分布式防火墻技術(shù)研究及其在校園網(wǎng)的應(yīng)用.pdf

1、網(wǎng)絡(luò)信息安全的概念己被各方接受和認(rèn)同，防火墻、入侵檢測、防病毒、安全審計等安全技術(shù)己經(jīng)得到了廣泛的應(yīng)用。在此基礎(chǔ)上，如何構(gòu)建一個動態(tài)的、全方位的安全防護(hù)體系，成為網(wǎng)絡(luò)安全中研究的熱點。 本文在與傳統(tǒng)的網(wǎng)絡(luò)防火墻、個人防火墻技術(shù)對比的基礎(chǔ)上，對分布式防火墻這一全新的防火墻體系結(jié)構(gòu)進(jìn)行了分析，提出一個分布式防火墻系統(tǒng)的軟件設(shè)計方案。本方案在保留傳統(tǒng)網(wǎng)絡(luò)邊界防火墻的同時，設(shè)計了一種駐留在內(nèi)部網(wǎng)絡(luò)終端的主機防火墻及其控制中心，將防火墻延

2、伸到內(nèi)部網(wǎng)絡(luò)的終端，從而有效防范來自網(wǎng)絡(luò)內(nèi)部的非法訪問與惡意破壞。主機防火墻利用NDIS-HOOK與SPI相結(jié)合，在應(yīng)用層利用SPI進(jìn)行封包來過濾各種應(yīng)用程序，而在核心層利用NDIS-HOOK來過濾各種非Socket通信的數(shù)據(jù)包。這種方法克服了單方面從用戶態(tài)或核心態(tài)截獲數(shù)據(jù)包的缺點，極大提高了系統(tǒng)的安全性能。主機防火墻利用進(jìn)行網(wǎng)絡(luò)通訊的應(yīng)用程序、IP地址、TCP/UDP端口號等信息對計算機內(nèi)部網(wǎng)絡(luò)終端發(fā)出的數(shù)據(jù)包進(jìn)行過濾，同時將日志信息