用于網絡入侵檢測系統的零拷貝技術的設計與實現

論文字數:24725,頁數:44  有開題報告，任務書

 摘  要
 入侵檢測作為一種積極主動的安全防護技術，它不僅能檢測未經授權的對象入侵系統，而且也能監視授權對象對系統資源的非法使用。隨著因特網應用的日益普及，基于網絡的入侵檢測越來越受到重視。
 零拷貝是實現主機或路由器等設備高速網絡接口的主要技術。零拷貝技術通過減少或消除關鍵通信路徑影響速度的操作，降低數據傳輸的操作系統開銷和協議處理開銷，從而有效提高通信性能，實現高速數據傳輸。基于該技術，本文在Linux平臺上設計和實現了一個簡單的用于入侵檢測系統的數據捕獲模塊。該模塊由網絡數據包捕獲模塊、內存映射模塊、網絡數據包分析模塊、存儲模塊和界面管理模塊五個子模塊所構成，實現了對以太網網絡數據包的捕獲,零拷貝傳輸和網絡數據包內容的分析。通過以緩存映射為基礎的零拷貝技術，實現了網絡數據包從內核空間到用戶空間的零拷貝傳輸，并分析數據包內容，有效的解決了丟包和同步的問題，從而實現了網絡接口設備直接將數據包以直接內存存取方式存儲到應用程序可以訪問的地址空間,避免數據包在內核態里傳輸時的內存操作,縮短了數據包的行走路徑。

關鍵詞：零拷貝；高速網絡接口；內存映射；入侵檢測系統
The Design and Implementation of Zero-copy Module of NIDS
Abstract
 As a kind of active security technique, intrusion detection system (IDS) not only can detect the unauthorized object to intrude the system, but also can monitor the authorized object to use the system resource unlawfully. With the internet used increasingly, more and more people attach importance to the intrusion detection system based on network (NIDS).
Zero-copy is an important technology to realize high-speed network interfacing for hosts and routers. It achieves high-speed data transfer through decreasing the overhead of data transmission caused by the operating system and transmission protocol. Its main idea is to reduce or eliminate some manipulations that affect speed in the critical transmission path. Based on the technology, this paper on the Linux platform have designed and achieved a simple data capture module of intrusion detection system. This module is composed of such five sub-module as following: network packet capture module, memory mapping module, network packet analysis module, storage module and user interface management module. They achieve the Ethernet network packet capture, zero-copy data transmission and network packet content analysis. Through zero-copy technology based on memory map, we achieve the zero-copy transmission of network data packets from the core space to user space and analyze the content of data packets, to effectively solve the packet loss and synchronization problem. And by realizing DMA the packet from network card to the memory that the user program can access directly, it avoids the memory access in kernel state and shortens the path to transmit a packet.

 Key words: zero copy；high-speed network interface；memory map；IDS
目  錄
1 緒論 1
1.1 網絡與信息安全現狀及發展趨勢 1
 1.1.1 網絡與信息安全現狀 1
 1.1.2 網絡與信息安全發展趨勢 2
1.2 入侵檢測及零拷貝技術研究現狀和發展趨勢 3
1.2.1 入侵檢測研究的必要性 3
1.2.2 入侵檢測研究現狀及發展趨勢 3
1.2.3 零拷貝技術的必要性 5
1.2.4 零拷貝技術的研究現狀及發展趨勢 6
1.3 本論文的內容安排 7
2入侵檢測系統及零拷貝技術概述 8
2.1 網絡入侵簡述 8
2.1.1 網絡存在的安全隱患 8
2.1.2 網絡入侵的分類 9
2.1.3 網絡入侵的一般步驟 10
2.1.4 網絡入侵與攻擊的常用手段 12
2.2 入侵檢測系統的原理 13
2.3 入侵檢測系統的分類 14
2.4 零拷貝技術的原理 16
2.5 零拷貝技術的分類 16
2.5.1 分散/集中緩存 17
2.5.2 頭/負載分離 17
2.5.3 NIC解析上層協議 18
2.5.4 RDMA 18
2.6 零拷貝技術與傳統方法的比較 18
2.6.1 libpcap概述 19
2.6.2 零拷貝與libpcap的比較 19
3基于零拷貝技術的入侵檢測系統的設計 21
3.1系統的總體結構設計 21
3.2 網絡數據包捕獲子模塊的設計與實現 22
3.3 內存映射子模塊的設計與實現 23
3.4 網絡數據包分析子模塊的設計與實現 24
3.4.1 TCP/IP模型 24
3.4.2 數據包封裝與分解 26
3.4.3 網絡數據包分析過程 27
3.5 存儲子模塊的設計與實現 27
3.5.1 存儲子模塊的設計 27
3.5.2 存儲子模塊實現 29
3.6 界面子模塊設計與實現 30
3.6.1 GTK的簡單介紹及其關鍵機制 30
3.6.2 多線程技術 31
3.6.3 界面子模塊的設計 32
3.7 零拷貝平臺的性能測試 33
3.7.1 數據包捕獲效率測試 33
3.7.2 小數據包處理能力測試 34
結  論 35
致  謝 37
參 考 文 獻 38