【毕业学位论文】（Word原稿）基于MIS的入侵防御平台的设计及实现-软件工程

I 基于 入侵防御 平台的设计及实现 摘 要 随着计算机及网络技术的飞速发展，政府、企业建立的管理信息系统越来越多，管理信息系统在给我们工作带来便利的同时，也由于其自身的安全性问题给我们带来了新的挑战。在此背景下，本论文论述了 基于 入侵防御 平台的 建设 情况，论文的主要研究工作和取得的成果有以下几个方面。 （ 1）对 基于 入侵防御 平台 进行了功能需求 的 分析，确立了 平台 建设的总体目标，构建并设计了 平台 的总体框架、体系结构，规划了 平台 的功能，并确定了 平台开发、设计、部署的软硬件环境、以及所采用的安全策略等 。 （ 2）分析并论述了 基于 入侵防御 平台 的数据组织和管理方式，并设计了系统的数据结构 。 （ 3）论述了 基于 入侵防御 平台的 扫描探测、漏洞探测、提权处理、 以及检测评估子系统的设计，并对各子系统中的关键和重点功能模块进行了算法的详细设计及实现。 关键词 ：管理信息系统； 数据库 ； 入侵防御 ；系统设计 of by or It of of In IS he of in (1)of of It (2)of of (3)of In it of in 目 录 第一章 绪论 . 1 目研究背景 . 1 全检测发展状况 . 2 内外检测技术现状 . 2 前 全检测技术存在的主要问题 . 3 目研究内容及难点 . 4 要研究内容 . 4 究所涉及的关键技术难点 . 4 文的组织 . 5 第二章 相关理论及技术 . 6 P 协议 . 6 P 协议栈结构 8 9 . 6 路层协议 9. 8 络层协议 8. 8 输层协议 8. 14 用层协议 8. 17 络攻击技术 . 18 描探测的主要技术 . 18 洞探测的主要技 术 . 19 侵攻击的主要技术 . 19 第三章 全问题 . 21 全问题 . 21 用过高权限 . 21 台漏洞 . 21 入 . 21 计记录不足 . 21 绝服务 . 22 据库通信协议漏洞 . 22 份验证不足 . 22 份数据暴露 . 22 全问题分析 . 22 部威胁 . 23 部威胁 . 24 型设计 . 25 台的安全策略 . 25 测树模型设计 . 27 全检测处理流程 . 29 台的总体结构 . 29 台的逻辑组织 . 29 台的体系结构 . 30 台的数据结构 . 30 台的功能需求及设计规划 . 34 第四章 安全检测模块设计与实现 . 37 描探测模块实现 . 37 探测处理实现概述 . 37 口扫描功能实现 . 39 机信息搜集功能实现 . 39 口令扫描功能实现 . 41 洞探测模块实现 . 42 洞探测的实现概述 . 42 洞探测 功能实现 . 45 测引擎功能实现 . 46 权处理模块实现 . 49 权处理的实现概述 . 49 权处理各模块的模型设计及实现 . 50 权处理功能的实现 . 51 侵攻击模块的设计与实现 . 53 侵攻击的实现概述 . 53 侵攻击的原理及模型设计 . 54 侵攻击功能的实现 . 56 测评估模块的设计与实现 . 62 测评估的实现概述 . 62 测评估的结构及模型设计 . 63 测评估功能的实现 . 65 第五章 安全检测实例 . 67 试设备 . 67 试网络拓扑结构 . 68 5. 3 测试用例 . 68 试结果 . 69 第 六章 总结及展望 . 71 作总结 . 71 一步的主要工作 . 71 参考文献 . 73 基于 入侵防御平台的设计及实现 1 第一章 绪论 目研究 背景 安全检测与分析技术的历史要追溯到 20世纪 80年代，而关于 2。二十世纪九十年代初， 写了扫描一个互联网扫描系统（ 它能够成功的探测到远程 统的各种通用漏洞，它也开辟了安全检测工具的先河 3。虽然安全检测技术起步较晚，但是由于对其需求的紧迫性，从那时至今，安全检测与分析系统的研发一致都十分热门，不同形式的漏 洞检测与分析工具则更是层出不穷： 极光”远程安全评估系统（ 们的出现很好的帮助安全管理员对所在单位主机的安全漏洞的查找，有效的阻止了大量黑客攻击的发生 4。 随着网络信息技术的飞速发展，对信息网络空间的掌控能力成为新世纪衡量各国综合国力的重要标准。 网络已成为了现代信息社会中不可或缺的一部分，它是连接 现在和未来的纽带 。各种各样通过计算机 网络 运行的管理信息系统（ 成为一个国家的战略资源和战略命脉，因此，信息网络和 其所承载的 数据安全将成为影响国家大局和长远利益的关键。 数据库系统作为当今大多数 存储和处理的核心，常常含有各类重要敏感数据，如商业数据、个人隐私数据等等，它通常被应用于政府、金融、电力和能源等关键部门的数据量巨大的关键业务系统，因此它也是黑客入侵的重点。通过对其实施入侵和控制，便可获得业务系统的关键数据，甚至控制整个关键业务网络，通过篡改核心数据、下载重要资料、预留控制后门等手段，达到破坏、瘫痪 整个网络的目的，从而给单位和企业造成巨大损失。与此同时，网络化也使 临着日趋严重的安全形势，使数据库的使用不受时空的限制，延伸了其受到入侵的时间和空间。在数据库受到入侵的可能性、空间和时间都大大增加的情况下，传统的以身份认证和存取控制为重点的 全机制越来越无法满足现实的安全需要。 传统的 全机制重点在于预防，着眼于对外部用户的身份和权限约束的检查，来保证用户操作的合法性，防止用户执行未授权的操作，但是这种以身份认证和存取控制为主的数据库安全机制存在一定的限制。首先，预防所有的安全问题是无法 实现的，带有恶意的入侵者总能发现新的方基于 入侵防御平台的设计及实现 2 法入侵或破坏我们的系统。入侵者可以通过网络嗅探的方式，获取系统用户的相关认证信息，通过对认证信息的处理得到用户名和密码，从而冒充合法用户登录进入服务器；也可利用会话劫持的方式，伪装成合法的用户，在客户端与服务器通信中作为第三方参与到其中。其次，以预防为主的安全机制对合法用户，特别是系统管理员的权限滥用常常显得无能为力。据相关部门统计，计算机安全的主要威胁来自内部滥用而不是入侵，这些内部滥用者往往具有合法的身份认证和授权口令。 基于 入侵防御的很多思想都来源于基于主 机和网络的入侵检测系统的研究思想和成果，但数据库的数据具有自己的结构和语义，数据库应用系统也有自己的行为语义，因此使得 全检测比主机和网络安全检测更复杂、更困难。为了能高效准确的辅助管理员的安全检测工作，主动地对 其相关网络的安全防护进行评测，更好的保护数据资源和网络安全，从根源上防范黑客的恶意入侵，提出了基于 在自动地对预定的 机信息探测、漏洞扫描、试探性提权以及入侵等一系列检测，通过远程端口扫描和主机相关信息探测，确 定出数据库服务器的具体位置和相关网络的安全信息，接下来集中对其进行漏洞扫描，而后将扫描结果匹配系统中的漏洞数据库，生成检测流程图，进而根据流程图进行提权处理，最后尝试入侵，全面系统地检测数据库服务器及网络的安全性，而后根据可入侵的程度和探测入侵的效果进行评估，从而生成 其网络的安全评估报告，帮助网络安全管理员及时发现系统中的漏洞，并采取积极的防御措施。本课题的研制开发，能主动地对 其相关网络的安全防护进行评测，从而能够更好的指导管理人员采取行之有效的防御措施，更好的保护信息资源和网络安全。 全检测发展 状况 内外检测技术现状 但是，目前的安全检测工具主要是针对主机及其 用漏洞的检测，少有专门针对 入侵攻击的检测防范工具。目前，针对 数据库的安全检测只能进行相应的 入漏洞检测，对于内部攻击方式则无法进行识别 1。现有的几种检测技术虽都能在一定程度上避免入侵行为的发生，但在主动发现探测上存有了很大的弊端，缺乏使管理员主动全面细致了解 体安全状况的功能。目前，主要的网络设备制造安全厂商 (为等 )的大部分重心都放在了网络的安防上，仅有很 少一部分厂商注重了 也仅是对 5。因此，本课题旨在根据目前 全检测的现状，通过主动探测的方式对 其网络的安全防护程度进行评估，科学的指导管理员进行维护使用。 基于 入侵防御平台的设计及实现 3 前 全检测技术存在的主要问题 由于 安全性越来越被国内外所重视，对其的安全检测技术自然也被各大型软件研发公司所高度重视，但是到目前为止，在此方面十分成功的系统却少有问世，在此领域还存在着很多尚未解决的难题和技术障碍，集中体现在： （ 1） 全监测系统的工作模式仍 需进一步研究。现有的 全检测系统的很多思想都来源于基于网络的入侵检测系统的研究成果，主要是以被动的入侵检测为主，通过审计相关日志和违规操作事件来查找系统漏洞，并且其针对性还比较强，往往一款检测系统仅适用于某款 某个版本，很难满足复杂网络环境的管理需要。因此，本文必须结合各数据库系统自身的特殊性和共同的通用性，找出一条适合于大多数当前主流 （ 2） 全监测系统中扫描探测的方式仍需进一步研究。由于网络服务必然存在端口，因此现有对 扫描一般都是基于对指定端口的扫描。但是 又由于端口本身并不具有强制性，所以即使扫描到端口，也不意味着必然对应某一服务，这样就使现有的扫描探测方式存在很大的误差性，对其的研究也是势在必行的。 （ 3） 全监测系统中提权处理的方式仍需要进行重点研究。由于各 理层面存在的差异性，致使在账户权限管理上存在很大不同。为了提高平台的通用性和有效性，对各种提权方式如何进行管理及调用，便是一个很值得研究的问题。 （ 4）平台的入侵方式的组织是一个很值得研究的问题。随着黑客入侵 案例越来越多，为了更好的防止类似事件再次发生，我们不得不去研究黑客的入侵 行为，模拟其常有的入侵方式对 而尽早查出漏洞及时应对。 （ 5） 全监测系统的安全评估的权值标准也是一个重要问题。由于本安全检测平台采用一种主动地检测方式，因此如何评判这种安全检测结果，对查找到的漏洞如何进行权值分配，便是一个需要重点考虑的问题。 本文正是以上述问题为主线，结合 全检测的需求，围绕平台的设计与实现，就其几个关键性技术问题进行了探索和实践研究。 基于 入侵防御平台的设计及实现 4 目 研究 内容及 难点 要研究内容 针对 传统的 全机制越来越无法满足当前安全需 要的 问题， 本人所在单位基于工作需要，决定立项 自主研发 一个基于 入侵防御平台 ， 为管理人员对所管理的 相关网络进行安全测试、入侵检测和防御维护提供一个有力的工具。 经过对现有国内外 全检测方式 的 对比 分析，结合 日常实际 对 侵方法的总结，确定以下 研究目标： （ 1） 实现 平台中 对 主流 数据库服务端口的扫描和主机相关信息的监听和探测。 （ 2） 实现 平台中 对 主流 洞扫描。 （ 3）根据平台扫描漏洞的结果，生成本次检测的检测流程。 （ 4）根据平台的检测流程，对所检测的漏洞进行分析 利用 ， 尝试通过执行 脚本命令来提升账户权限。 （ 5） 利用 平台所检测的 漏洞 ，尝试 对远程目标的文件 进行 管理 ， 开启远程控制端口，抓取 所在系统帐户密码的 获取系统完全控制权限 。 （ 6）获得完全管理权限后，根据入侵各步骤的难易程度，使用平台全面分析检测 时恢复探测攻击时所进行的更改设置，而后自动生成安全评估报告。 究所涉及的关键技术难点 由于 身的复杂性和其数据的独特性，对其的安全进行检测评估必然会遇到诸多问题，目前，主要存在以下几个关键技术难点： 第一个关 键技术是采取主动式探测方式实现平台的安全检测。为了更好的提高平台的安全检测及评估的效果，本平台采用完全模仿黑客入侵攻击的工作方式，由于数据库服务器配置存在差异以及相关网络环境也千差万别，如何有效灵活的组织各种检测方式，成为了平台的一大难题。 第二个关键技术是平台中基于协议的扫描探测方式。目前，随着管理员安全意识的提高，相应的网络服务并不是通过默认端口来提供，这样使基于端口的扫描探测方式的有效性大打折扣。为了基于 入侵防御平台的设计及实现 5 准确的探测出数据库服务器的位置，平台采用基于协议的服务扫描方式。该种方式虽能很好的解决扫描探测的准确性 ，但其扫描中需要对指定协议的数据包进行构造，并对应答包中的协议内容进行解析，这样就增大了平台中扫描探测模块的实现难度。 第三个关键技术是平台中基于插件重构的系统架构设计。由于要实现对 台需要通过插件技术来实现各个版本 代理检测，对某个固定 本仅需加载固定的插件即可实现安全检测功能。同时，由于模仿黑客对 行主动检测，为保证检测的有效性，插件的有序组合也是平台需要重点解决的问题。 文的组织 本文主要是以平台为研究对象，对包括平台的组成、需求分析、设计方法和各个 功能模块的设计等内容进行研究和探讨，并结合相关项目进行了实践和验证。 论文的章节安排如下： 第一章绪论部分，论述了论文的研究背景、目标、内容和意义，然后介绍了 全检测技术的发展现状及目前所面临的问题，最后对论文的关键技术和文章组织结构做以简要论述。 第二章为平台的理论基础概述。首先明确了 全技术的相关概念，而后对保证数据安全的相关安全机制进行介绍，并对当前 临的安全威胁进行了探讨，最后对平台涉及的关键技术进行了介绍。 第三章为平台的总体设计。针对 全威胁和现有安全机制的不足，提出了平 台的研究。首先对平台的功能需求进行了分析，接着对平台的结构、框架进行了总体设计，并对台工作流程进行了介绍，而后对平台的各个模块组成进行了介绍，最后介绍了平台的软硬件环境及安全策略。 第四章为入侵防御平台的设计与实现。其中包括扫描探测模块、漏洞探测 模块 、提权处理 模块以及入侵 模块 。文章分别针对各类 模块 的功能特点以及在安全检测平台中的地位，对其 原理、模型、技术实现策略等部分内容进行了设计， 并对本 模块 中的技术难点及解决方案进行了具体论述。 第五章为 检测评估模块 的设计与实现。首先介绍了 全检测效果评估 模块 的设计 方案，而后对其中的关键技术进行了详细探讨。 第六章是工作总结及下一步的主要工作。 基于 入侵防御平台的设计及实现 6 第二章 相关理论及技术 全检测（ 研究开始于 20世纪 90 年代末 6，其主要目的就是寻找 存在的安全漏洞，发现系统可能要面临的安全风险。本章按照扫描探测、漏洞探测、提权处理、入侵攻击、检测评估五个阶段对 涉及的关键技术进行阐述。 P 协议 P 协议栈结构 8 9 P 协议的全称为传输控制协议 /互联网协议。该协议起源于二十世纪末期，开始是美国政府为了军方数据能够进行交互而开发的一个网络通信项目。在最初期的计算机都是以单机的形式存在，各个计算机之间并没有互相连接，各种数据都是散布在每个单独的计算机内，当时的预想是希望让这些分散的数据能够成为共享资源，同时也希望一些重要的数据资源可以利用网络分散到各地，可以在单个地域发生危险时重要的数据不至于被销毁。根据这个思路美国军方建立了 也是 是当今世界上使用最广泛而不基于任何特定硬件平台的网络通信协议，在网络通信中主要负责完成路由选择与数据传输等工作。 下面分层描述 1）网络接口层，顾名思义，网络接口层是运行在较高层的 们对该层有一些争议，由于没有一个核心 议运行在这一层，甚至有人认为它不是正统的管如此，网络接口层仍然是该体系结构的一部分。 2）网际层，网际层对应 考模型中的网络层（因此有时在 P 模型的讨论中甚至也 称之为网络层）。它负责典型的第 3层的工作，如逻辑设备寻址、数据打包、处理和交付以及选路。 3）运输层，运输层的首要任务是为互连网络中的主机间提供便利的端到端通信。它负责设备之间逻辑连接的建立，数据的不可靠传输（不保证数据可靠到达）和可靠的方式（为了确保数据到达目的地，协议跟踪数据的发送和接收，必要时重新发送）。该层中还完成了对特定源和目的应用进程的标识。 基于 入侵防御平台的设计及实现 7 4）应用层，应用层是 是一个相当宽泛的层，包括了 层到第 7 层。和 型相比它似乎丢失了一些细节，但这也许是件 好事。 P 模型更好地反应了 型中较高层功能划分的模糊性质，这在实践环节中看起来又是非常随意的。以下是几种常见的应用层协议。 程登录协议。 件传输协议。 单邮件传送协议。 单网络管理协议。 图 2P 协议族中不同层次的协议 在以太网中如果有两台主机，同时二者都在运行 议，图 1出了该过程所涉及到的所有协议。 基于 入侵防御平台的设计及实现 8 图 2域网上运行 两台主机 接下来将详细介绍一下各个层次的协议的具体内容，这些协 议主要包括链路层协议、网络层协议、传输层协议和应用层协议。 路层协议 9 在 路层主要有三个目的： 1)为 块发送和接收 据报； 2）为 3）为 求和接收 P 支持多种不同的链路层协议，这取决于网络所使用的硬件，如以太网、令牌环网、 纤分布式数据接口）及 络层协议 8 1)址解析协议 一个功能齐全、动态解析的 协议，用于将 址与下面的数据链路层地址进行匹配。当 络中的一台源设备有一个 据报要发送时，一个 务就开始了。首先它必须判定目的设备是在本地网络中还是在远程网络中。如果是前者，就直接发送到目的地；如果是后者，他基于 入侵防御平台的设计及实现 9 将该数据报发送到该物理网络中的路由器之一，进行转发。采用任何一种方式，它都要确定本地网络中作为它数据包的直接目的地的 址。它将数据报打包后，将其交给 件进行地址解析。 基本操作就是本地网络中一对请求和响应的传输。源发送一个包含目的地信息的广播。目的地则使用 单播向该源发回一个响应，告诉源那个目的地的物理地址。 （ 1） 文类型和地址指派 对于每个 文，发送方是发送报文的，而目标方是接收报文的。因此，发送方和目标方的身份对每个报文发生了变化。下面描述了发送方和目标方的身份是如何用于请求和回答。 请求。对于最初的请求，发送方是源（要 据报发送的设备），而目标方是目的地。 回答。对于 求的回答，发送方是目的地，它回答成为目标方的源。 任何报文中两方的每一方都具有两个地址（第 2 层和第 3 层），所以每个报文中 都包含了下面 4 个地址。 发送方硬件地址。 文中发送方的第 2 层地址。 发送方协议地址。 文中发送方的第 3 层（ 址。 目标硬件地址。 文中目标方的第 2 层地址。 目标协议地址。 文中目标方的第 3 层