基于windows入侵检测系统的研究与设计
---检测模块设计
摘  要
    当今是信息时代，互联网正在给全球带来翻天覆地的变化。随着Internet在全球的飞速发展，网络技术的日益普及，网络安全问题也显得越来越突出。
    计算机网络安全是一个国际化的问题，每年全球因计算机网络的安全系统被破坏而造成的经济损失高达数百亿美元。传统的防火墙技术固然重要，但是，发展网络入侵检测及预警技术也同样重要，它是防火墙的合理补充，帮助系统对付网络攻击，从而提供对内部攻击、外部攻击和误操作的实时保护。http://www.16sheji8.cn/
    本文首先介绍入侵检测系统的原理，并在此基础上利用Winpcap开发包,在Windows操作系统下实现了基于数据包分析的网络入侵检测系统的检测模块。该模块完成了对共享网段中的数据包的捕获和分析等功能。它是整个网络入侵检测系统的重要组成部分，是响应模块设计的基础，为响应模块提供需要的数据。

关键词:  入侵检测系统；数据包捕获；数据包分析
 
The Research and Design of Intrusion Detection System Based on Windows
¬¬——Design of Detective Module

Abstract
    Nowadays, it is information age, and Internet brings the great change to the whole world. With Internet development at full speed, in the global, the popularization day by day of the network technology, the network security question becomes more and more outstanding too.http://www.16sheji8.cn/
    The security of computer network is a internationalize problem, the whole world lose up to tens of billion dollars every year caused by that the security system of the computer network is destroyed. Traditional fire wall technology is no doubt important, however, it is also important to develop the network intrusion detection and early warning technology. It is the rational supplement of the fire wall , and is helpful to deal with network attacks for system, thus offer protect to the attacks from inside, the attacks from outside and operations by mistake in real time. 
    At first, the paper introduces the principle of intrusion detection system (IDS), and then gives the implementation of a network intrusion detective module based on packet of Winpcap of Windows. The module has the function of capture and analysis on data Packets in Share Network Segment and so on. It is an important part of the whole network intrusion detection system, which is the base of response module and is designed in order to supply the necessary data to the responsible module.http://www.16sheji8.cn/

Key words: Intrusion detection system; Data packet capture; Data packet analysis
 
目   录
论文总页数：24页
1．引 言 1
1.1课题背景及意义 1
1.1.1 网络安全面临的威胁 1
1.1.2 网络安全隐患的来源 2
1.1.3 网络安全技术 2
1.2 本文研究内容 3
2. 入侵检测基础 4
2.1 入侵检测的定义 4
2.2 入侵检测与P2DR模型 5
2.3 入侵检测的原理 5
2.4 入侵检测的分类 7
2.5 入侵检测的发展趋势 8
3. 基于Windows入侵检测系统的设计 9
3.1概述 9
3.2系统总体结构 9
3.3开发环境 10
4. 检测模块的设计与实现 10
4.1设计思想 10
4.2 Winpcap软件开发包简介 11
4.3 BPF过滤机制简介 11
4.4网络数据包捕获模块的实现 12
4.4.1 网络数据包捕获机制 12
4.4.2 数据包捕获的具体实现 12
4.5 网络数据包分析模块的实现 16
4.6 系统集成 18
5. 系统测试与分析 19
5.1 测试目的 19http://www.16sheji8.cn/
5.2 测试结果 19
结    论 21
参考文献 21
致    谢 22
声    明 24
 
1．引 言
  1.1课题背景及意义
    当今网络技术的迅速发展，网络成为人们生活的重要组成部分，与此同时，黑客频频入侵网络，网络安全问题成为人们关注的焦点。传统安全方法是采用尽可能多地禁止策略进行防御，例如各种杀毒软件、防火墙、身份认证、访问控制等，这些对防止非法入侵都起到了一定的作用，从系统安全管理的角度来说，仅有防御是不够好的，还应采取主动策略。
    入侵检测技术是动态安全技术的最核心技术之一。传统的操作系统加固技术和防火墙隔离技术等都是静态安全防御技术，对网络环境下日新月异的攻击手段缺乏主动的反应。 http://www.16sheji8.cn/
    入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息、分析信息，查看是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全防线，提供对内部攻击、外部攻击和误操作的实时保护。
    本文首先介绍了网络入侵检测的基本原理和实现入侵检测的技术。随后重点介绍了基于Windows入侵检测系统中检测模块的设计与实现。即网络数据包的捕获与分析过程的设计与实现。
  1.1.1 网络安全面临的威胁
    入侵的来源可能是多种多样的，比如说，它可能是企业心怀不满的员工、网络黑客、甚至是竞争对手。攻击者可能窃听网络上的信息，窃取用户口令、数据库信息，还可以篡改数据库内容，伪造用户身份，否认自己的签名。更为严重的是攻击者可以删除数据库内容，摧毁网络节点，释放计算机病毒，直到整个网络陷入瘫痪。
用密码编码学和网络安全的观点，我们把计算机网络面临的威胁归纳为以下四种：
截获（interception）：攻击者从网络上窃听他人的通信内容。
中断（interruption）：攻击者有意中断他人在网络上的通信。
篡改（modification）：攻击者故意篡改网络上传播的报文。
伪造（fabrication）：攻击者伪造信息在网络上传送。
    这四种威胁可以划分为两大类，即被动攻击和主动攻击。在上述情况中，截获信息的攻击称为被动攻击，而更改信息和拒绝客户使用资源的攻击称为主动攻击。在被动攻击中攻击者只是观察和窃取数据而不干扰信息流，攻击不会导致对系统中所含信息的任何改动，而且系统的操作和状态也不会被改变，因此被动攻击主要威胁信息的保密性。主动攻击则意在篡改系统中所含信息或者改变系统的状态及操作。因此主动攻击主要威胁信息的完整性、可用性和真实性。
1.1.2 网络安全隐患的来源
    网络安全隐患主要来自于四个方面：
（1）网络的复杂性。网络是一个有众多环节构成的复杂系统。由于市场利润、技术投入、产品成本、技术规范等等问题，不同供应商提供的环节在安全性上不尽相同，使得整个网络系统的安全成度被限制在安全等级最低的那个环节上。
（2）网络的飞速发展。由于网络的发展，提供新的网络服务，增加网络的开放性和互联性，必然将更多环节纳入系统中，新加入的环节又增加了系统的复杂性，引发了网络的不安定性。
（3）软件质量问题。软件质量难以评估是软件的一个特性。现实中，即使是正常运行了很长时间的软件，也会在特定的情况下出现漏洞。现代网络已经是软件驱动的发展模式，对软件的更多依赖性加大了软件质量对网络安全的负面影响。同时，市场的激烈竞争，促使商家需要更快地推出产品，软件的快速开发也增大了遗留更多隐患的可能性。http://www.16sheji8.cn/
（4）其他非技术因素。包括技术人员在网络配置管理上的疏忽或错误，网络实际运行效益和安全投入成本间的平衡抉择，网络用户的安全管理缺陷等等。
    由于存在更多的安全威胁和安全隐患，能否成功的阻止网络黑客的入侵、保证计算机和网络系统的安全和正常的运行便成为网络管理员所面临的一个重要问题。
  1.1.3 网络安全技术
    如今已有大量的研究机构、社会团体、商业公司和政府部门投入到网络安全的研究中，并将此纳入到一个被称为信息安全的研究领域。网络安全技术主要包括基于密码学的安全措施和非密码体制的安全措施，前者包括：数据加密技术、身份鉴别技术等。后者则有：防火墙、路由选择、反病毒技术等。
（1）数据加密技术http://www.16sheji8.cn/