最新会话重建-协议还原-MSE安全攻防培训资料课件PPT.ppt 33页

'会话重建-协议还原-MSE安全攻防培训资料 主要内容会话重建、协议还原逻辑框架会话重建并行处理办法多线程协议还原技术应用层网络协议还原2 会话重建协议还原会话重建是内容监控、审计系统、IDS系统等系统中的重要环节分析数据包的特征，并基于会话对数据包进行重组，去除协商、应答、重传、包头等网络信息，以获取一条基于完整会话的记录3 会话重建并行处理办法对LAN的主机进行分段处理真正负载均衡会话处理均衡7 对LAN的主机进行分段处理这种方法均衡性很差各主机的流量很难预测，这会导致有些线程忙碌，有些很空闲，多线程的效果一般8 真正负载均衡数据包均衡分发到各个TCP重组线程该方法涉及到共享数据的同步访问，需要互斥机制增加系统花销问题共享资源等待问题影响系统性能、增加实现复杂度9 会话处理均衡同一会话的数据交给同一线程处理多个线程无需同步结合了上述两种方案的优点10 系统实现经过IP重组的数据包，传给数据分流器，同一会话的数据包分流到不同的TCP重组引擎进行处理，提高了会话重建的能力每个TCP重组引擎都有一个自己的数据包缓冲区，存放IP包11 缓冲区关键技术缓冲区采用静态环形队列避免数据同步减少内存的分配和释放的系统开销提高整体性能这是提高并发处理性能的关键技术之一此外，在模拟TCP／IP协议栈的过程中，使用高效的查找算法--哈希算法也是高效实现会话重建的关键之一12 TCP流重组在TCP流的重组中，定义一个四元组<源地址，源端口，目的地址，目的端口>以四元组来构造会话文件，文件名为：目的地址．目的端口一源地址．源端口13 实例文件名：191．192．193．194．02566一015．016．017．018．01180存储从主机191．192．193．194端口2566传送到主机15．16．17．18端口1180的会话内容14 把数据流存为会话文件的好处恢复到真实的数据流，可以作为原始数据保留，用于违规审计及事后取证在需要会话重现的时候，再进行读取分析从文件名可以很直观得到通信双方的标识(主机地址)及采用的协议(端口号)便于运用多线程技术进行分析15 多线程协议还原线程的系统开销比较小同一进程下的线程之间共享数据空间在多处理器计算机上实现多线程时，线程可以并行工作，提高程序执行效率16 应用层网络协议还原不同的应用协议通常绑定特定的端口号根据端口号，可以得到对应的应用层协议，依据协议的RFC文档定义，就可以对多个会话文件并发处理，进行协议还原17 负载均衡算法每个协议还原引擎都设计一个BUSY／IDLE状态位，初始状态为IDLE由还原程序主模块进行任务分发，把会话文件池中的文件分给IDLE线程，并将该线程状态置为BUSY当该线程完成还原任务后，将状态置为IDLE多个线程可以同时进行协议还原，生成协议文件18 优势利用这种算法，结合多线程技术，很容易实现HTTP，FTP，SMTP，POP3等协议的分析还原19 第三章水肿 定义：过多的液体在组织间隙或体腔中积聚，称为水肿。分类：水肿按分布范围可分全身水肿和局部水肿。按发生部位分为脑水肿、肺水肿、皮下水肿等。按发生原因分为肾性水肿、肝性水肿、心性水肿等。可见水肿并非独立疾病，而是疾病时的一种重要病理过程或体征。正常体腔内只有少量液体，当体腔内液过多积聚时，称为积水. 第一节水肿的发生机制正常人组织间液量相对恒定，依赖于体内外液体交换和血管内外液体交换的平衡。水肿的本质是组织间液过多，即以上平衡失调。一、血管内外液体交换失平衡（组织液的生成大于回流）1、平均有效流体静压=毛细血管平均血压（Pc）-组织间静水压（Pif）2、有效胶体渗透压=血浆胶体渗透压（πc）-组织间胶体渗透压(πif)3、净滤过压=平均有效流体静压-有效胶体渗透压 如果上述任何因素发生改变即使组织液生成远远大于回流，超过淋巴回流的代偿能力，就会导致水肿。（一）毛细血管血压增高全身或局部的静脉压升高是毛细血管血压升高的主要原因。（二）血浆胶体渗透压下降血浆胶体渗透压取决于血浆白蛋白含量。（三）微血管壁通透性增加正常毛细血管只容许微量血浆蛋白滤出，平均不超过5％，其它微血管则完全不容许蛋白滤过，因而毛细血管内外胶体渗透压梯度很大。但当微血管壁通透性增高时，血浆蛋白不仅可随液体从毛细血管壁滤出，也可从其它微血管尤其微静脉壁滤出，其结果是毛细血管静脉端和微静脉内的胶体渗透压下降，而组织间液的胶体渗透压则上升，使有效胶体渗透压下降。此时如淋巴回流不足以阻止组织间液积聚，就出现水肿。 （四）淋巴回流受阻正常情况下组织间液可经淋巴回流，组织间隙少量蛋白也可经淋巴回流入血循环。即使组织液生成增多，淋巴回流可代偿性增加，故有抗水肿的作用。某些病理条件下，淋巴干道堵塞，淋巴回流受阻或不能代偿地加强回流时，含蛋白质的淋巴液就可在组织间隙中积聚而形成淋巴性水肿。（二）肾小管对水钠重吸收增多1、近曲小管重吸收钠水增多a.心房利钠多肽（ANP）减少：肝硬化、肾病综合征等，有效循环血量下降，对心房容量感受器刺激减弱，使ANP分泌减少，近曲小管对水，钠重吸收增加。 b.滤过分数增加滤过分数＝肾小球滤过率/肾血浆流量。滤过分数增加说明肾小球滤过率增加或肾血流量减少，这两者均可使胶体渗透压升高（血液粘稠），具有以上特点的血液分布在近曲小管，使近曲小管重吸收钠水增多。2、远曲小管、集合管重吸收钠水增多有效循环血量下降，血容量减少肝功能障碍，对ADH和醛固酮灭活减少ADH和醛固酮增多远曲小管，集合管重吸收钠水增多，钠水潴留 第二节几种常见的水肿类型一、心性水肿心性水肿的分布与心力衰竭发生的部位有关，左心衰竭主要引起肺水肿（心源性肺水肿），右心衰竭主要引起全身水肿。（一）临床特点右心衰竭时水肿的典型表现是皮下水肿，常先出现于低垂部。在立、坐位时，一般以内踝和胫前区较明显；若卧床日久，则以骶部最明显。水肿可波及躯体各部，严重时还可有腹水、胸水和心包积水。皮下水肿是全身或躯体局部水肿的重要体征。 （二）发病机制1.钠水滞留2.体静脉血压和毛细血管流体静压增高体静脉压升高使毛细血管流体静压随之升高，于是组织液生成增多。体静脉压升高还会使淋巴回流减少，因而影响淋巴回流的代偿作用。心力衰竭时体静脉血压增高由下述三个因素所引起：①心收缩力减弱致排血量减少，不能适应静脉回流；②心排血量减少反射性引起小静脉收缩使回心血量增加和静脉血管容量减少，从而导致静脉血压升高。③钠水滞留使血容量增多。（三）对机体的影响心性水肿对机体的影响主要取决于水肿波及的部位。 二、肺水肿（一）临床特点急性肺水肿常突然发生甚至呈暴发性，出现严重呼吸困难、端坐呼吸、响亮吸气和呼气性喘鸣，听诊有水泡音，阵发性咳嗽，咯粉红色泡沫痰，痰中含大量蛋白质。严重时分泌物从鼻腔或口腔流出。（二）发病机制1.压力性肺水肿：当肺毛细血管血压超过血浆胶体渗透压，使组织液生成大于回流，并超过淋巴回流的代偿能力时，就可发生肺水肿。又分心源性肺水肿和非心源性肺水肿。前者见于左心衰竭或二尖瓣狭窄；后者见于肺静脉阻塞或狭窄、过量输液或体循环血转移致肺循环等。 2.通透性肺水肿：此类肺水肿是由微血管内皮通透性增高或伴有肺泡上皮通透增高所引起，微血管内皮通透性增高，蛋白质滤出增多，血浆胶体渗透压降低，净滤过压增大，组织液生成大于回流，引起肺水肿。见于吸入毒气、肺炎等。3.血浆胶体渗透压下降：虽然肝肾疾病可引起低蛋白血症，使胶体渗透压降低，但在左心功能正常时，由于同时伴有微血管周围的胶体渗透压下降，故很少发生肺水肿，只有同时伴有微血管内静水压增高时（如大量输液），才诱发水肿。4.肺淋巴回流障碍：已知当肺毛细血管滤出增多时，肺淋巴管能增加回流达3～10倍来代偿。当肺淋巴管功能不全时，这种代偿就受限制。例如在矽肺时由于慢性闭塞性淋巴管炎，阻碍了淋巴回流，从而引起肺水肿。 （三）对机体的影响肺间质水肿时一般不会引起气体交换的明显障碍，但间质静水压力升高可压迫附近微血管，增加肺循环阻力，升高肺动脉压力。肺泡水肿由于肺的顺应及肺容量下降，患者可出现呼吸困难。低氧和酸中毒还可直接收缩肺血管，进一步加重右心负荷，引起心功能不全。如不及时纠正，可因心衰，心律失常而死亡。肺水肿液含大量蛋白质，是细菌良好的培养基，因而肺水肺易合并感染。 三、脑水肿（一）临床表现脑水肿的临床表现主要是颅内压增高的表现，如头痛、头晕、恶心、喷射性呕吐等。（二）分类、特点及发生机制1.血管源性脑水肿是最常见的一类。其主要特点是白质的细胞间隙有大量液体积聚，且富含蛋白质，灰质无明显变化。2.细胞中毒性脑水肿主要特点是水肿液主要分布于细胞内，包括神经细胞、神经胶质细胞和血管内皮细胞等，细胞外间隙不但不扩大，反而缩小。 3、间质性脑水肿主要发生于阻塞性脑室积水时。间质性脑水肿的液体来自脑脊髓液，当脑脊髓液生成和回流的通路受阻时，它就在脑室中积聚，过多积聚使室内压上升，以致脑室管膜通透性增高甚至破裂，脑脊液溢入脑室周围白质中，从而导致间质性脑水肿。（三）对机体的影响①颅内压增高引起的综合征；如头痛、头晕、呕吐、视神经乳头水肿，血压升高、心动过缓及意识障碍等；②局灶性脑体征：如一时性麻痹、半身轻瘫、单或双侧椎体性体征等；③脑疝引起的继发体征：脑扩大和颅内高压达临界点时，某些脑部因压力作用可脱位进入底池，出现压迫性脑疝。可表现中脑或延髓急性压迫综合征，后者可致呕吐、头晕、高血压、颈强直、角弓反张、意识丧失、呼吸间断甚至停止。'