1、中，将要监测的重要进程添加到重要进程列表文件中，此时便可启动被取证机上的信息采集程序了。通过取证机上的监测程序可以看到网中数据帧的情况，打开文件监视，被取证机上的任何核心文件的变动或重要进程的启动停止都可以被检测到，并按时间顺序记录到从取证机上的文件中，记录表现为被取证机的地址，发生变动的核心文件及变更时间。当核心文件或重要进程的非法入侵来自与内部人员而非通过网络时，通过记录的时间而查看当时的监视录象资料便可帮助我们确定入侵者。在测试中为了模拟网络入侵，将架设在被取证机上的网站的访客记录文件加入核心文件列表中。当访问此网站时，引起了访客记录文件的变化，取证机上立即记录了这个变化，同时，这次访问的网络数据包也被取证机捕获。五网络入侵取证的技术难点与结论由于有效的数据分析需要个庞大的入侵信息。
2、入侵取证是门针对计算机网络入侵与犯罪进行证据获取保存分析和出示的计算机网络技术。目前，入侵取证的模式大致可分为两种，种是在案发后，使用技术手段对相关计算机进行取证，主要是对被损坏的文件进行恢复和分析，同时，发现相关入侵信息另种，是取证机进行实时监测，对连接在网络中被保护终端的状态数据进行即时监测记录，类似与飞机上使用的黑匣子，但发生入侵行为，便可通过对记录的数据进行分析，确定攻击源。本文研究网络入侵取证，在平台下设计实现了由取证机及客户端信息采集系统构成的分布式网络入侵取证系统，包括链路层以太帧的捕获子系统从网络传输底层获取追踪取证所必须的地址，地址，通讯内容等详细信息，被取证机的数据采集子系统检测核心机密文件是否被篡改，重要进程的运行情况等等文中对网络数据包捕获，取证系统自身保护，系统。
3、成影响。但此方案较之方案，要占用较多的客户端资源。方案的实现采用，定时对系统进程拍摄快照来实现。取得的进程列表核心代码如下平台用于保存取得的进程列表数据分析部分通过有效分析取证数据可以辅助管理员确定入侵行为，数据分析可以实时或事后进行，常用实现方法有以下些模式匹配模式匹配就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。该过程可以很简单如通过字符串匹配以寻找个简单的条目或指令，也可以很复杂如利用正规的数学表达式来表示安全状态的变化。般来讲，种进攻模式可以用个过程如执行条指令或个输出如获得权限来表示。该方法的大优点是只需收集相关的数据集合，显著减少系统负担，且技术已相当成熟。它与病毒防火墙采用的方法样，检测准确率和效率都相当高。但是，该方法存在的弱。
4、专家库，所以作者并未给出它的实现，需要实现这部分时可参考入侵检测系统是开放源码的自由软件的相关实现部分。计算机取证技术实现的技术难点在于如何让取证设备或程序对于用户和入侵者而言是透明的，既不影响用户的运行效率，也不易被入侵者发现。同时，应有措施保证取证系统自身的安全。大量数据的存储与分析同样也是实现中的难点。网络入侵取证系统设计在中，应确保其开放性，可以有效整合其他取证工具和网络安全系统。同时，网络入侵取证系统也应易于升级，应对新的网络入侵方式。可以预言今后的网络安全体系将是由防火墙入侵检测系统和入侵取证系统等构成的多层次有机整体。随着，计算机犯罪相关法规的完善，入侵取证系统必将占据越来越重要的地位。相关技术网站网络入侵取证布局设计黑海洋中国分会成员引言网络犯罪已成为全球性威胁计算机网络。
5、。通过函数寻找系统中可用的网络接口设备，返回个表示网络适配器的字符串。打开设备开始监听会话通过函数建立监听会话。其中为上步中所提到的网络适配器的字符串，定义监听程序所捕获的最大字节数，定义是否将网络适配器设置为混杂模式。定义读操作的时间。函数调用失败时返回信息字符串。设置过滤条件编辑过滤字符串，设置过滤器，制定要捕获的主机协议等，可以有效的捕获指定类型的数据。通过函数将过滤字符串编译为二进制。常用的过滤字符串有表示捕获主机收发的数据帧，表示捕获协议类型为的数据帧，表示捕获目的或源端口是的数据帧等等，很多过滤字符串还能进行组合。由函数进行内核过滤器的设置生效。执行捕获循环每捕获个数据包后就调用用户的回调函数对数据包进行处理，以上功能可通过调用以下两个函数实现它们的功能基本相同，唯的差别在于。
6、统的核心是取证机，取证机实时的获取网络数据和被取证机的各种重要信息并进行存储，并能对数据进行分析得出最终结论。取证机上应包含高性能网络监听部分用于获取网络数据源，监测网络中的全部活动客户机信息采集部分接收保存来自客户机信息收集器的各种信息数据分析部分帮助网络管理员根据记录分析入侵行为。被取证机上包含信息收集器用于收集包括重要文件访问篡改等重要的系统信息，并将其发回取证机。网络物理结构框架如图以太网被取证机取证机被取证机网络入侵取证系统物理结构网络入侵取证系统的流程如下适当加点文字说明信息采集器解析存储分析网络数据得出结论取证机被取证机网络入侵取证系统三网络入侵取证系统的设计及技术要点下面讨论网络入侵取证系统的原理，实现网络入侵取证系统中的主要模块。网络数据采集实现网络监听技术可以有效捕获。
7、计算效验和，并取走帧中的前同步字符和效验字段。根据数据包的封装格式定义头部的相应数据类型可根据以上示例定其他协议的相应数据结构。网络监听程序实例以下将通过作者利用及开发的网络入侵取证系统的网络数据包捕获部分，来进步阐述利用开发网络监听程序的方法。以下仅分析程序的监听部分。数据类型定义为了实现捕获数据的解析定义了相关数据类型在文件中定义定义协议类型名称,信息采集器进程列表文件，用于保存被取证机上信息采集器进程的状态,客户端在安装了服务代理后，信息采集程序便可以通过使用智慧指针来调用和访问远程组件服务，以下是调用远程组件服务的程序片断初始化组件服务声明智慧指针调用远程服务发回表示采集器仍在运行的特定信息监测采集器进程状态被取证机上信息采集器进程如果发生意外中断，或被入侵者恶意中断，就失去了监。
8、墙是传统入侵防范措施，在技术理论上，现代防火墙是种先进而复杂的基于应用层的网关，经过仔细的配置，通常能够在内外网之间提供安全的网络防护，降低网络被攻击的风险，但实践中发现，仅仅依靠防火墙是不够的，网络入侵检测和取证系统正成为其有效的补充。有效的监测记录网络的数据包，是发现入侵行为，取证的重要手段。黑客攻击的重点通常是重要文件，例如，对网站的攻击常常是以恶意窜改网页文件的方式进行的。因此，主动监视关键文件已获取篡改迹象是入侵取证的关键。目前，国际上的入侵监测技术也正出于起步和探索阶段，同时，计算机取证还需要与相关的法律相结合，但是现行与之相关的法律尚不完善。已开发的些取证工具有取证剖析工具可以用于被删除文件的恢复针对文件系统取证的命令行工具集合等软件。二分布式网络入侵取证系统网络入侵取证系。
9、在读取超时时不会返回。监听程序性能的调整在需提高监听程序性能时可做以下相应调整。调整用户级缓存。通过修改函数的源代码并重新编译后来调整用户级缓存。调整函数中的读操作等待时间值。通常出于效率可将该值设置的比较大但当对响应时间要求比较高时，应将该值改小。设置严格的过虑条件。在基于平台，中还可以通过函数来设置内核缓存，通常情况，要取得较好的性能应设置较大的内核缓存。数据帧的协议解析捕获后的数据帧经过解析才能得到我们想要的信息，如作为网络监听所需要的数据帧的源地址，目的地址，协议类型等信息。解析的过程是将数据帧中的数据按不同协议进行分析提取。首先，要按照不同协议数据组织格式定义效应数据类型，下面根据以太网网数据帧的格式及协议栈定义相关数据类型。定义以太帧的头部数据类型注意网络接口卡驱动程序会负责。
10、点是需要不断的升级以对付不断出现的黑客攻击手法，不能检测到从未出现过的黑客攻击手段。统计分析统计分析方法首先给系统对象如用户文件目录和设备等创建个统计描述，统计正常使用时的些测量属性如访问次数操作失败次数和延时等。测量属性的平均值将被用来与网络系统的行为进行比较，任何观察值在正常值范围之外时，就认为有入侵发生。由于人工智能的发展缓慢，所以此类方法实际使用效果并不理想。四系统的运行与演示将网络入侵取证程序记组件安装在取证机上取证机采用，组件使用系统的组件服务管理器进行安装即可，并导出其客户端代理安装在被取证机上若采用方式通讯，须在被取证机端配置好取证机地址文件，在文件中写入取证机的地址。在被取证机上配置好核心文件列表文件，将要保护的核心文件写入其中，为了防止文件本身被修改应将此文件也列入其。
11、测能力，因此这种情况旦发生因能及时的予以发现，并作相应记录。解决方案如下方案采集器定时向取证机发送特定信息，当在定时间段内，如果没用接收到来自被取证机的信息，则说明该取证机上的采集器进程已停止运行或是通讯中断，取证机将立即记录该情况。取证机将通过自动学习，生成网络中运行采集器进程的被取证机的列表，并随时记录其变化情况。具体实现已包含在前面给出的代码片段中。但此，实现方案需占用定的网络资源，在保存和分析截获的网络数据包时，应注意将取证机与信息采集器之间通讯的正常数据包过滤掉。方案二客户机上采用两个进程，互相监视对方进程是否在系统的进程列表中，其中个为信息采集器进程，如果其中方发现对方进程消失，则向取证机发出警告。此方案只有在有个进程终结时采与取证机通讯，故占用网络资源较少，不会对储存分析造。
12、间通讯给出了多种设计方案，并做了比较和探讨。入侵取证的意义与现状在无法有效防范网络计算机犯罪的情况下，有效的打击网络的非法入侵者显得十分重要，计算取证技术为我们提供了手段，通过获取电子证据，寻找罪犯并将其绳之于法。计算机取证是门针对计算机入侵与犯罪进行证据获取保存分析和出示的计算机网络技术。目前，入侵取证的模式大致可分为两种，种是在案发后，使用技术手段度对相关计算机进行取证，主要是对损坏的文件进行恢复和分析，同时，发觉相关使用信息另种，是实时监测模式的取证机，它连接在网络中随时监测记录被保护终端的状态数据，类似与飞机上使用的黑匣子，但发生入侵行为，便可通过对记录的数据进行分析，确定攻击源，依法打击入侵者。网络入侵已成为最主要的攻击手段，网络安全直以来都是，网络应用进步发展的核心问题。防火。
参考资料：
1、该文档不包含其他附件(如表格、图纸)，本站只保证下载后内容跟在线阅读一样，不确保内容完整性，请务必认真阅读。
2、有的文档阅读时显示本站（www.woc88.com）水印的，下载后是没有本站水印的（仅在线阅读显示），请放心下载。
3、除PDF格式下载后需转换成word才能编辑，其他下载后均可以随意编辑、修改、打印。
4、有的标题标有”最新”、多篇，实质内容并不相符，下载内容以在线阅读为准，请认真阅读全文再下载。
5、该文档为会员上传，下载所得收益全部归上传者所有，若您对文档版权有异议，可联系客服认领，既往收入全部归您。
毕业论文：网络入侵取证分布式系统的设计与实现