網(wǎng)絡內(nèi)容審計系統(tǒng)的設計與實現(xiàn)

劉劍雄等

摘要：隨著互聯(lián)網(wǎng)的發(fā)展，越來越多的公司加入到互聯(lián)網(wǎng)之中。網(wǎng)絡技術(shù)的廣泛應用，給人們的通訊交流帶來了很大的方便，但是與此同時也導致了新的網(wǎng)絡安全問題：個人隱私、企業(yè)的商業(yè)機密可能隨時通過網(wǎng)絡泄露，謠言、黃色信息在網(wǎng)上泛濫卻難以得到有效根治。該文設計了一個基于旁路接入的網(wǎng)絡內(nèi)容審計系統(tǒng)，能夠?qū)M出網(wǎng)絡的郵件以及其中的附件進行完整的捕獲、還原、存儲，從而到達內(nèi)容審計的作用。

關(guān)鍵詞：netfilter；字符串匹配；Sunday算法；網(wǎng)絡內(nèi)容審計

中圖分類號：TP311 文獻標識碼：A 文章編號：1009-3044（2014）16-3953-05

Abstract： With the development of network， more and more corporations have connected the Internet. The network has not only brought the popularity and convenience， but also brought new problems， for example， the personal privacy or illegally business secrets may be exposed through the network at any time， rumors and pornographic information on the Internet is difficult controlled. This thesis provides an auditing system based on the bypass data collection， it can capture email and the attachment file and completely restore the contents， in order to content audit.

Key words： netfilter； string matching； Sunday algorithm； network content audit

1 概述

在互聯(lián)網(wǎng)日益普及的今天，網(wǎng)絡給人們的生活帶來巨大便利的同時也為惡意攻擊者提供了非法獲取他人信息的途徑。網(wǎng)絡內(nèi)容審計系統(tǒng)的主要功能是記錄通過特定線路上的網(wǎng)絡數(shù)據(jù)，通過協(xié)議分析，獲得所需數(shù)據(jù)內(nèi)容，并對用戶進行定位，規(guī)范上網(wǎng)行為[1]。網(wǎng)絡內(nèi)容審計系統(tǒng)可以部署在公司和政府，通過對關(guān)鍵詞的過濾，防止機密信息的泄露。對于國家有關(guān)部門來說，網(wǎng)絡內(nèi)容審計系統(tǒng)可以幫助政府快速發(fā)現(xiàn)和鎖定網(wǎng)絡中的謠言和用戶，保證社會和諧。

2 相關(guān)技術(shù)簡介

2.1 Netfilter

Netfilter框架[2]是工作在Linux系統(tǒng)內(nèi)核中的一個過濾框架，其實現(xiàn)了連接跟蹤、網(wǎng)絡地址轉(zhuǎn)換、狀態(tài)檢測和包過濾等功能。該框架由一組分布在網(wǎng)絡數(shù)據(jù)包必經(jīng)之路上的鉤子函數(shù)組成，一套鉤子函數(shù)對應一種協(xié)議。當有數(shù)據(jù)包流經(jīng)Netfilter框架的HOOK點時，內(nèi)核將判斷用戶是否在此HOOK點注冊了鉤子函數(shù)。如果在此HOOK點注冊了鉤子函數(shù)，則對數(shù)據(jù)包進行分析并采取相應的操作，決定是放行或者捕獲[3]。

2.2 Sunday算法

Sunday算法[4]是Daniel M.Sunday于1990年提出的一種比傳統(tǒng)BM字符串匹配算法搜索速度更快的算法。其算法核心思想是：首先進行模式串與主串字符的一一匹配，當字符不匹配時，模式串跳過盡可能多的字符進行下一次字符匹配。當發(fā)生主串與模式串不匹配時（T[i]≠P[j]），找到模式串最后一個字符對應主串的下一個字符，然后判斷模式串中是否有該字符，如果含有，則將模式串與該字符對齊，如果模式串不含有該字符，則將模式串的首字符移動到該字符之后的字符位置處進行下一次匹配。

3 系統(tǒng)的設計與實現(xiàn)

3.1 系統(tǒng)結(jié)構(gòu)框圖

該文主要研究基于內(nèi)容提取和審計的網(wǎng)絡業(yè)務分析，將研究的主要精力集中在網(wǎng)絡內(nèi)容抽取以及安全審計方面，通過設計并實現(xiàn)一個高效、穩(wěn)定的互聯(lián)網(wǎng)內(nèi)容安全審計系統(tǒng)，進而有效地對網(wǎng)絡進行監(jiān)測和控制。

網(wǎng)絡內(nèi)容審計系統(tǒng)由4部分組成，如圖1所示。首先是通過Linux內(nèi)核中的Netfilter模塊獲取網(wǎng)絡中的所有報文，再通過協(xié)議分析得到我們審計需要的報文（smtp、post、pop3），接下來是內(nèi)容審計模塊，還原出用戶上網(wǎng)的行為，例如用戶發(fā)送的郵件和附件，以及論壇發(fā)帖。查詢審計結(jié)果采用B/S架構(gòu)，使得用戶只需要點擊瀏覽器就可以查看審計結(jié)果，直觀方便。

3.2 協(xié)議分析

在通過Netfilter框架獲取到網(wǎng)絡中的數(shù)據(jù)包之后，網(wǎng)絡審計系統(tǒng)的下一步工作是通過協(xié)議分析將捕獲到的數(shù)據(jù)包按照數(shù)據(jù)鏈路層、IP 層、傳輸層進行解析和統(tǒng)計。協(xié)議分析流程如圖2所示。

在數(shù)據(jù)鏈路層的協(xié)議分析上，系統(tǒng)判斷該數(shù)據(jù)包是否為發(fā)往監(jiān)控主機的數(shù)據(jù)包。方法是將指針定位到數(shù)據(jù)鏈路層幀頭，讀取數(shù)據(jù)包目的MAC地址，判斷該目的MAC地址是否與監(jiān)控主機MAC一致，如一致則判定該數(shù)據(jù)包為監(jiān)控主機嗅探的數(shù)據(jù)包，否則丟包。

在網(wǎng)絡層的協(xié)議分析上，判斷數(shù)據(jù)包源IP地址是否在目標主機范圍內(nèi)，如一致則判定該數(shù)據(jù)包為所需要的數(shù)據(jù)包，否則丟包。

在傳輸層的協(xié)議分析上，系統(tǒng)使用傳輸層的端口號來進行應用程序的判斷，比如http是80、SMTP是21、OICQ是8000等。

3.3 郵件處理

郵件處理模塊首先從獲得的報文中判斷host字段是否含有mail關(guān)鍵詞，含有mail關(guān)鍵詞的是郵件報文，接下來根據(jù)host確定具體郵箱，再通過與郵件關(guān)鍵詞的匹配還原郵件內(nèi)容，過程如圖3所示。

系統(tǒng)通過Sunday字符串匹配方法，依次確定郵件關(guān)鍵詞在報文中的位置，還原出郵件內(nèi)容，郵件關(guān)鍵詞如表1所示。

3.4 附件還原

在網(wǎng)絡內(nèi)容審計系統(tǒng)中，附件還原過程如圖4所示。

每個郵箱上傳附件的方式都不盡相同，需要根據(jù)各自情況區(qū)別對待，在這里歸納出可以按照content_type字段來處理。QQ郵箱上傳附件時，先發(fā)送content_type為app/x-www的報文，報文中含有附件的名字，再發(fā)送content_type為app/oct的報文正式上傳數(shù)據(jù)，兩者聯(lián)系的依據(jù)是sid一樣，flag=0是為了區(qū)別一次發(fā)送幾個附件。126、163、yeah這三個網(wǎng)易郵箱上傳附件時，content_type也是app/oct類型，與QQ附件報文的區(qū)別是有字符串mail-upload-name，當找到mail-upload-name字符串時就當做網(wǎng)易附件處理，其余的郵箱附件content_type都是multipart。

在網(wǎng)絡傳輸過程中，附件是從“ODOAODOA”分隔符之后開始傳輸?shù)?，因此在附件處理過程中先通過字符匹配找到ODOAODOA“加雙引號”的位置，接著通過linux的write函數(shù)將分隔符之后所有的字符寫入一個文件中，文件名從報文中獲得，至此完成整個附件還原的過程。

4 系統(tǒng)測試

本系統(tǒng)的設計初衷是保證內(nèi)網(wǎng)中的服務器和主機安全，因此將內(nèi)容審計系統(tǒng)部署在內(nèi)網(wǎng)的出口處，系統(tǒng)LAN口與局域網(wǎng)交換機相連，WAN口與局域網(wǎng)網(wǎng)關(guān)相連，并且系統(tǒng)工作在旁路模式，對流入流出局域網(wǎng)的數(shù)據(jù)包進行過濾。內(nèi)容審計系統(tǒng)的部署如圖5所示。

測試在不同的網(wǎng)絡背景流量下，內(nèi)容審計系統(tǒng)捕獲到的郵件數(shù)，其中發(fā)送的郵件內(nèi)容都相同。

接下來測試附件還原成功率，測試系統(tǒng)在不同的背景流量下發(fā)送出去，是否能夠完整還原出郵件的附件。

從表中數(shù)據(jù)分析得出，系統(tǒng)還原準確率的下降與附件內(nèi)容無關(guān)，而是因為系統(tǒng)遇到了大的流量，導致系統(tǒng)捕獲數(shù)據(jù)包的能力下降，造成郵件獲取不完整而導致系統(tǒng)還原出來的附件錯誤。

經(jīng)過以上數(shù)據(jù)分析，系統(tǒng)能夠有效監(jiān)控內(nèi)網(wǎng)用戶的上網(wǎng)行為，防止信息的泄露，對內(nèi)網(wǎng)的信息安全起到了舉足輕重的作用。

5 結(jié)束語

本文所實現(xiàn)的網(wǎng)絡內(nèi)容審計系統(tǒng)是一個分布式、層次分明、全方位的安全審計系統(tǒng)。在針對具體的工作環(huán)境時，取得了良好的實際效果，達到了提高網(wǎng)絡安全、防范用戶不良上網(wǎng)行為的設計初衷。下一步的工作是在不影響用戶網(wǎng)速的情況下提高附件還原的準確率，其次還要研究如何更好的將其他網(wǎng)絡安全技術(shù)與網(wǎng)絡內(nèi)容審計技術(shù)相結(jié)合來構(gòu)建一個更有效的安全平臺。

參考文獻：

[1] 孫欽東.網(wǎng)絡信息內(nèi)容審計研究的現(xiàn)狀及趨勢[J].計算機研究與發(fā)展，2009（8）.

[2] V.RSundar，Karthik Dantu.What is Netfilter[EB].2005.

[3] 袁方方.基于Netfilter的內(nèi)容過濾系統(tǒng)的設計與實現(xiàn)[D].北京：北京郵電大學，2012.

[4] Sunday D M. A Very Fast Substring Search Algorithm[J].Communications of ACM，1990，33（8）：132-142.