基于ARM的硬件防火墻系統(tǒng)的研究.pdf

1、作為在保障網(wǎng)絡(luò)安全方面扮演著至關(guān)重要角色的防火墻技術(shù)從出現(xiàn)到發(fā)展至今一直是網(wǎng)絡(luò)安全研究中的關(guān)鍵技術(shù)之一，隨著互聯(lián)網(wǎng)的迅猛發(fā)展，它在信息化、網(wǎng)絡(luò)化的過程中也變的越來越重要。為了使防火墻能快速且深入地對網(wǎng)絡(luò)數(shù)據(jù)傳輸過程中的海量信息進(jìn)行安全檢測，并能應(yīng)對來自各個網(wǎng)絡(luò)層的威脅，將傳統(tǒng)的基于軟件的防火墻轉(zhuǎn)向硬件平臺實現(xiàn)是不可阻擋的發(fā)展趨勢。 首先闡述了網(wǎng)絡(luò)安全的現(xiàn)狀、網(wǎng)絡(luò)安全研究的重大意義、防火墻目前的發(fā)展?fàn)顩r及未來的發(fā)展趨勢，然后介紹了

2、防火墻的概念、功能和分類。重點分析了著名的開源入侵檢測系統(tǒng)Snort的功能實現(xiàn)及數(shù)據(jù)結(jié)構(gòu)，對Linux中自帶的網(wǎng)絡(luò)安全工具Iptables/Netfilter的工作原理做了簡要介紹，然后對現(xiàn)在較流行的基于軟件的字符串匹配算法和硬件實現(xiàn)方法進(jìn)行對比分析，通過對已存在的解決方法的深入研究，提出了基于ARM處理器并采用內(nèi)容可尋址存儲器(CAM)的硬件防火墻系統(tǒng)設(shè)計方案。將Snort中對數(shù)據(jù)包載荷檢測部分中的順序檢測替換為由CAM結(jié)合Wu-Ma

3、nbcr多模式匹配算法實現(xiàn)，其中CAM完成短模式匹配，Wu-Manber算法完成長模式匹配，并將Snort與Iptables/Netfilter有機(jī)結(jié)合移植到基于ARM的嵌入式平臺中，系統(tǒng)可以通過主機(jī)對防火墻的狀態(tài)進(jìn)行實時監(jiān)控和規(guī)則更新。 設(shè)計了防火墻的整個硬件電路，其中重點分析了CAM模塊的設(shè)計。通過對Sourcefire的Snort VRT2.4版免費規(guī)則庫的統(tǒng)計分析和計算模擬得出了對規(guī)則集的最佳劃分長度；在軟件部分研究了B

4、ootloader制作、Linux內(nèi)核的裁減與移植及根文件系統(tǒng)制作等內(nèi)容。重點分析了摩托羅拉公司的專用CAM芯片MCM69C432的驅(qū)動程序設(shè)計和相應(yīng)的調(diào)用方法，并結(jié)合主機(jī)軟件部分的功能分析了雙方的通信協(xié)議及實現(xiàn)，最后通過程序?qū)ο到y(tǒng)仿真并選用林肯數(shù)據(jù)集進(jìn)行模擬測試，測試結(jié)果表明系統(tǒng)比以前效率有了大幅提高，過濾速度已達(dá)到最初設(shè)計目標(biāo)，證明了此硬件防火墻方案的可行性。 最后總結(jié)了本人的工作并指出此種方案的硬件防火墻的不足、需要改進(jìn)之