会话重建-协议还原-MSE安全攻防培训资料课件

1 1会话重建 协议还原1会话重建 协议还原2 2主要内容会话重建、协议还原逻辑框架会话重建并行处理办法多线程协议还原技术 应用层网络协议还原2主要内容会话重建、协议还原逻辑框架3 3会话重建 协议还原会话重建是内容监控、审计系统、IDS系统等系统中的重要环节 分析数据包的特征，并基于会话对数据包进行重组，去除协商、应答、重传、包头等网络信息，以获取一条基于完整会话的记录 3会话重建 协议还原会话重建是内容监控、审计系统、IDS系统4 4实例基于Libpcap的截包应用程序都是截获原始的网络数据包 必须进行IP碎片重组、TCP数据流的重组 4实例基于Libpcap的截包应用程序都是截获原始的网络数据5 5会话重建协议还原逻辑结构5会话重建协议还原逻辑结构6 6截包引擎用专门的网络探针技术来替代传统的网络嗅探器 采集到的数据包在网络探针上只做简单的IP重组，并通过Socket技术传递到协议还原器 网络探针功能相对专一，具有截包性能高、丢包率低的特点 模拟TCPIP，协议栈，实现会话重建 6截包引擎用专门的网络探针技术来替代传统的网络嗅探器 7 7会话重建并行处理办法 对LAN的主机进行分段处理 真正负载均衡 会话处理均衡 7会话重建并行处理办法 对LAN的主机进行分段处理 8 8对LAN的主机进行分段处理这种方法均衡性很差 各主机的流量很难预测，这会导致有些线程忙碌，有些很空闲，多线程的效果一般 8对LAN的主机进行分段处理这种方法均衡性很差 9 9真正负载均衡数据包均衡分发到各个TCP重组线程 该方法涉及到共享数据的同步访问，需要互斥机制 增加系统花销问题共享资源等待问题 影响系统性能、增加实现复杂度 9真正负载均衡数据包均衡分发到各个TCP重组线程 1010会话处理均衡同一会话的数据交给同一线程处理 多个线程无需同步 结合了上述两种方案的优点 10会话处理均衡同一会话的数据交给同一线程处理 1111系统实现 经过IP重组的数据包，传给数据分流器，同一会话的数据包分流到不同的TCP重组引擎进行处理，提高了会话重建的能力 每个TCP重组引擎都有一个自己的数据包缓冲区，存放IP包 11系统实现 经过IP重组的数据包，传给数据分流器，同一会话1212缓冲区关键技术 缓冲区采用静态环形队列缓冲区采用静态环形队列 避免数据同步避免数据同步 减少内存的分配和释放的系统开销减少内存的分配和释放的系统开销 提高整体性能提高整体性能 这是提高并发处理性能的关键技术之一这是提高并发处理性能的关键技术之一这是提高并发处理性能的关键技术之一这是提高并发处理性能的关键技术之一此外，在模拟此外，在模拟此外，在模拟此外，在模拟TCPTCPIPIP协议栈的过程中，使用高协议栈的过程中，使用高协议栈的过程中，使用高协议栈的过程中，使用高效的查找算法效的查找算法效的查找算法效的查找算法-哈希算法也是高效实现会话重建的哈希算法也是高效实现会话重建的哈希算法也是高效实现会话重建的哈希算法也是高效实现会话重建的关键之一关键之一关键之一关键之一 12缓冲区关键技术 缓冲区采用静态环形队列 1313TCP流重组在TCP流的重组中，定义一个四元组以四元组来构造会话文件，文件名为：目的地址目的端口一源地址源端口 13TCP流重组在TCP流的重组中，定义一个四元组源地址，1414实例文件名：1 911 921 931 94025 6 6一01 501 601 701 8011 80 存储从主机1 911 921 931 94端口2566传送到主机1 51 61 71 8端口11 80的会话内容 14实例文件名：1515把数据流存为会话文件的好处 恢复到真实的数据流，可以作为原始数据保留，用于违规审计及事后取证 在需要会话重现的时候，再进行读取分析 从文件名可以很直观得到通信双方的标识(主机地址)及采用的协议(端口号)便于运用多线程技术进行分析 15把数据流存为会话文件的好处 恢复到真实的数据流，可以作为1616多线程协议还原 线程的系统开销比较小 同一进程下的线程之间共享数据空间 在多处理器计算机上实现多线程时，线程可以并行工作，提高程序执行效率 16多线程协议还原 线程的系统开销比较小 1717应用层网络协议还原 不同的应用协议通常绑定特定的端口号 根据端口号，可以得到对应的应用层协议，依据协议的RFC文档定义，就可以对多个会话文件并发处理，进行协议还原 17应用层网络协议还原 不同的应用协议通常绑定特定的端口号 1818负载均衡算法 每个协议还原引擎都设计一个BUSYIDLE状态位，初始状态为IDLE 由还原程序主模块进行任务分发，把会话文件池中的文件分给IDLE线程，并将该线程状态置为BUSY 当该线程完成还原任务后，将状态置为IDLE 多个线程可以同时进行协议还原，生成协议文件 18负载均衡算法 每个协议还原引擎都设计一个BUSYIDL1919优势利用这种算法，结合多线程技术，很容易实现HTTP，FTP，SMTP，POP3等协议的分析还原 19优势利用这种算法，结合多线程技术，很容易实现HTTP，F