劉劍雄等

摘要：隨著互聯(lián)網(wǎng)的發(fā)展，越來越多的公司加入到互聯(lián)網(wǎng)之中。網(wǎng)絡(luò)技術(shù)的廣泛應(yīng)用，給人們的通訊交流帶來了很大的方便，但是與此同時(shí)也導(dǎo)致了新的網(wǎng)絡(luò)安全問題：個(gè)人隱私、企業(yè)的商業(yè)機(jī)密可能隨時(shí)通過網(wǎng)絡(luò)泄露，謠言、黃色信息在網(wǎng)上泛濫卻難以得到有效根治。該文設(shè)計(jì)了一個(gè)基于旁路接入的網(wǎng)絡(luò)內(nèi)容審計(jì)系統(tǒng)，能夠?qū)M(jìn)出網(wǎng)絡(luò)的郵件以及其中的附件進(jìn)行完整的捕獲、還原、存儲(chǔ)，從而到達(dá)內(nèi)容審計(jì)的作用。

關(guān)鍵詞：netfilter；字符串匹配；Sunday算法；網(wǎng)絡(luò)內(nèi)容審計(jì)

中圖分類號(hào)：TP311 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（2014）16-3953-05

Abstract： With the development of network， more and more corporations have connected the Internet. The network has not only brought the popularity and convenience， but also brought new problems， for example， the personal privacy or illegally business secrets may be exposed through the network at any time， rumors and pornographic information on the Internet is difficult controlled. This thesis provides an auditing system based on the bypass data collection， it can capture email and the attachment file and completely restore the contents， in order to content audit.

Key words： netfilter； string matching； Sunday algorithm； network content audit

1 概述

在互聯(lián)網(wǎng)日益普及的今天，網(wǎng)絡(luò)給人們的生活帶來巨大便利的同時(shí)也為惡意攻擊者提供了非法獲取他人信息的途徑。網(wǎng)絡(luò)內(nèi)容審計(jì)系統(tǒng)的主要功能是記錄通過特定線路上的網(wǎng)絡(luò)數(shù)據(jù)，通過協(xié)議分析，獲得所需數(shù)據(jù)內(nèi)容，并對(duì)用戶進(jìn)行定位，規(guī)范上網(wǎng)行為[1]。網(wǎng)絡(luò)內(nèi)容審計(jì)系統(tǒng)可以部署在公司和政府，通過對(duì)關(guān)鍵詞的過濾，防止機(jī)密信息的泄露。對(duì)于國家有關(guān)部門來說，網(wǎng)絡(luò)內(nèi)容審計(jì)系統(tǒng)可以幫助政府快速發(fā)現(xiàn)和鎖定網(wǎng)絡(luò)中的謠言和用戶，保證社會(huì)和諧。

2 相關(guān)技術(shù)簡介

2.1 Netfilter

Netfilter框架[2]是工作在Linux系統(tǒng)內(nèi)核中的一個(gè)過濾框架，其實(shí)現(xiàn)了連接跟蹤、網(wǎng)絡(luò)地址轉(zhuǎn)換、狀態(tài)檢測和包過濾等功能。該框架由一組分布在網(wǎng)絡(luò)數(shù)據(jù)包必經(jīng)之路上的鉤子函數(shù)組成，一套鉤子函數(shù)對(duì)應(yīng)一種協(xié)議。當(dāng)有數(shù)據(jù)包流經(jīng)Netfilter框架的HOOK點(diǎn)時(shí)，內(nèi)核將判斷用戶是否在此HOOK點(diǎn)注冊了鉤子函數(shù)。如果在此HOOK點(diǎn)注冊了鉤子函數(shù)，則對(duì)數(shù)據(jù)包進(jìn)行分析并采取相應(yīng)的操作，決定是放行或者捕獲[3]。

2.2 Sunday算法

Sunday算法[4]是Daniel M.Sunday于1990年提出的一種比傳統(tǒng)BM字符串匹配算法搜索速度更快的算法。其算法核心思想是：首先進(jìn)行模式串與主串字符的一一匹配，當(dāng)字符不匹配時(shí)，模式串跳過盡可能多的字符進(jìn)行下一次字符匹配。當(dāng)發(fā)生主串與模式串不匹配時(shí)（T[i]≠P[j]），找到模式串最后一個(gè)字符對(duì)應(yīng)主串的下一個(gè)字符，然后判斷模式串中是否有該字符，如果含有，則將模式串與該字符對(duì)齊，如果模式串不含有該字符，則將模式串的首字符移動(dòng)到該字符之后的字符位置處進(jìn)行下一次匹配。

3 系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)

3.1 系統(tǒng)結(jié)構(gòu)框圖

該文主要研究基于內(nèi)容提取和審計(jì)的網(wǎng)絡(luò)業(yè)務(wù)分析，將研究的主要精力集中在網(wǎng)絡(luò)內(nèi)容抽取以及安全審計(jì)方面，通過設(shè)計(jì)并實(shí)現(xiàn)一個(gè)高效、穩(wěn)定的互聯(lián)網(wǎng)內(nèi)容安全審計(jì)系統(tǒng)，進(jìn)而有效地對(duì)網(wǎng)絡(luò)進(jìn)行監(jiān)測和控制。

網(wǎng)絡(luò)內(nèi)容審計(jì)系統(tǒng)由4部分組成，如圖1所示。首先是通過Linux內(nèi)核中的Netfilter模塊獲取網(wǎng)絡(luò)中的所有報(bào)文，再通過協(xié)議分析得到我們審計(jì)需要的報(bào)文（smtp、post、pop3），接下來是內(nèi)容審計(jì)模塊，還原出用戶上網(wǎng)的行為，例如用戶發(fā)送的郵件和附件，以及論壇發(fā)帖。查詢審計(jì)結(jié)果采用B/S架構(gòu)，使得用戶只需要點(diǎn)擊瀏覽器就可以查看審計(jì)結(jié)果，直觀方便。

3.2 協(xié)議分析

在通過Netfilter框架獲取到網(wǎng)絡(luò)中的數(shù)據(jù)包之后，網(wǎng)絡(luò)審計(jì)系統(tǒng)的下一步工作是通過協(xié)議分析將捕獲到的數(shù)據(jù)包按照數(shù)據(jù)鏈路層、IP 層、傳輸層進(jìn)行解析和統(tǒng)計(jì)。協(xié)議分析流程如圖2所示。

在數(shù)據(jù)鏈路層的協(xié)議分析上，系統(tǒng)判斷該數(shù)據(jù)包是否為發(fā)往監(jiān)控主機(jī)的數(shù)據(jù)包。方法是將指針定位到數(shù)據(jù)鏈路層幀頭，讀取數(shù)據(jù)包目的MAC地址，判斷該目的MAC地址是否與監(jiān)控主機(jī)MAC一致，如一致則判定該數(shù)據(jù)包為監(jiān)控主機(jī)嗅探的數(shù)據(jù)包，否則丟包。

在網(wǎng)絡(luò)層的協(xié)議分析上，判斷數(shù)據(jù)包源IP地址是否在目標(biāo)主機(jī)范圍內(nèi)，如一致則判定該數(shù)據(jù)包為所需要的數(shù)據(jù)包，否則丟包。

在傳輸層的協(xié)議分析上，系統(tǒng)使用傳輸層的端口號(hào)來進(jìn)行應(yīng)用程序的判斷，比如http是80、SMTP是21、OICQ是8000等。

3.3 郵件處理

郵件處理模塊首先從獲得的報(bào)文中判斷host字段是否含有mail關(guān)鍵詞，含有mail關(guān)鍵詞的是郵件報(bào)文，接下來根據(jù)host確定具體郵箱，再通過與郵件關(guān)鍵詞的匹配還原郵件內(nèi)容，過程如圖3所示。

系統(tǒng)通過Sunday字符串匹配方法，依次確定郵件關(guān)鍵詞在報(bào)文中的位置，還原出郵件內(nèi)容，郵件關(guān)鍵詞如表1所示。

3.4 附件還原

在網(wǎng)絡(luò)內(nèi)容審計(jì)系統(tǒng)中，附件還原過程如圖4所示。

每個(gè)郵箱上傳附件的方式都不盡相同，需要根據(jù)各自情況區(qū)別對(duì)待，在這里歸納出可以按照content_type字段來處理。QQ郵箱上傳附件時(shí)，先發(fā)送content_type為app/x-www的報(bào)文，報(bào)文中含有附件的名字，再發(fā)送content_type為app/oct的報(bào)文正式上傳數(shù)據(jù)，兩者聯(lián)系的依據(jù)是sid一樣，flag=0是為了區(qū)別一次發(fā)送幾個(gè)附件。126、163、yeah這三個(gè)網(wǎng)易郵箱上傳附件時(shí)，content_type也是app/oct類型，與QQ附件報(bào)文的區(qū)別是有字符串mail-upload-name，當(dāng)找到mail-upload-name字符串時(shí)就當(dāng)做網(wǎng)易附件處理，其余的郵箱附件content_type都是multipart。

在網(wǎng)絡(luò)傳輸過程中，附件是從“ODOAODOA”分隔符之后開始傳輸?shù)?，因此在附件處理過程中先通過字符匹配找到ODOAODOA“加雙引號(hào)”的位置，接著通過linux的write函數(shù)將分隔符之后所有的字符寫入一個(gè)文件中，文件名從報(bào)文中獲得，至此完成整個(gè)附件還原的過程。

4 系統(tǒng)測試

本系統(tǒng)的設(shè)計(jì)初衷是保證內(nèi)網(wǎng)中的服務(wù)器和主機(jī)安全，因此將內(nèi)容審計(jì)系統(tǒng)部署在內(nèi)網(wǎng)的出口處，系統(tǒng)LAN口與局域網(wǎng)交換機(jī)相連，WAN口與局域網(wǎng)網(wǎng)關(guān)相連，并且系統(tǒng)工作在旁路模式，對(duì)流入流出局域網(wǎng)的數(shù)據(jù)包進(jìn)行過濾。內(nèi)容審計(jì)系統(tǒng)的部署如圖5所示。

測試在不同的網(wǎng)絡(luò)背景流量下，內(nèi)容審計(jì)系統(tǒng)捕獲到的郵件數(shù)，其中發(fā)送的郵件內(nèi)容都相同。

接下來測試附件還原成功率，測試系統(tǒng)在不同的背景流量下發(fā)送出去，是否能夠完整還原出郵件的附件。

從表中數(shù)據(jù)分析得出，系統(tǒng)還原準(zhǔn)確率的下降與附件內(nèi)容無關(guān)，而是因?yàn)橄到y(tǒng)遇到了大的流量，導(dǎo)致系統(tǒng)捕獲數(shù)據(jù)包的能力下降，造成郵件獲取不完整而導(dǎo)致系統(tǒng)還原出來的附件錯(cuò)誤。

經(jīng)過以上數(shù)據(jù)分析，系統(tǒng)能夠有效監(jiān)控內(nèi)網(wǎng)用戶的上網(wǎng)行為，防止信息的泄露，對(duì)內(nèi)網(wǎng)的信息安全起到了舉足輕重的作用。

5 結(jié)束語

本文所實(shí)現(xiàn)的網(wǎng)絡(luò)內(nèi)容審計(jì)系統(tǒng)是一個(gè)分布式、層次分明、全方位的安全審計(jì)系統(tǒng)。在針對(duì)具體的工作環(huán)境時(shí)，取得了良好的實(shí)際效果，達(dá)到了提高網(wǎng)絡(luò)安全、防范用戶不良上網(wǎng)行為的設(shè)計(jì)初衷。下一步的工作是在不影響用戶網(wǎng)速的情況下提高附件還原的準(zhǔn)確率，其次還要研究如何更好的將其他網(wǎng)絡(luò)安全技術(shù)與網(wǎng)絡(luò)內(nèi)容審計(jì)技術(shù)相結(jié)合來構(gòu)建一個(gè)更有效的安全平臺(tái)。

參考文獻(xiàn)：

[1] 孫欽東.網(wǎng)絡(luò)信息內(nèi)容審計(jì)研究的現(xiàn)狀及趨勢[J].計(jì)算機(jī)研究與發(fā)展，2009（8）.

[2] V.RSundar，Karthik Dantu.What is Netfilter[EB].2005.

[3] 袁方方.基于Netfilter的內(nèi)容過濾系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[D].北京：北京郵電大學(xué)，2012.

[4] Sunday D M. A Very Fast Substring Search Algorithm[J].Communications of ACM，1990，33（8）：132-142.