摘自 CSDN

　　IDS的技术手段其实并不很神秘，接下来本文会用一种“顺藤摸瓜”的脉络，给大家介绍一个较简单的IDS入门级构架。从市场分布、入手难易的角度来看，选择NIDS作为范例进行部署，比较地恰当。本文以完全的Windows平台来贯穿整个入侵检测流程，由于篇幅所限，以定性分析角度来陈述。

　　预备知识

　　IDS：Intrusion Detection System（入侵检测系统），通过收集网络系统信息来进行入侵检测分析的软件与硬件的智能组合。

　　对IDS进行标准化工作的两个组织：作为国际互联网标准的制定者IETF的Intrusion Detection working Group（IDWG，入侵检测工作组）和Common Intrusion Detection Framework（CIDF，通用入侵检测框架）。

　　IDS分类：Network IDS（基于网络）、Host-based IDS（基于主机）、Hybrid IDS（混合式）、Consoles IDS（控制台）、File Integrity Checkers（文件完整性检查器）、Honeypots（蜜罐）。事件产生系统

　　根据CIDF阐述入侵检测系统（IDS）的通用模型思想，具备所有要素、最简单的入侵检测组件如图所示。根据CIDF规范，将IDS需要分析的数据统称为Event（事件），Event既可能是网络中的Data Packets（数据包），也可能是从System Log等其他方式得到的Information（信息）。

　　没有数据流进（或数据被采集），IDS就是无根之木，完全无用武之地。

　　作为IDS的基层组织，事件产生系统大可施展拳脚，它收集被定义的所有事件，然后一股脑地传到其它组件里。在Windows环境下，目前比较基本的做法是使用Winpcap和WinDump。

　　大家知道，对于事件产生和事件分析系统来说，眼下流行采用Linux和Unix平台的软件和程序；其实在Windows平台中，也有类似Libpcap（是Unix或Linux从内核捕获网络数据包的必备软件）的工具即Winpcap。

　　Winpcap是一套免费的， 基于Windows的网络接口API，把网卡设置为“混杂”模式，然后循环处理网络捕获的数据包。其技术实现简单，可移植性强，与网卡无关，但效率不高，适合在100 Mbps以下的网络

　　相应的基于Windows的网络嗅探工具是WinDump（是Linux/Unix平台的Tcpdump在Windows上的移植版），这个软件必须基于Winpcap接口（这里有人形象地称Winpcap为：数据嗅探驱动程序）。使用WinDump，它能把匹配规则的数据包的包头给显示出来。你能使用这个工具去查找网络问题或者去监视网络上的状况，可以在一定程度上有效监控来自网络上的安全和不安全的行为。

　　这两个软件在网上都可以免费地找到，读者还可以查看相关软件使用教程。

　　下面大略介绍一下建立事件探测及采集的步骤

　　1、装配软件和硬件系统。根据网络繁忙程度决定是否采用普通兼容机或性能较高的专用服务器；安装NT核心的Windows操作系统，推荐使用Windows Server 2003企业版，如果条件不满足也可使用Windows 2000 Advanced Server。分区格式建议为NTFS格式。

　　2、服务器的空间划分要合理有效，执行程序的安装、数据日志的存储，两者空间最好分别放置在不同分区。

　　3、Winpcap的简单实现。首先安装它的驱动程序，可以到它的主页或镜像站点下载WinPcap auto-installer (Driver+DLLs)，直接安装。

　　注：如果用Winpcap做开发，还需要下载 Developer＇s pack。

　　WinPcap 包括三个模块：第一个模块NPF（Netgroup Packet Filter），是一个VxD（虚拟设备驱动程序）文件。其功能是过滤数据包，并把这些包完好无损地传给用户态模块。第二个模块packet.dll为Win32平台提供了一个公共接口，架构在packet.dll之上，提供了更方便、更直接的编程方法。第三个模块 Wpcap.dll不依赖于任何操作系统，是底层的动态链接库，提供了高层、抽象的函数。具体使用说明在各大网站上都有涉及，如何更好利用Winpcap需要较强的C环境编程能力。

　　4、WinDump的创建。安装后，在Windows命令提示符模式下运行，用户自己可以查看网络状态，恕不赘述。

　　如果没有软件兼容性问题、安装和配置正确的话，事件探测及采集已能实现。

　　事件分析系统
　　由于我们的网络大都用交换式以太网交换机连接，所以建立事件分析系统的目的是实现对多种网络防火墙设备的探测，以及多种采集方式（如基于Snmp、Syslog数据信息的采集）日志的支持，并提供一定的事件日志处理，统计、分析和查询功能。

　　事件分析系统是IDS的核心模块，主要功能是对各种事件进行分析，从中发现违反安全策略的行为，如何建立是重点也是难点。如果自己能或与人合作编写软件系统，就需要做好严谨的前期开发准备，如对网络协议、黑客攻击、系统漏洞有着比较清晰的认识，接着开始制定规则和策略，它应该基于标准的技术标准和规范，然后优化算法以提高执行效率，建立检测模型，可以模拟进行攻击及分析过程。

　　事件分析系统把检测引擎驻留在监视网段中，一般通过三种技术手段进行分析：模式匹配、协议分析和行为分析。当检测到某种误用模式时，产生对应的警告信息并发送给响应系统。目前来看，使用协议分析是实时检测的最好方式。

　　这个系统一种可能的方式是由协议分析器作为主体，可以在现成的、开放式的协议分析工具包基础上来构建；协议分析器可以显示分组级网络传输流，基于网络协议规则的警告进行自动分析来快速探测攻击的存在；由此，网络程序员和管理员可监控并分析网络活动，从而主动检测并定位故障。用户可以尝试一下一个叫Ethereal的免费网络协议分析器，它支持Windows系统。用户可以对由事件产生系统抓取后保存在硬盘上的数据进行分析。你能交互式地浏览抓取到的数据包，查看每一个数据包的摘要和详细信息。Ethereal有多种强大的特征，如支持几乎所有的协议、丰富的过滤语言、易于查看TCP会话经重构后的数据流等。

　　响应系统

　　响应系统是面向人、物的交互系统，可以说是整个系统的中转站和协调站。人即是系统管理员、物是其他所有组件。详细说来，响应系统这个协调员要做的事很多：按照预置定义的方式，记录安全事件、产生报警信息（如E-mail形式）、记录附加日志、隔离入侵者、终止进程、禁止受害者的端口和服务、甚至反戈一击；可以采取人工响应和自动响应（基于机器的响应），两者结合起来会比较好。

　　响应系统的设计要素

　　(1) 接受自事件产生系统经事件分析系统过滤、分析、重建后的事件警报信息，然后交互给用户（管理员）查询并做出规则判断和采取管理行为。

　　(2) 给管理员提供管理事件数据库系统的一个接口，可以修改规则库、根据不同网络环境情况配置安全策略、读写数据库系统。

　　(3)作用于前端系统时，可管理事件产生、分析系统（合称事件探测器），对该系统采集、探测、分析的事件进行分类、筛选，可针对不同安全状况，重新对安全规则进行洗牌。

　　响应系统和事件探测器通常是以应用程序的形式实现。

　　设计思路：响应系统可分为两个程序部分，监听和控制。 监听部分绑定某个空闲端口，接收从事件探测器发出的分析结果和其他信息，并转化存储文件到事件数据库系统中，作为管理员可根据用户权限调用来只读、修改以及特别的操作。控制部分可用GTK＋来编写GUI，开发出较为直观的图形用户界面，目的主要是给用户一个更方便友好的界面来浏览警告信息。

　　事件数据库系统

　　在Windows平台下，虽然Access更易掌握，但采用SQL Server 2000构建会比Access有效，而且并不是很难入手，此系统主要功能：记录、存储、重排事件信息，可供管理员调用查看和对攻击审查取证使用。

　　此系统构造相对简单，只需利用到数据库软件的一些基本功能。

　　要协调各组件之间的有目的通信，各组件就必须能正确理解相互之间传递的各种数据的语义。可参考CIDF的通信机制，构建3层模型。注意各个组件之间的互操作性，保证安全、高效、顺畅。

　　整合在后续的工作中会不断进行，各个组件的功能也会不断完善。一个基本的、基于Windows平台的IDS框架就构建完毕。满足网络条件的话，试试亲手做做自己的奶酪吧，有一种不可名状的劳作后的甜蜜。

在进行多线程程序设计的时候,我们经常用到AfxBeginThread函数来启动一条线程
该函数使用起来非常的简单方便,其定义如下

CWinThread* AfxBeginThread(
   AFX_THREADPROC pfnThreadProc,//线程函数地址
   LPVOID pParam,//线程参数
   int nPriority = THREAD_PRIORITY_NORMAL,//线程优先级
   UINT nStackSize = 0,//线程堆栈大小,默认为1M
   DWORD dwCreateFlags = 0,//
   LPSECURITY_ATTRIBUTES lpSecurityAttrs = NULL
);

CWinThread* AfxBeginThread(
   CRuntimeClass* pThreadClass,
   int nPriority = THREAD_PRIORITY_NORMAL,
   UINT nStackSize = 0,
   DWORD dwCreateFlags = 0,
   LPSECURITY_ATTRIBUTES lpSecurityAttrs = NULL
);

参数说明:
pfnThreadProc:线程函数的地址,该参数不能设置为NULL,线程函数必须定义成全局函数或者类的静态成员函数
例如:
UINT myThreadFunc(LPVOID lparam)
或者
class A
{
public:
        static UINT __stdcall myThreadFunc(LPVOID lparam);
}
之所以要定义成类的静态成员函数,是因为类的静态成员函数不属于某个类对象,这样在调用函数
的时候就不用传递一个额外的this指针.

pThreadClass:指向从CWinThread派生的子类对象的RUNTIME_CLASS

pParam:要传递给线程函数的参数

nPriority:要启动的线程的优先级,默认优先级为THREAD_PRIORITY_NORMAL(普通优先级),关于线程
 优先级的详细说明请参考Platform SDK SetThreadPriority函数说明

nStackSize:新线程的堆栈大小,如果设置为0,则使用默认大小,在应用程序中一般情况下线程的默认堆栈大小
 为1M

dwCreateFlags:线程创建标志,该参数可以指定为下列标志
 CREATE_SUSPENDED:以挂起方式启动线程,如果你在线程启动之前想初始化一些CWinThread类中的一些成员变量
 比如:m_bAutoDelete或者你的派生类中的成员变量,当初始化完成之后,你可以使用CWinThread类的ResumeThread
 成员函数来恢复线程的运行
 如果把该标志设置为0,则表示立即启动线程
lpSecurityAttrs:指向安全描述符的指针,如果使用默认的安全级别只要讲该参数设置为NULL就可以了!

上面就是AfxBeginThread函数的简单说明,我们在使用的时候一般情况下只要指定前两个参数,其他
参数使用默认值就可以.嗯,的确,使用起来是很简单,只要这个函数一被调用,就创建了一个线程.
但是大家有没有想过,AfxBeginThread函数究竟是如何启动的线程呢?它的内部是如何实现的呢?

下面我们就来看一下AfxBeginThread函数的内部实现

//启动worker线程
CWinThread* AFXAPI AfxBeginThread(AFX_THREADPROC pfnThreadProc, LPVOID pParam,
 int nPriority, UINT nStackSize, DWORD dwCreateFlags,
 LPSECURITY_ATTRIBUTES lpSecurityAttrs)
{
#ifndef _MT
         pfnThreadProc;
         pParam;
         nPriority;
         nStackSize;
         dwCreateFlags;
         lpSecurityAttrs;

         return NULL;
#else
         ASSERT(pfnThreadProc != NULL);

         CWinThread* pThread = DEBUG_NEW CWinThread(pfnThreadProc, pParam);
         ASSERT_VALID(pThread);

         if (!pThread->CreateThread(dwCreateFlags|CREATE_SUSPENDED, nStackSize,
                  lpSecurityAttrs))
         {
                  pThread->Delete();
                  return NULL;
         }
         VERIFY(pThread->SetThreadPriority(nPriority));
         if (!(dwCreateFlags & CREATE_SUSPENDED))
                  VERIFY(pThread->ResumeThread() != (DWORD)-1);

         return pThread;
#endif //!_MT)
}

//启动UI线程
CWinThread* AFXAPI AfxBeginThread(CRuntimeClass* pThreadClass,
 int nPriority, UINT nStackSize, DWORD dwCreateFlags,
 LPSECURITY_ATTRIBUTES lpSecurityAttrs)
{
#ifndef _MT
        pThreadClass;
        nPriority;
        nStackSize;
        dwCreateFlags;
        lpSecurityAttrs;

        return NULL;
#else
        ASSERT(pThreadClass != NULL);
        ASSERT(pThreadClass->IsDerivedFrom(RUNTIME_CLASS(CWinThread)));

        CWinThread* pThread = (CWinThread*)pThreadClass->CreateObject();
        if (pThread == NULL)
                AfxThrowMemoryException();
        ASSERT_VALID(pThread);

        pThread->m_pThreadParams = NULL;
        if (!pThread->CreateThread(dwCreateFlags|CREATE_SUSPENDED, nStackSize,
                lpSecurityAttrs))
        {
                pThread->Delete();
                return NULL;
        }
        VERIFY(pThread->SetThreadPriority(nPriority));
        if (!(dwCreateFlags & CREATE_SUSPENDED))
                VERIFY(pThread->ResumeThread() != (DWORD)-1);

        return pThread;
#endif //!_MT
}

从上面的代码中可以看出AfxBeginThread所做的事情主要有以下几点:

1.在heap中配置一个新的CWinThread对象(worker线程)
代码如:CWinThread* pThread = DEBUG_NEW CWinThread(pfnThreadProc, pParam);
调用CRuntimeClass结构中的CreateObject函数创建CWinThread对象
CWinThread* pThread = (CWinThread*)pThreadClass->CreateObject();
CRuntimeClass以及MFC相关类的内部实现,详情请参考
《深入浅出MFC》侯捷著

2.调用CWinThread::CreateThread()并设定属性,使线程以挂起状态产生
pThread->CreateThread(dwCreateFlags|CREATE_SUSPENDED, nStackSize,lpSecurityAttrs);

3.设定线程的优先权
pThread->SetThreadPriority(nPriority);

4.调用CWinThread::ResumeThread
pThread->ResumeThread();

通过上面的说明,我想大家对该函数到底在内部都做了什么,应该有一个初步的了解了!
对于VC老手来说,这篇文章可能并没有什么可读之处,但是对于初学者来说,还是有一定的
价值的!
总之,希望这篇文章能给各位一点点的帮助!

WaitForSingleObject 的用法

				
DWORD
WaitForSingleObject( 
                     HANDLE hHandle,  
                     DWORD dwMilliseconds				
                  );

参数 hHandle 是一个事件的句柄，第二个参数 dwMilliseconds 是时间间隔。如果时间是有信号状态返回 WAIT_OBJECT_0 ，如果时间超过 dwMilliseconds 值但时间事件还是无信号状态则返回 WAIT_TIMEOUT 。

hHandle 可以是下列对象的句柄：
Change notification 
Console input 
Event 
Job 
Memory resource notification 
Mutex 
Process 
Semaphore 
Thread 
Waitable timer  

WaitForSingleObject 函数用来检测 hHandle 事件的信号状态，当函数的执行时间超过 dwMilliseconds 就返回，但如果参数 dwMilliseconds 为 INFINITE 时函数将直到相应时间事件变成有信号状态才返回，否则就一直等待下去，直到 WaitForSingleObject 有返回直才执行后面的代码。在这里举个例子：

先创建一个全局 Event 对象 g_event:

    CEvent g_event;

在程序中可以通过调用 CEvent::SetEvent 设置事件为有信号状态。

下面是一个线程函数 MyThreadPro()

UINT CFlushDlg::MyThreadProc( LPVOID pParam ) 
{

     WaitForSingleObject(g_event,INFINITE);
     For(;;)
        { 
         ………… .

        } 
     return 0; 
} 

在这个线程函数中只有设置 g_event 为有信号状态时才执行下面的 for 循环，因为 g_event 是全局变量，所以我们可以在别的线程中通过 g_event. SetEvent 控制这个线程。

还有一种用法就是我们可以通过 WaitForSingleObject 函数来间隔的执行一个线程函数的函数体

     UINT CFlushDlg::MyThreadProc( LPVOID pParam )
{ 
     while(WaitForSingleObject(g_event,MT_INTERVAL)!=WAIT_OBJECT_0)
     {
         ………………  
     } 
     return 0;
}  

在这个线程函数中可以可以通过设置 MT_INTERVAL 来控制这个线程的函数体多久执行一次，当事件为无信号状态时函数体隔 MT_INTERVAL 执行一次，当设置事件为有信号状态时，线程就执行完毕了。