够从全局上　２．１系统框架　本系统的体系结构和部分功能与分布式网络防火　控制网络访问。限制某些ＩＰ地址段的主机对本机的访　墙相类似。整个系统分为监管中心和监控端，如图１　问，禁止本机对某些ＩＰ地址段的访问，限制某些本地　所示；监管中心统一制定策略，具有日志审计查看功　端口被访问，限制访问远程端口地址段。限制各种协　能。实时查看管理被监控设备网络连接；监控端负责　议数据的进出。　监控设备的网络行为，同时具有一定程度的防木马功　（４）防恶意代码功能。能够对远程线程插入实时监　作者简介：于涛，单位：山东济南生产力促进中心，学历：本科，专业：计算机科学与技术。　ｏ　Ｓｃ＿ｅｎｃｅ　Ａｎｄ　Ｍａｎａｇｅｍｅｎｌ　２０１１＃－第４期　控，对注册表的写操作实时监控，对用户主机的网络　／分布式网络监控系统设计与实现／　ＳＯＣＫＥＴ　Ｓ：／／套接字描述符　连接实时管理，将系统服务与其对应的端口绑定。　３、关键技术　／一　．．ＬＡ　１　图２监控端三层过滤模块框架图　ＤＮＭ按照三层过滤的规划，划分为内容过滤、应　用过滤、数据包过滤。数据包要经过层层的过滤最终　才能完成传输。三层过滤之间的关系如图２所示。　３．１内容过滤　该层的策略只给出了用户可以访问的Ｗｅｂ站点，　没有给出的站点，都是不允许用户访问的站点。将服　务提供者接口的几个关键函数替换为自己的函数，其　中包括：ＷＳＡＳＯＣＫＥＴ、ＷＳＡＳＥＮＤ、ＷＳＡＳＥＮＤＴ０、　ＷＳＡＲＥＣＶ、ＷＳＡＲＥＣＶＦＲ０Ｍ、ＷＳＡＣＯＮ、ＮＥＣＴ等。　只要是通过套接字方式进行网络通信的数据都能被拦　截到，但是对于直接通过ｔｃｐ．ｓｙｓ，ｕｄｐ．ｓｙｓ进行通信的　数据该层是拦截不到的。在ＷＳＡＣＯＮＮＥＣＴ函数中，　可以通过远程端口号对套接字的协议类型进行设置，　协议类型包括ＨＴＴＰ、ＰＯＰ３、ＳＭＴＰ等。这样根据协　议类型。在ＷＳＡＳＥＮＤ、ＷＳＡＳＥＮＤＴＯ、ＷＳＡＲＥＣＶ、　ＷＳＡＲＥＣＶＦＲＯＭ函数就可以解析该协议数据，提取关　键字。在提取完关键字之后，需要按照策略对关键字　进行过滤，并且记录下来作为日志。　关于关键字的提取，以上各个协议都是明文协　议。例如。通过在ＨＴＴＰ数据包查找“ＨＯＳＴ”字符　串。就能得到网站名称。通过在ＳＭＴＰ数据包中查　找“Ｓｕｂｊｅｃｔ：”字符串，就可以得到邮件主题。查　找“Ｆｒｏｍ：”字符串，可以得到发信人地址。查找　“Ｔ０：”字符串。可以得到收信人地址。对于ＰＯＰ３协　议也同样适用。　关键数据结构体定义：　Ｔｙｐｅｄｅｆ　ｓｔｅｒｅｔ＿ＳＥＳＳＩＯＮ｛　ＤＷＯＲＤ　ｕｌＲｅｍｏｔｅｌＰ；／／远端ＩＰ地址　ＢＹＴＥ　ｂＤｉｒｅｃｔｉｏｎ；／／数据进出方向　ＢＹＴＥ　ｂＰｒｏｔｏｃｏｌ；／／协议类型。包括ＨＴＴＰ、ＳＭＴＰ　等　ＴＣＨＡＲ　ｓＭｅｍｏ［ＭＡＸ＿ＰＡＴＨ１；／／数据包关键字　｝ＳＥＳＳＩＯＮ，ＰＳＥＳＳＩＯＮ；　３．２应用过滤　在本层只有策略中给出的进程才是允许访问网　络的进程，没有允许的就是禁止的。同时为了防止嵌　入在系统进程中的嵌入式木马，将系统进程与端口绑　定比如ｗｉｎｄｏｗｓ２０００中的ｓｅｒｖｉｃｅｓ系统进程，该进程完　成ＤＮＳ地址解析等功能，通过５３号端口访问ＤＮｓ服务　器，那么只有通过５３号端口发送出去的数据是合法的　数据。　在ＴＤＩ驱动层中，一个进程要访问网络，必须首　先发送ＭａｊｏｒＦｕｎｃｔｉｏｎ为ＩＲＰ＿ＭＪ—ＣＲＥＡＴＥ的ＩＲＰ￣Ｊ建一　个代表传输地址的文件对象。如果一个进程无法创建　代表传输地址的文件对象，就无法访问网络的任何后　续操作。因此，拒绝一个进程创建传输地址文件对象　的请求就可以达到拒绝该进程所有网络请求的目的。　创建传输地址文件对象的请求中提供了要求创建的地　址信息（在ＥＡ提供的ＴＲＡＮＳＰＯＲＴ—ＡＤＤＲＥＳＳ中），　这些信息包括进程要求使用的本地端口号。是否应该　拒绝某进程创建传输地址文件对象的请求是通过调用　访问控制模块函数确定的。访问控制模块的流程图如　图３所示。　图３应用过滤模块流程图　过滤Ｔ　Ｃ　Ｐ连接请求的实现：驱动程序接到　ＭａｊｏｒＦｕｎｃｔｉ０ｎ为ＩＲＰ—ＭＪ—ＤＥＶＩＣＥ—ＣＯＮＴＲＯＬ，　科学与管理０　｛设计与随忍｝　ＴＩｄ，ＩＮ　ＢＯＯＬＥＡＮ　ｂＣｒｅａｔｅ）　ＭｉｎｏｒＦｕｎｃｔｉｏｎ为ＴＤＩ—ＣＯＮＮＥＣＴ的ＩＲＰ后调用相应的　ＨＡＮＤＬＥ　处函数，处理函数调用访问控制模块函数判断请求的　合法性。根据访问控制模块函数的返回结果拒绝或向　参数及其意义：　ＰＩｄ包括该线程的进程，而不是创建该线程的进　程　ＴＣＰ￥￣备转交连接请求。　过滤发送ＵＤＰ数据包请求的实现：驱动程序接到　ＴＩｄ将要创建的线程的线程号　ＭａｊｏｒＦｕｎｃｔｉｏｎ　Ｃｏｄｅ为ＩＲＰ—ＭＪ—ＤＥＶＩＣＥ—ＣＯＮＴＲＯＬ，　ＭｉｎｏｒＦｕｎｃｔｉｏｎ　Ｃｏｄｅ为ＴＤＩ—ＳＥＮＤ—ＤＡＴＡＧＲＡＭ的ＩＲＰ　ｂＣｒｅａｔｅ创建或者销毁　函数流程：　后，采用与过滤ＴＣＰ连接请求时相同的方法判断合法　要判断是否是远程线程，要根据创建线程的进程　性，根据结果拒绝或向ＵＤＰ设备转交请求。　３－３数据包过滤　作为以上两层的补充，该层过滤可以更充分的过　滤掉各种数据包。比如上层过滤无法过滤掉的ＩＣＭＰ等　协议，还有Ｎｅｔｂｉｏｓ协议数据等。在该层过滤中，策略　中给出的都是禁止的。　在进行数据包分析的时候，从以太网数据得到ＩＰ　数据或者ＡＲＰ数据。从ＩＰ数据得￣ＩＪＴＣＰ数据，或者ＵＤＰ　数据，或者ＩＣＭＰ数据。本层具有“宏观”过滤和“细　致”过滤。　“宏观”控制是指在本层存在一个全局策　略，这个宏观控制策略包括：协议控制、端口控制、　时间控制、协议控制可以过滤进入或者流出的属于某　个协议的数据包：端口控制可以过滤进入或者流出某　个端口的数据包：时间控制则规定了用户上网的时间　期限。此外除了“宏观”控制，该层策略也提供了明　细策略表。明细策略表包括ＩＰ地址，端口地址。在进　行数据包过滤的时候，首先进行全局过滤。然后再进　行“细致”过滤。在发送的时候，首先判断是否在时　间期限内，如果在，则在全局端口策略中遍历，如果　发送的这个本地端口不可用，或者远端端口不可用，　则丢弃数据包，如果通过全局端口策略的检验，则进　行“细致”检验，需要检验的包括ＩＰ地址，本地端口　信息，远端端口信息。只有通过了全部的检验后，方　能交与下层完成发送，否则则丢弃数据包。对于数据　包的接收与此过程类似。　３．４防恶意代码　结合当前恶意代码采用的技术手段，防恶意代码　的激活与执行功能，是通过对远程线程插入和注册表　的实时监控来实现的。　（１）远程线程插入控制　ＤＤＫ提供了通过ＰｓｓｅｔｃｒｅａｔｅＴｈｒｅａｄＮ０ｔｉｆｖＲｏｕｔｉｎｅ（）　来向系统注册一个回调函数，只要在创建线程的时候　都会调用该回调函数。利用该机制，可以实现远程线　程的控制。注册创建线程的回调函数：　ＶＯＩＤ　ＴｈｒｅａｄＣｒｅａｔｏＭｏｎ　ｆＩＮ　ＨＡＮＤＬＥ　ＰＩｄ，ＩＮ　ｏ　ｓｃＩｅｎｃｅＡｎｄ　Ｍａｎａｇｅｍｅｎｔ　和包含线程的进程是否是同一个进程，由此判断是否　是远程线程。需要找出那个创建线程的进程号，才能　够比较创建线程的进程和包含线程的进程是不是同一　个进程，从而判断是不是远程线程。　（２）注册表写入控制　注册表写入控制的实现是基于Ｈｏｏｋ系统服务调　用的方法。在ｎｔｏｓｋｒｎ１．ｅｘｅ中维护着两个表系统服务　调度表（Ｓｙｓｔｅｍ　Ｓｅｒｖｉｃｅ　Ｄｉｓｐａｔｈ　Ｔａｂｌｅ）和系统服务参数　表（Ｓｙｓｔｅｍ　Ｓｅｒｖｉｃｅ　Ｐａｒａｍｅｔｅｒ　Ｔａｂｌｅ）。如果修改ＳＳＤＴ　中的某个系统服务程序的人口地址为指向自定义的　函数地址，在执行完我们的代码后再执行原始系统　服务地址处的代码，就实现了对系统服务调用的　Ｈｏｏｋ。定位系统服务调度表是实现Ｈｏｏｋ的关键。在　ＷｉｎｄｏＷｓ　２０００中有一个未公开的对应于一个数据结构　ＫｅＳｅｒｖｉｃｅＤｅｓｃｒｉｐｔｏｒＴａｂｌｅ，可以通过它来完成对ＳＳＤＴ的　访问与修改。　ｔｙｐｅｄｅｆ　ｓｔｒｕｃｔ　ＳｙｓｔｅｍＳｅｒｖｉｃｅＤｅｓｃｒｉｐｔｏｒＴａｂｌｅ｛ＵＩＮＴ　＊ＳｅｒｖｉｃｅＴａｂｌｅＢａｓｅ；／／指向系统服务程序的地址　ＵＩＮＴ　ＳｅｒｖｉｃｅＣｏｕｎｔｅｒＴａｂｈＢａｓｅ；／／　ＵＩＮＴ　ＮｕｍｂｅｒＯｆＳｅｒｖｉｃｅ；　ＵＣＨＡＲ　ＰａｒａｍｅｔｏｒＴａｂｌｅＢａｓｅ；／／指向ＳＳＰＴ　中的参数地址ｌＳｙｓｔｅｍＳｅｒｖｉｃｅＤｅ　ｓｃｒｉｐｔｏｒＴａｂｌｅ，：Ｉ：　ＰＳｙｓｔｅｍＳｅｒｖｉｃｅＤｅｓｃｒｉｐｔｏｒＴａｂｌｅ；　本模块的实现通过对注册表相关的几个函数　（ＺｗＣｒｅａｔｅＫｅｙ、ｚｗｓｅｔＶａｌｕｅＫｅｙ、ＺｗＤｅｌｅｔｅＫｅｙ）实现　ＨＯＯＫ。　４、结束语　测试表明ＤＮＭ能够控制访问网络的进程；能够实　现ＷＥＢ过滤和邮件过滤；对于应用程序往系统进程插　入线程或者注入ＤＬＬ的行为能够拦截；对于所有的注　册表写入操作能够实现拦截过滤。　ＤＮＭ能够更全面更彻底的监控网络行为，并且一　定程度上也限制了木马的运行与存活，全面提升了系　统的安全性，可靠性。