（计算机应用技术专业论文）内网管理系统关键技术研究与实现.pdf

， c l a s s i f i e di n d e x ： u d c ： l i l ll ll lll l ll 1 1 1l l i y 18 0 818 9 ad i s s e r t a t i o nf o rt h ed e g r e eo f m e n g a n i m p l e m e n t a t i o n o n k e yt e c h n i q u e s o fi n t r a n e tm a n a g e m e n t s y s t e m c a n d i d a t e ： s u p e r v i s o r ： a c a d e m i c d e g r e ea p p l i e df o r ： s p e c i a l i t y ： d a t eo fs u b m i s s i o n ： d a t eo fo r a le x a m i n a t i o n ： u n i v e r s i t y ： z h o uy a n g a s s o c i a t ep r o f w a n gw e i m a s t e ro f e n g i n e e r i n g c o m p u t e ra p p l i c a t i o n j a n u a r y , 2 0 1 0 m a r c h ，2 0 1 0 h a r b i ne n g i n e e r i n gu n i v e r s i t y 队- l 纵 t 一 i 哈尔滨工程大学 学位论文原创性声明 本人郑重声明：本论文的所有工作，是在导师的指导下，由 作者本人独立完成的。有关观点、方法、数据和文献的引用已在 文中指出，并与参考文献相对应。除文中已注明引用的内容外， 本论文不包含任何其他个人或集体已经公开发表的作品成果。对 本文的研究做出重要贡献的个人和集体，均已在文中以明确方式 标明。本人完全意识到本声明的法律结果由本人承担。 工1 一 作者( 签字) ：膨i j j l 日期：沙l 口年；月ir 日 哈尔滨工程大学 学位论文授权使用声明 本人完全了解学校保护知识产权的有关规定，即研究生在校 攻读学位期间论文工作的知识产权属于哈尔滨工程大学。哈尔滨 工程大学有权保留并向国家有关部门或机构送交论文的复印件。 本人允许哈尔滨工程大学将论文的部分或全部内容编入有关数据 库进行检索，可采用影印、缩印或扫描等复制手段保存和汇编本 学位论文，可阱公布论文的全部内容。同时本人保证毕业后结合 学位论文研究课题再撰写的论文一律注明作者第一署名单位为哈 尔滨工程大学。涉密学位论文待解密后适用本声明。 本论文( 囱在授予学位后即可口在授予学位1 2 个月后口 解密后) 由哈尔滨工程大学送交有关部门进行保存、汇编等。 a 力 作者( 签字) ：阿ll ；日导师( 签字) ：砂魏 q 日期： 沙卜年；月6 日沙l o 年弓月西日 j 气 饿 t o 哈尔滨丁程大学硕+ 学位论文 摘要 2 1 世纪是网络的时代，越来越多的企业、事业单位已经建立了内部网络 并且接入了互联网服务。在享受网络便利的同时，各种各样基于网络的不利 因素也随之而来，内网的管理和安全问题也越来越受到人们的重视，迫切的 需要一套针对内部网络的有效管理系统。 目前市面上已经出现了很多内网管理系统，它们在功能上基本相同，都 能够在一定程度上满足保护内网的需要。但是大部分系统主要的功能是对主 机的管理，对文件安全保密的功能并没有涉及。另外由于内网网络结构的复 杂性，还没有形成一套快速完整的内网网络结构拓扑方法，这就给内网管理 带来了不便之处。 本文针对内网管理系统中的网络拓扑和文件加密技术展开了研究，包括 基于交换层多子网的网络拓扑生成方法和基于驱动层的文件加密方法。 本文描述了一种适用于树形网络多子网环境下的网络拓扑发现方法。通 过定义抽象的最大集理论，给出了一组计算公式，将多子网问题转化为单子 网问题，从而解决了多子网环境下拓扑的问题。 本文针对文件加密技术提出了一种基于驱动层的文件透明加密方法。该 方法对用户完全透明，用户在使用过程中感觉不到文件加解密的存在。对比 应用层加密方法，本方法具有安全性更高、速度更快的优点。 在本文的最后，对整个内网管理系统的实现过程进行了阐述，重点描述 了系统部署方式和关键功能模块。 关键词：内网管理；网络拓扑；文件加密 k b - 0 哈尔滨t 稃大学硕十学何论文 a b s t r a c t t h e21 c e n t u r yi st h ea g eo fi n t e m e t ，m o r ea n dm o r ee n t e r p r i s e sa n d i n s t i t u t i o n sh a v eb u i l di n t e r n a ln e t w o r k sa n da c c e s s e dt ot h ei n t e r n e t w h i l e e n j o y i n gt h ec o n v e n i e n c e v a r i e t yo fw 曲b a s e dd i s a d v a n t a g eh a v ef o l l o w p e o p l e n o wp a ym o r ea t t e n t i o nt ot h en e t w o r km a n a g e m e n ta n ds e c u r i t yi s s u e sa n da s e t o fi n t e r n a ln e t w o r km a n a g e m e n t s y s t e mi su r g e n tn e e d e d t h e r ea r eal o to fn e t w o r km a n a g e m e n ts y s t e m sa tp r e s e n t t h e yh a v e b a s i c a l l yt h es a m ef u n c t i o na n da r ea b l et om e e tt h en e e d st oac e r t a i ne x t e n t m o s ts y s t e m so n l yf o c u so nt h es i d eo f m a n a g e m e n t a n di g n o r et h es e c u r i t yi s s u e s a n db e c a u s eo ft h ec o m p l e x i t yo ft h en e t w o r ks t r u c t u r e ，t h e r eh a sn o tf o r m e da m e t h o dw h i c hc a ng e tt h ew h o l ei n f o r m a t i o no ft h ei n t r a n e tn e t w o r ke f f i c i e n t l y t h a tb r i n g ss o m ei n c o n v e n i e n c et ot h en e t w o r km a n a g e m e n t i nt h i s p a p e r , w er e s e a r c ho nt h et w ok e yt e c h n o l o g i e si nt h ei n t r a n e t m a n a g e m e n t ；o n ei sn e t w o r kt o p o l o g yw h i c hb a s e do nt h e e x c h a n g e 1 a y e r m u l t i s u b n e ta n dt h eo t h e ri sf i l ee n c r y p t i o nb a s e do l lt h ed r i v e r - l a y e r an e wp h y s i c a ll a y e rn e t w o r kd i s c o v e r ya p p r o a c hi s p r o p o s e db a s e do n t r e e - m o d e lw h i c hm a n a g e st os o l v et h em u l t i s u b n e tp r o b l e m a c c o r d i n gt ot h e t h e o r yo fm a x i m u ms e ta n das e to ff o r m u l a ，t h em e t h o dt r a n s f o r m st h e m u l t i - s u b n e tp r o b l e mt os i n g l e s u b n e ta n ds i m p l i f i e st h ed i f f i c u l t yo ft h ep r o b l e m an e wd r i v e r - l a y e rf i l e e n c r y p t i o nm e t h o di sp r o p o s e di n t h i sp a p e r t h e m e t h o di sc o m p l e t e l yt r a n s p a r e n tt o u s e r s c o m p a r e dt ot h ea p p l i c a t i o n 1 a y e r e n c r y p t i o nm e t h o d ，t h i sm e t h o di sm o r es e c u r i t ya n df a s t e r i nt h ee n do ft h ep a p e r , w ei n t r o d u c et h ei m p l e m e n t a t i o no ft h ee n t i r e n e t w o r km a n a g e m e n ts y s t e mm a i n l yi nt h es y s t e md e p l o y m e n ta n di m p o r t a n t f u n c t i o n s k e y w o r d s ：i n t r a n e tm a n a g e m e n t ，n e t w o r kt o p o l o g y , f i l ee n c r y p t i o n 0 哈尔滨丁稃大学硕十学位论文 目录 第1 章绪论”1 1 1 课题背景及意义一1 1 2 国内外研究现状2 1 2 1 内网管理系统国内现状2 1 2 2 内网管理系统国外现状6 1 2 3 网络拓扑技术研究概述8 1 2 4 文件加密技术研究概述1 2 1 3 论文研究内容1 4 1 4 论文组织结构l5 第2 章基于最大集的交换层网络拓扑技术研究1 6 2 1 相关概念y 1 6 2 2 拓扑方法17 2 2 1 单子网发现方法17 2 2 2 多子网发现方法一18 2 2 3 算法补充说明一2 2 2 3 算法复杂度分析2 2 2 4 仿真与实验2 3 2 5 本章小结2 5 第3 章基于驱动层的文件加密技术研究2 6 3 1w i n d o w s 内核开发和w d m 的概念2 6 3 1 1 基础概念2 6 3 1 2 驱动程序装入规则”2 7 3 1 3i o 请求包及其调度机制2 8 3 2 基于驱动层的文件加密方法3 0 哈尔滨t 程大学硕十学伊论文 3 2 1 文件系统过滤驱动“3 0 3 2 2 文件加密标志3l 3 2 3 进程分类“3 1 3 2 4 文件加密流程一3 2 3 3 实验测试与分析3 4 3 4 实用性分析3 4 3 5 本章小结3 5 第4 章内网管理系统的设计与实现3 6 4 1 引言3 6 4 2 系统结构设计3 7 4 2 1 部署方式3 7 4 2 2 结构框架一3 8 4 2 3 数据流处理”3 9 4 3 关键功能模块4 0 4 3 1 服务器模块”4 0 4 3 2 客户端模块”4 7 4 4 本章小结5 1 结论5 2 参考文献”5 3 攻读硕士学位期间发表的论文和取得的科研成果“5 6 致谢5 7 哈尔滨t 程大学硕+ 学伊论文 1 1 课题背景及意义 第1 章绪论 进入2 0 世纪9 0 年代以来，随着电子计算机技术的迅猛发展以及网络技 术的普及，尤其是互联网的广泛使用，计算机上网已成为当代生活不可或缺 的一部分，随之而来各种计算机网络安全问题也日益严重起来，如何在保持 计算机网络良好使用性的同时又能够避免带来严重的安全问题成为越来越多 的个人和企业、政府机构迫切需要解决的问题。 在很长的一段时间内，人们把焦点大多集中在了如何防御外部攻击的问 题上从而忽视了从网络内部产生的安全问题。以前对于内网安全通常考虑的 都是采用防火墙技术、i d s 技术、虚拟专网技术等用来防止外部攻击入侵内 部网络的方法。然而，“城墙都是首先从内部瓦解的”，局域网相对于外部网 来说安全措施更少，防范疏忽，内部网络用户相对于外部来说拥有更高的权 限。据f b i 和c s i 对4 8 4 家公司进行的网络安全专项调查显示，超过8 5 的安全威胁来自公司内部。在损失金额上，由于内部人员泄密导致了6 0 5 6 5 万美元的损失，是黑客造成损失的1 6 倍，是病毒造成损失的1 2 倍l l 】。而我 国内网安全的现状也令人担忧。据公安部最新统计，7 0 的泄密犯罪来自于 内部电脑；8 0 应用单位未设立相应的安全管理系统、技术措施和制度【2 】。从 以上数字可以得出，内网安全正成为网络安全中一个急待解决的问题。 内网安全所要研究的内容主要包括两个大的方面，一个是安全，另一个 是管理。安全主要包括信息传输的安全性，必须确保在计算机网络中传输的 重要信息是保密的，不能受到未授权的窃听、破坏和仿造等攻击；信息存储 的安全性，必须确保存储在计算机和计算机网络内的数据是安全的，不能受 到未授权的访问、破坏和盗取等攻击。内网安全中文件的安全是很重要的一 部分。文件是公司企业的私有财产，如果不加以保护的话，文件的外泄将会 带来很大的损失。管理主要包括对人的管理，以及对内部资产的管理包括主 机，网络设备等。而网络拓扑发现是网络管理的基础，只有全面的了解网络 的架构才能准确的定位网络故障点，更快更高效的进行网络维护。 哈尔滨t 稗人学硕十学伊论文 内网安全现在已经成为一个必须解决的问题，从功能上和性能上都对内 网安全的研究提出了新的挑战。尤其是网络环境不断变化，网络威胁不断升 级，以及人们的安全意识逐步提高等等，都对现在的内网安全技术有了新的 要求。 在内网安全产品的功能方面，根据内网用户的要求，内网安全管理系统 应该具有简单、有效、易用、全面等功能特点。简单和易用原则保证系统能 够快速、方便的配置到内网安全环境中，并且提供直观的操作界面，避免复 杂的操作过程。有效性原则保证系统提供的功能确实能够帮助内网用户减少 安全风险，维护内网安全环境。全面的原则保证内网安全管理系统能够提供 全面的安全管理功能，这也是该系统最基本的原则。 在内网安全管理系统性能方面，首先应该保证系统不会大幅度影响已经 存在的内部网络，以及网内节点的使用。要保证系统能够成功部署在大部分 的内部网络环境中。代理客户端要求其对使用者通明，并且具有自我保护的 功能，不允许用户擅自关闭、卸载。随着内网节点的增多，速度的加快，系 统应该能够具有可扩展的能力 3 】。 、 由此可见，对内网安全管理系统的研发不仅要考虑功能方面的需求，更 要考虑性能方面的需求，而且越来越多的电子商务、电子政务系统的建设势 必要企事业单位考虑内部网络安全的问题，这就促成了对高效全面的内网安 全管理系统的需求，所以开发内网安全管理系统具有很必要的实际意义。 1 2 国内外研究现状 当前，内网安全研究方面在总体理论上已经有了成型的概念，而且已经 出现了成型的系统，但是这些系统目前都存在或多或少的问题，并且由于内 部网络的复杂性，并没有形成一个统一的成熟的整体解决策略。下面从国内 和国外两方面来介绍本领域的研究现状。 1 2 1 内网管理系统国内现状 1 1 网盾i p t r u s t 内网安全产品 该系统采用三层架构模式，即客户端一服务器端一管理控制端，系统部 署图如下： 2 - 噜 哈尔滨t 程大学硕+ 学何论文 晶、固 ( 僦 硝 酸艨够簇 团 糊勰 缁羧糕雾p 蜜酝鬻磐。糍锄挎 鳜f ；貔毂缓鳜皱：鳓缀f j 纷 群线 赣久锭霞虢搀魏譬誊) ， 舞嫒嚣誊纺孵飘凝。；磅缓鬻 缓移缓馕缓箨+ 掰叛磋咖魏+ 缓翁辫荔豹 转荔期，瑰 罐疆i 缓多旋疡锈嬲缓雾。 l 竺譬。8 一押蛳 一一“p 一蛳 ，、 f 1 删 髭绣 麓纯 缴静 图1 1 网盾系统部署图 该系统的主要功能： 、 a ) 实时监控，记录终端屏幕快照，导出重要画面归档保存以备查阅历 史记录。 b ) 记录终端各项应用程序运行以及浏览互联网情况，并生成统计图表。 c ) 记录即时通信记录( q q 、t m 、m s n ) 。 d ) 阻断计算机运行的某些指定应用程序或网站。 e ) 查看终端软硬件配置信息，记录软硬件改动情况。 0 记录用户对文档的操作和控制系统的外部设备。 g ) 快速分发w i n d o w s 补丁以及分发应用程序。 h ) 管理员和员工可通过工作站实现互动，便于管理。 系统的优点是： a ) 在监视过程中会产生大量的数据，i p t r u s t 系统采用通过优化的数据 压缩算法确保数据的高效存取，系统可随时捕获客户端的屏幕变化， 只有屏幕发生变化是，系统才截取屏幕快照，并且，系统每次保存 3 蛳 8：q 凇蹬 - q 哈尔滨t 稃大学硕+ 学伊论文 的屏幕信息是与前一段时间的差值，这样能保证系统产生的监视数 据最少。 b ) 强大的资料加密功能，客户端与服务器之间的数据传输利用d e s 算 法进行加密，保护资料，防止非法截获资料；可支持各部门根据设 定的规则对涉密文档操作进行监控的特殊要求。 c ) 系统具有认证功能，独特的服务器、客户端及控制台之间的认证功 能，客户端只向经过认证的服务器响应，防止非法服务器窃取系统 资料。 缺点： a ) 该系统侧重于管理，网络安全控制和审计功能弱，如进程查看、c p u 负载统计、网络流量监控等功能。 2 ) 网剑内网安全管理综合系统 网剑产品部署图： 系统功能： 孑瞬 1 2 网剑产品部署图 4 h “ 哈尔滨t 程大学硕十学何论文 a ) 主机信息收集，收集网内主机的硬件信息、软件信息和系统信息； b ) 非法外联监控，通过在应用层拦截网络连接来确定非法外联监控； c ) 非法接入行为管理，及自动阻断功能； d ) 主机i o 控制，对网络中主机的软驱，光驱，u s b 外设接口进行读 写控制； e ) 异常流量控制，对网络主机中的流量进行监测； f ) 攻击防护功能，阻挡外部攻击和扫描，并针对网络病毒及蠕虫进行 防护 g ) 打印行为监控，根据管理策略对网络打印机进行搜索、并对网络中 的打印行为进行检测并记录详细日志信息。 3 ) 北信源v p v 内网管理产品 该系统采用b s 工作模式，系统部署拓扑图如下： ，凌一j 夔菱 s o l 碧铭糍 w e b 霸燃狱 竣荔孵撩辙舞霉 图1 3 北信源内网管理产品系统架构图 系统主要功能： a ) 网络接入的控制：未注册主机阻断，若必须接入内网，则需通过细 致的8 0 2 1 x 认证。 b ) 移动存储设备管理：禁用移动存储设备，在允许使用的情况下，还 可以详细控制读、写等权限。 哈尔滨t 稃大学硕十学伊论文 c ) 病毒问题：北信源可以识别多种杀毒软件，显示其版本，对其升级， 可以远程调用其启动，未安装杀毒软件认为安全等级低，阻止入网 等多种方式和杀毒软件联动。 d ) 软件管理：通过建立禁用软件及进程列表来实现此功能，对违规终 端采取断网，重启等处罚手段。 e ) 客户端流量异常监控。 f )涉密文件保护：对涉密信息文件的访问、修改、复制、删除进行控 制，对涉密文件的打印、发邮件、网络共享进行控制，发现敏感字 能及时过滤，并对以上所有行为进行审计记录。 优点： a ) 有文件内容分析，有针对性地对涉密信息文件的访问、修改、复制 和删除进行控制； b ) 网络宽带调节，优化网络负载； c ) 准确有效的定位网络中病毒的引入点，快速、安全的切断安全事件 发生点和相关网络。 缺点： a ) 非法外联检测仅限拨号上网阻断，宽带上网、无线上网等上网方式 不能阻断。 1 2 2 内网管理系统国外现状 l 1 s y m a n t e ce n d p o i n tp r o t e c t i o n 主要功能： a ) 无缝集成一些基本技术，如防病毒库、反间谍软件、防火墙、入侵 防御、设备和应用程序控制。 b ) 主动威胁扫描：基于行为的防护，可以防御未知的威胁，与其他启 发技术不同，主动威胁扫描无需设置基于规则的配置即可准确检测 恶意软件，可对未知应用程序行为好坏进行分类，提供更精确的恶 6 哈尔滨t 稃大学硕十学伊论文 意软件检测。 c ) 高级r o o t k i t 检测和删除：通过集成v x m s ( v e r i t a s 映射服务，v e r i t a s 的一种技术) 提供了出色的r o o t k i t 检测和删除功能，从而可以访问 操作系统底层，进行全面分析和修复。 d ) 应用程序控制：允许管理员控制用户和应用程序访问特定进程、文件 和文件夹，它提供看应用程序分析、进程控制、文件和注册表访问 控制，以及模块和d l l 控制，防止恶意软件传播或破坏端点，锁定 端点，防止数据泄露。 e ) 设备控制：控制外设的使用，防止敏感信息的提取或窃取；防止端 点通过外设传播的病毒感染。 主要优势： a ) 相对其他内网安全管理系统而言，s y m a n t e c 产品在内网安全方面的 功能十分突出，它可以阻截恶意软件，如病毒、蠕虫、木马、间谍 软件、恶意软件、b o o t 、零日威胁和r o o t k i t 。 2 ) w e b s e n s e 内网安全管理系统 系统架构： 图1 4w e b s e n s e 系统架构图 7 哈尔演。- t ：稃大学硕十学位论文 系统功能： a ) 网页访问安全监控 b ) 数据安全 夺敏感数据识别 令敏感数据监控 夺敏感数据保护 夺敏感数据区域控制 c ) 电子邮件安全 纵观以上国内外的研究，内网管理产品已经多种多样，目前在内网安全 研究方面采用的基本技术主要包括网络主机实时监控、单机网络注册、主机 安全保护、网络行为监控、主机设备控制。目前的内网安全管理产品主要是 通过行为监控来达到管理目的，而对内容分析的保密监控只是在少数系统中 有所涉及。而且由于内部网络环境多种多样，一套全面快速的网络拓扑方法 还没有形成。所以面对内网的网络拓扑技术和文件加密技术成为了目前内网 安全与管理研究的重点。 1 2 3 网络拓扑技术研究概述 网络管理的目的是通过一定的技术手段对网络内的计算机设备进行合理 有效的监控，最大限度地保证其正常运行。而网络拓扑发现则是网络管理的 前提条件，是网络故障排除和网络性能检测的基础。因此拓扑发现算法的设 计在整个网管系统的开发中有着举足轻重的地位。近几年来，国内外对拓扑 发现算法的研究有很多，现介绍如下【4 】： 1 ) 按发现范围分为单管理域和多管理域 单管理域限于一个自治系统内( a u t o n o m o u ss y s t e m ，a s ) ，如一个校园网、 企业网等；多管理域则跨越多个自治系统，如城域网、互联网等。单管理域 的主要特点是，管理者对整个管理域内的网络设备都具有管理权限，对该网 络的拓扑一般主要采用基于s n m p 和m i b 的方法。s n m p 及m i b 具有信息 8 哈尔滨t 程大学硕十学伊论文 丰富的特点，同时结合i c m p 、d n s 等拓扑方法能够快速准确的获得拓扑结 果。但是基于s n m p 的方法存在一个前提条件即需要相关设备支持s n m p 和 m i b 查询，同时需要具有对这些设备的操作权限。 而对多管理域的网络拓扑来说，一方面多管理域中的设备数量庞大，另 一方面多管理域网络设备具有异构的特点，适合单管理域的方法和技术并不 适合多管理域网络，面对多管理域的网络拓扑不是本文研究的重点，故此不 再赘述【5 1 。 2 ) 按发现协议层次常分为网络层和链路层 网络层协议主要发现路由器级别的联网设备以及路由器、子网的关系； 链路层协议重点发现交换层设备如网桥、交换机等以及子网内设备的连接关 系。 网络层发现协议主要包括：s n m p 简单网络管理协议；r i p 距离向量路 由协议；d n s 域名解析协议；o s p f 开放最短通路优先协议；i c m p 协议， 通过p i n g 包探测主机，根据返回包判断目标机器是否在线。 链路层发现协议主要有a r p 协议，通过读取网络设备缓存表中的记录， 可以发现与其相连的局域网中的设备，并且可以发送a r p 请求包，根据回应 包来进行拓扑发现，从而得到整个以太网的拓扑结构。 3 ) 按发现方法分为被动探测和主动探测 主动探测是指主动对网络中存在的设备或主机进行探测，根据探测结果 获取拓扑结构；被动探测是指监听网络中的各种协议数据包，根据其逻辑关 系分析出拓扑结构。 主动探测目的性比较强，结果比较准确，但是它会给网络带来额外的流 量负载。被动探测没有额外流量负载，但是它依赖于目标网络的数据，其准 确性和时延性没有保证。 4 ) 其他 不同的方法都能够在一定程度上解决网络拓扑的问题，但是每一种方法 都有一定的优势和一些不足，具体如表1 1 所示。每种方法都有其应用的范 9 哈尔滨t 程大学硕十学伊论文 围，所以在实际选择中要结合网络拓扑的实际需要，灵活的选择不同的方法。 表1 1 拓扑发现算法比较表【6 】 方案 路由重收敛速拓扑精网络负算法难应用范网络规 复度度载易围模 s n m 口中慢中低简单大大 a l 廿 低快 高 由 简单 中 中 i c m p 高 中 高高简单小小 r m 高中高高难小中 d n s 高 中 由 高 难中 小 o s p f 高慢低高 难 小小 网络拓扑发现的关键在于精度和效率，精度包括对网络内所有节点的发 现以及对结构的正确拓扑，效率包括拓扑一次的时间消耗。一个好的拓扑发 现算法或模型必须要满足这两个条件。另外，如今大多数个人电脑都装有防 火墙等个人保护软件，使得基于链路层的主动探测方法失去了意义，所以， 如何解决内网拓扑中这种实际问题也成为了需要研究的问题。 y u r ib r e i t b a r t 于2 0 0 0 年提出一种基于直接连接定理的链路层拓扑发 现算法【7 】，直接连接定理给出如果交换机i 第j 口的地址转发表丘。与交换机 k 的第1 口的地址转发表存在以。存在如下关系4 ，u 彳。，= u ( 全集) 并且 4 in 彳。，= 0 ，那么就断定交换机i 和k 通过端口j ，l 直接连接。该方法无 法处理多子网以及存在v l a n 的情况。 2 0 0 1 年l o w e k a m p 提出了最小知识需求( m i n i m a lk n o w l e d g er e q u i r e m e n t ) 的方法【8 】，并通过引入通过集( t h r o u 曲s e t ) ，运用反证法的思想排除交换机间 不可能的连接，该方法不需要完整的地址转发表，弱化了拓扑发现的条件。 但是该方法不是一个完备的方法，文献 9 对此进行了说明。 2 0 0 2 年郑海等人进一步弱化了对地址转发表的依赖，提出了一种基于下 行端口转发表完备的方法f l o l ，该方法只要满足交换机下行端口地址转发表完 备即可进行网络拓扑。该方法的不足在于没有对v l a n 的情况加以考虑。 1 0 哈尔滨t 程大学硕十学伊论文 在2 0 0 4 年，y u r ib r e i t b a r t 又引入了粗略路径( s k e l e t o np a t h ) 的方法f i l l ，选 择在转发表集合中出现一次的地址，则确定包含该地址的集合为合法集合 ( v a l i du n i o n ) ，排除与合法集合冲突或者出现在合法集合中的地址项，通过不 断地迭代此过程，约束粗略路径，最终得到唯一的一条路径。另外作者还证 明了该方法的完备性。但是该方法虽然给出了筛选规则的证明，但是却没有 证明运用该筛选方法最终一定能够得到正确的拓扑。在2 0 0 6 年，y u r ib r e i t b a r t 证明物理层拓扑发现是一个n p 问题，并且认为根据给出的转发表无法保证 拓扑出的网络的唯一性，只能给出基于启发式的算法1 1 2 1 。 2 0 0 4 年r i c h a r db l a c k 等人提出了一种不依赖设备自身m i b 信息的网络 拓扑发现算法1 1 3 1 ，该方法需要在主机节点上安装守护程序，令主机网卡工作 在混杂模式，通过收发一些探测包来确定交换机之间的关系。该方法很好的 回避了不同网络设备兼容的问题，代价是在主机上安装守护程序，这在现实 中有时是无法实现的条件。 2 0 0 6 年孙延涛等人提出了基于连接推理技术( c o n n e c t i o n sr e a s o n i n g t e c h n i q u e ) 的拓扑算法，该方法把交换机地址转发表翻译为一组谓词公式，把 拓扑发现问题转变为一个谓词逻辑推理的数学问题，借助数学工具对拓扑发 现问题进行研究。该方法定义了一组基本推理规则( b a s i cr e a s o n i n gr u l e s ， b r r ) ，解决了交换机地址转发表不全的缺点 9 1 。 2 0 0 6 年h a s s a ng o b j u k a 等人提出了拓扑发现唯一性的问题i - 4 】，给出了一 种根据给出的地址转发表能否唯一确定网络拓扑的算法，如果能够获取唯一 拓扑，则根据该算法能够得到正确的拓扑图。该方法思想是建立一个强有效 图( s t r o n gv a l i dg r a p h ) ，并找到图中的叶子节点以及与它相连的可能边 ( p o t e n t i a le d g e ) ，然后去掉该节点和该边，继续重复上一个步骤。如果遍历完 了所有节点，则得到唯一的拓扑图，如果找不到叶子节点，则算法输出无法 获取唯一的拓扑图并选择任意一个边继续进行。 2 0 0 7 年h a s s a ng o b j u k a 等人给出了一种能够发现多子网的拓扑发现算法 1 5 l ，并且能够获取所有可能的拓扑图，该方法引入了可达集( r s ) 的概念，并 将算法的时间复杂度限定在了o ( n 3 ) 里。其基本思想是利用可达集概念，将原 来多子网问题转化为单子网问题，从而利用单子网发现算法进行拓扑。 2 0 0 7 年孙延涛等人提出了一种基于以太网拓扑结构为无环的树形结构 哈尔滨t 程大学硕+ 学位论文 的特点拓扑发现算法f 1 6 l ，该方法主要描述两个节点的关系，利用树形结构的 特点，首先确定交换机根端口的信息，然后确定交换机的连接关系。该方法 回避了复杂的网状拓扑结构，更加具有实际应用价值，但是该方法只能适用 于单一子网的发现，无法对多子网和v l a n 问题进行处理。 2 0 0 8 年陈福等人给出了一个上行完全集合下行完全集的概忿- 7 】，提出任 意交换机的上行端口转发数目一定小于其下行交换机的上行端口转发数目， 该方法假设网络为树形结构，通过不断地判断父子关系完成拓扑。 2 0 0 8 年y u r ib r e i t b a r t 等人进一步将拓扑发现算法的时间复杂度缩小在 o ( n 2 ) 里【】。 1 2 4 文件加密技术研究概述 文件是信息的一种重要载体，保护内部信息的安全主要是指保护文件的 安全。针对文件的数据保密方式分为访问控制和数据加密两种。访问控制是 基于访问权限的，通过设置不同的权限级别，可以限制机密文件的被访问次 数。但是由于权限是唯一的限制条件，一旦比较高的访问权限泄漏后，对文 件的保护就基本失去了作用，因此该方式的防范措施比较脆弱。而数据加密 则是相对比较安全的方式，通过对每一个文件都进行加密保护，每次对文件 的访问都需要解密并验证用户的有效性，这样即使泄漏了一定的访问权限， 被访问到的数据依然是密文，并不具有直接价值，将文件泄漏带来的损失降 到了最低。文件加密的实现主要有以下两个方法： 1 ) 基于用户层的实现 基于用户层的实现可以采用简单实用的加密算法系列。加密算法可以采 用多重加密甚至是排列组合式的层层加密来保证了文件的安全性，利用加密 嵌套的复杂性来提高加密算法本身的抗攻击性。方案采用的算法不公开，采 用不同的加密序列进行多重加密，无法知道采用了几种算法、哪种顺序。此 方法加密计算量小，处理速度快，加密算法简洁，运算量小s 】。 另外的方法也有采用传统的基于对称密码和非对称密码组合的方式，由 于对称密码加密速度快，但是抗攻击行差；而非对称密码体系保密效果好， 但是结构负载，加密效率不高，所以采用一种利用非对称密码体系存储对称 密码密钥，用对称密码进行实际加密的方法，这种方法客服了两者的缺点， 1 2 哈尔滨t 稗大学硕十学伊论文 结合了两者的优点，在实际中得到了广泛的应用。 还有一些方法加入了数字签名技术，利用密码技术结合数据加密和数字 签名技术来保证文件的机密性、发送者身份真实性、文件数据的完整性和发 送者对自己行为的不可否认性，构造一种更加完善、高强度的文件加密方案 【1 9 l o 具有代表性的基于用户层的加密文件系统是c f s ( c r y p t o g r a p h i cf i l e s y s t e m ) ，c f s 的加密是以远程服务器来实现的，本地用户会在远程服务器上 建立一个加密目录，用户对加密目录操作时要进行身份认证和密钥认证。c f s 是针对目录加密的，无法对单一文件进行加密【2 0 】。 2 ) 基于内核层的实现 随着对数据加密安全性和效率要求的提高，出现了基于内核层的文件加 密方法。此方法采用驱动层开发，对用户完全透明。主要原理是开发过滤层 驱动，截获文件系统的i o 请求，在文件关闭的时候自动加密，在文件打开 的时候自动解密1 2 l l 。 加密算法的选择可以选择对称加密体系和非对称加密体系。对称加密算 法处理速度比较快，但是密钥保护比较复杂。而非对称加密体系密钥管理比 较安全，但是加密算法本身比较复杂，比较容易影响加密的性能【2 2 】。 还有一种采用混合加密体系来对文件进行加密，这种方法结合了对称加 密体系和非对称加密体系的优点。对文件加密使用对称加密体系，而对密钥 的保护采用公钥私钥体系，这样就既能保证密钥安全的同时又能够兼顾到加 密的效率。 另外还有在保证加密文件的同时，隐藏加密文件的方法，同样是通过过 滤文件驱动的方法，将加密的文件名从文件列表中删掉，从而从磁盘驱动器 中“消失”【2 3 】。 基于内核层成型的加密文件系统有t c f s ( t r a n s p a r e n tf i l es y s t e m ) t 2 4 】、 c r y p t f s ( c r y p tf i l es y s t e m ) t 2 5 1 、a f s ( a n d r e wf i l es y s t e m ) 2 6 】等。t c f s 是内核级 的n f s ，它比c f s 加密粒度更细，可以实现按文件加密，将文件分块用不同 的密钥加密；c r y p t f s 是基于虚拟节点的加密系统，在虚拟节点和文件之间 加入一个c r y p t f s 层来提供加密操作；a f s 是一个分布式加密系统，其主要 保护手段集中在对用户的认证上，文件在服务器上是明文存放的。表1 2 对 哈尔滨t 稃人硕十学伊论文 这些加密文件系统进行了简单的对比。 表1 2 文件加密系统对比阿 内容 c f st c f s c r y p t f s a f s 工作原理n f s 服务器n f s 客户机虚拟节点普通文件系统 实现位置应用层内核层内核层内核层 数据存储 密文密文密文明文 密钥存放本地 本地本地本地 扩展性较差较差较好较差 方便度较复杂较复杂较复杂较复杂 性能评测较差较好较好较差 表1 3 是不同加密算法在不同系统上加密后对性能影响的对比，加密算 法越复杂对系统性能的影响越大。 表1 3 效率对比i ：s 】 系统w i n d o w sp r o f e s s i o n a l w i n d o w ss e r v e rw i n d o w sx p 算法性能和没有过滤文件系统相比 d e s 降低1 5 2 降低1 5 1 降低1 5 1 3 d e s降低2 0 3 降低2 0 4 降低2 0 3 f l o w f i s h 降低1 7 3 降低1 7 3 降低1 7 3 综上，目前已有的加密文件系统主要是基于分布式加密，使用比较复杂， 对于企业内网来说部署繁琐。而带有过滤驱动的透明文件加密解密会给系统 带来不小的影响，所以如何合理的选择加密算法并且制定合理的加密策略， 既要保证加密的安全性又不能以损失大量性能为代价并且在部署和使用上尽 可能的简单方便，成为了能否实现透明加密解密的关键问题。 1 3 论文研究内容 本文主要研究内容如下： ( 1 ) 物理层网络的拓扑生成方法研究，包括单子网拓扑方法、多子网拓 扑方法、拓扑图生成方法等； 1 4 哈尔滨t 稃大学硕十学何论文 ( 2 ) 基于内核级的文件透明加密技术的研究，包括文件驱动过滤技术， 加密算法的设计，透明加密体系研究等； ( 3 ) 内网管理系统的设计与实现，对系统的功能需求、总体架构、功能 模块、数据结构、程序流程和数据库等进行了详细的设计，并且实现了整个 系统。 1 4 论文组织结构 本文按照内容结构分为四章： 第1 章绪论 介绍了课题研究的背景及意义，叙述了内网管理系统的概念和网络拓扑 的方法，并对文件加密技术进行了介绍。 第2 章基于最大集理论的交换层网络拓扑技术研究 介绍了交换层拓扑的概念，叙述了最大集理论的定义和定理并进行了证 明，提出了最大集理论的算法，在此基础上给出了单子网和多子网交换曾网 络拓扑的方法，并通过具体实验予以验证 第3 章基于驱动层的文件加密技术研究 介绍了w i n d o w s 内核开发和w d m 驱动模型，研究了文件驱动的过滤方 法，并将加密算法与过滤驱动联合起来，在此基础上实现了简单的文件透明 加密的功能。 第4 章内网管理系统的设计与实现 详细描述了内网管理系统的设计目标、总体架构、主要功能模块的具体 实现细节。 哈尔滨t 稃大学硕十学伊论文 第2 章基于最大集的交换层网络拓扑技术研究 拓扑发现网络管理的重要组成部分之一，它是定位网络故障，发现网络 瓶颈的先决条件。其主要面临的问题有两个，一是拓扑发现的准确性，二是拓 扑的唯一性。准确性是指能否根据已知信息获取全面准确的拓扑结构；唯一 性是指是否能够获得唯一的拓扑结构。而交换式以太网拓扑发现由于其不存 在通用标准和设备多样性等特点，成为网络拓扑中的难点，对二层设备的拓 扑逐渐成为国内外研究的重点。 本文基于大多数局域网都是无环的树形结构的提点，避免了复杂的网状 结构，提出了一种树形网络的拓扑发现算法，算法利用非完整的地址转发表 信息，将其抽象为数学集合，从而利用集合的方法处理问题。该算法能够处 理多子网的情况，并且给出了多子网环境下地址转发表缺失率的极限值。 2 1 相关概念 拓扑发现是网络管理