1、现改动便将信息传回取证机。通 过时钟控制对核心文件的扫描时间。 实现如下 ,获取文件信息 , , , , , , , , , , , , , , , 网络入侵取证布局设计 黑海洋中国分会成员 引言 网络犯罪已成为全球性威胁 计算机网络入侵取证是门针对计算机网络入侵与犯罪进行证据获取保存分析和出 示的计算机网络技术。目前，入侵取证的模式大致可分为两种，种是在案发后，使用技术 手段对相关计算机进行取证，主要是对被损坏的文件进行恢复和分析，同时，发现相关入侵 信息另种，是取证机进行实时监测，对连接在网络中被保护终端的状态数据进行即时监 测记录，类似与飞机上使用的黑。
2、络中的全部活动 客户机信息采集部分接收保存来自客户机信息收集器的各种信息数据分析部分帮助网络 管理员根据记录分析入侵行为。 被取证机上包含信息收集器用于收集包括重要文件访问篡改等重要的系统信息，并 将其发回取证机。网络物理结构框架如图 以太网 被取证机 取证机 被取证机 网络入侵取证系统物理结构 网络入侵取证系统的流程如下适当加点文字说明 信息采集器 解析 存储 分析 网络数据 得出结论 取 证 机 被取证机 网络入侵取证系统 三网络入侵取证系统的设计及技术要点 下面讨论网络入侵取证系统的原理，实现网络入侵取证系统中的主要模块。 网络数据采集实现 网络监听技术可以有效捕获网络数据包是实现网络监测，入侵检测，入。
3、于数据过滤器的数据过滤机制。是基于 机制的，于最大的不同在于采用的内核缓存的形式不同。是基于程序员的 角度设计的，它帮助程序员实现了应用程序与操作系统内核的接口。提供了组强 大而高效的函数来实现数据包的捕获，同时提供了用户数据缓存用于存储来自与内核的数据 包，有效防止应用程序进入系统内核管理的存储区域，提高程序的健壮性。 基于的结构 由二十多个程序文件组成，按功能大致分为以下几个部分 打开，读取设备，设置过滤部分 编译优化调试过滤部分 脱机方式监听部分 本地网络设置检测部分 主控程序及版本部分 数据包捕获程序流程 获取本地设备信息。 通过函数寻找系统中可用的网络接口设备，返回个表示网络适配器 的字符串。 打开设备开始监听会话 通过函数建立监。
4、能识别的源主机和目的主机的物理地址，这是个与地址相对应的位的地 址。当数据帧到达台主机的网络接口时，正常情况下，网络接口读入数据帧，如果数据帧 中携带的物理地址是自己的或者是广播地址，则将数据帧交给上层协议软件，也就是层， 否则就将这个帧丢弃。对于每个到达网络接口的数据帧，都要进行这个过程。然而，当主 机工作在监听模式下，所有的数据帧都将被交给上层协议软件处理。 常用的以太网卡支持以下工作模式广播模式多播模式直接模式和混杂模式。 网卡在设置为广播模式时，它将会接收所有目的地址为广播地址的数据包，般所有 的网卡都会设置为这个模式。 网卡在设置为多播模式时，当数据包的目的地址为多播地址，而且网卡地址是属于那 个多播地址所代表的多播组时，网卡将接纳此数据包，即使个网卡并。
5、段。 根据数据包的封装格式定义头部的相应数据类型 解析数据包的以太帧头部 获取当前时间 , 解析数据包的头部 ,解析出协议类型 , , 提取目的地址 , 提取目的地址 , , , 提取源地址 , 提取源地址 , 显示协议类型 , ,提取 , 如果协议是,进步解析端口号 解析端口号 , 注意为了正确的显示端口需要将网络字顺序转变为主机字节顺序使用函数 , , , 在文本框中显示数据帧的内容 被取证机信息采集器的设计与实现 被取证机信息采集器有两种设计倾向，。
6、侵取证的系统 的基石。使用网络监听技术可以发现入侵并对入侵者进行追踪定位，在对网络犯罪进行侦查取证时获取有关犯罪行为的重要信息，成为打击网络犯罪的有力手段。 网络监听的基本原理 以太网数据传输是通过广播实现的，将要发送的数据包发往连接在起的所有主机， 包中包含着应该接收数据包主机的正确地址，只有与数据包中目标地址致的那台主机才能 接收。但是，当主机工作监听模式下，无论数据包中的目标地址是什么，只要经过自己网络 接口，主机都将接收。 当网络中的两台主机通信的时候，源主机将写有目的的主机地址的数据包发向目的主 机。协议中数据包从层交给数据链路层，而网络接口是不会识别地址的，因此 在网络接口数据包又增加了部分以太帧头的信息。在帧头中有两个域，分别为只有网络接 口才。
7、匣子，但发生入侵行为，便可通过对记录的数据进行分析， 确定攻击源。 本文研究网络入侵取证，在平台下设计实现了由取证机及客户端信息采集系统 构成的分布式网络入侵取证系统，包括链路层以太帧的捕获子系统从网络传输底层获取 追踪取证所必须的地址，地址，通讯内容等详细信息，被取证机的数据采集子 系统检测核心机密文件是否被篡改，重要进程的运行情况等等文中对网络数据包捕 获，取证系统自身保护，系统间通讯给出了多种设计方案，并做了比较和探讨。 入侵取证的意义与现状 在无法有效防范网络计算机犯罪的情况下，有效的打击网络的非法入侵者显得十分 重要，计算取证技术为我们提供了手段，通过获取电子证据，寻找罪犯并将其绳之于法。 计算机取证是门针对计算机入侵与犯罪进行证据获取保存分析。
8、和出示的计算机网络技 术。目前，入侵取证的模式大致可分为两种，种是在案发后，使用技术手段度对相关计算 机进行取证，主要是对损坏的文件进行恢复和分析，同时，发觉相关使用信息另种，是 实时监测模式的取证机，它连接在网络中随时监测记录被保护终端的状态数据，类似与飞机 上使用的黑匣子，但发生入侵行为，便可通过对记录的数据进行分析，确定攻击源，依法 打击入侵者。 网络入侵已成为最主要的攻击手段，网络安全直以来都是，网络应用进步发展的 核心问题。防火墙是传统入侵防范措施，在技术理论上，现代防火墙是种先进而复杂的基 于应用层的网关，经过仔细的配置，通常能够在内外网之间提供安全的网络防护，降低网 络被攻击的风险，但实践中发现，仅仅依靠防火墙是不够的，网络入侵检测和取证系统正成 。
9、整用户级缓 存。 调整函数中的读操作等待时间值。通常出于效率可将该值设置的比较 大但当对响应时间要求比较高时，应将该值改小。 设置严格的过虑条件。 在基于平台，中还可以通过函数来设置内核缓存，通常情 况，要取得较好的性能应设置较大的内核缓存。 数据帧的协议解析 捕获后的数据帧经过解析才能得到我们想要的信息，如作为网络监听所需要的数据帧的源地 址，目的地址，协议类型等信息。 解析的过程是将数据帧中的数据按不同协议进行分析提取。首先，要按照不同协议数据组织 格式定义效应数据类型，下面根据以太网网数据帧的格式及协议栈定义相关数据类 型。 定义以太帧的头部数据类型 注意网络接口卡驱动程序会负责计算效验和，并取走帧中的前同步字符和效验字。
10、种是信息采集器仅负责收集信息，并直接传 回取证机另种则是信息采集器有定的信息分析处理功能。前者,被取证机的负担较轻， 但是取证机的负担相对较重，在被取证机数目较多的情况下可能引起较大网络流量后者,采用智能信息采集器，有效减轻取证机负担和网络流量，但被取证机的负担较重，可能会对 被取证机的使用造成影响。 核心文件信息采集 以下讨论有关采集器对核心文件信息采集的实现。采集器将及时发现核心文件的篡改 情况，并将信息发回取证机。对核心文件进行完整性校对可以采用多种方法实现，例如，采 用报文摘要算法对文件进行完整性校对。作者开发的信息采集器是在平台上 实现的,所以采用有关的文件属性的进行实现这些函数已被封装在的类中。 随时，获取核心文件的信息，并与以前的相关信息比较，发。
11、不是个多播组的成 员，程序也可以将网卡设置为多播模式而接收那些多播的数据包。 网卡在设置为直接模式时，只有当数据包的目的地址为网卡自己的地址时，网卡才接 收它。 网卡在设置为混杂模式时，它将接收所有经过的数据包，这个特性是编写网络监听程 序的关键。 用软件包实现数据分组的捕获 其版本为是种与系统无关，采用分组捕获机制的分组 捕获函数库，用于访问数据链路层。在不同的平台上采用统的编程接口，使用 编写的程序可自由的跨平台使用。 并未提供内置的分组捕获机制，这功能由应用系统提供，使用 虚拟机补充了这机制。在中以文件的方式实现， 在中以文件的方式实现。 由于的平台无关性及其优异的性能，下面将论述基于的高性能网络 监听器的实现。 的体系结构 接口支持基。
12、为其有效的补充。 有效的监测记录网络的数据包，是发现入侵行为，取证的重要手段。黑客攻击的重 点通常是重要文件，例如，对网站的攻击常常是以恶意窜改网页文件的方式进行的。因此， 主动监视关键文件已获取篡改迹象是入侵取证的关键。 目前，国际上的入侵监测技术也正出于起步和探索阶段，同时，计算机取证还需要与 相关的法律相结合，但是现行与之相关的法律尚不完善。已开发的些取证工具有 取证剖析工具可以用于被删除文件的恢复针对文件系统取证 的命令行工具集合等软件。 二分布式网络入侵取证系统 网络入侵取证系统的核心是取证机，取证机实时的获取网络数据和被取证机的各种重 要信息并进行存储，并能对数据进行分析得出最终结论。 取证机上应包含高性能网络监听部分用于获取网络数据源，监测网。
参考资料：
1、该文档不包含其他附件(如表格、图纸)，本站只保证下载后内容跟在线阅读一样，不确保内容完整性，请务必认真阅读。
2、有的文档阅读时显示本站（www.woc88.com）水印的，下载后是没有本站水印的（仅在线阅读显示），请放心下载。
3、除PDF格式下载后需转换成word才能编辑，其他下载后均可以随意编辑、修改、打印。
4、有的标题标有”最新”、多篇，实质内容并不相符，下载内容以在线阅读为准，请认真阅读全文再下载。
5、该文档为会员上传，下载所得收益全部归上传者所有，若您对文档版权有异议，可联系客服认领，既往收入全部归您。
网络入侵取证分布式系统的设计与实现