第六章 总结与展望
网络安全问题自始至终和网络相伴相随，作为解决方案之一的基于主机的防火墙系统也得到充分的发展。防火墙技术以技术性强、保密性高着称，通常只以原理的形式出现[37].通过对防火墙核心技术的研究，参考相关资料的介绍，研究、设计与实现了 PSFW 个人防火墙系统，该系统以 Windows 操作系统为开发平台。
通过对防火墙分类的研究，提高了对防火墙技术认识的同时，对其工作原理有了深刻的了解。熟悉 Windows 网络组件和 TCP/IP 协议结构，通过研究 Windows 操作系统个人防火墙的核心技术--数据包拦截技术，经过对几种过滤技术的深入研究与对比，最终选择 PSFW个人防火墙的数据包拦截过滤技术方案是：用户态模式下 Winsock2 SPI 和内核模式下 NDISHOOK 相结合的过滤技术。对防火墙工作模式和工作流程的划分进行了详细分析。
本文采用用户态 Winsock2 SPI 和内核态 NDIS HOOK 相结合的数据包拦截过滤方法，设计实现 Windows 操作系统下的 PSFW 个人防火墙系统。Winsock2 SPI 工作在应用层，CPU 占用率低，执行效率高，编程和调试较为方便容易，并且封包未做切片处理，对内容过滤实现起来更加容易，而 NDIS HOOK 技术不仅克服了其他内核态过滤技术的缺陷，而且还有性能稳定、安全性高、灵活使用、无冗余代码等优点，NDIS HOOK 技术采用 NDIS 库函数截获数据封包。两种过滤技术相结合，才可以达到良好的过滤效果。该防火墙完成的功能有：网络数据包的拦截、过滤，规则的设置（添加规则、删除规则、编辑修改规则等），状态指示（实时显示拦截/放行封包数量，工作模式、协议等），日志记录与查询功能。经过功能测试结果查看，在功能需求阶段分析和设计的功能已经实现，对个人计算机保护和防御都起到了重要的作用。功能测试主要是检验系统是否可以正常工作，满足需求分析阶段设定的功能，性能测试对系统性能提出更高的要求。
本文所设计的个人防火墙系统具备了防火墙应当具备的基本功能，但是，研究设计时间比较仓促，工作量较大，在功能和性能方面还有不足的地方要改进和加强，大体有如下四个方面的问题需要进一步研究和解决：
第一，未涉及木马保护的相关内容。
第二，不具备程序扫描的功能，这也是防火墙的一个比较重要的功能。
第三，系统实现的功能比较少，界面设计较为简单，操作起来非常便利，但系统界面设计和功能需求方面仍需加强，界面会做出调整。
第四，对系统性能方面的测试还要加强，包括压力测试、负载测试等。
除了改进系统设计中的不足之外，还可以与其他安全技术结合起来，把入侵防御技术与防火墙，身份认证、数据加密和数字签名等多种安全技术结合起来，共同构筑一个多层次的、动态的立体安全防御体系[38].
参考文献
[1] 龚静。浅谈计算机网络安全与入侵检测技术。网络安全技术与应用，2005（5）：56-58
[2] 杨秋。 基于 Windows 的个人防火墙的设计与实现。大连理工大学，2013
[3] 李伟超。 浅析新形势下的计算机及网络安全。电脑知识与安全，2011
[4] 思科 2014 安全报告。思科官网发布，2014
[5] 李名选。 计算机网络安全面临的严重问题与挑战。信息安全与通信保密，2012
[6] 王卫平。 基于信息增益的防火墙过滤域排序优化。计算机系统应用，2009
[7] 陈晓男。 使用分布式防火墙技术实现内外网关数据安全交换。网络与信息，2008
[8] 孙德刚。 美国信息安全政策研究。信息安全与通信保密，2003
[9] 罗柏胜。 卫士通新一代安全网关 NGSG--内容安全与网络安全融合。信息网络安全，2008
[10] 王大中。 一种通用网络安全管理系统的设计与实现。西安电子科技大学，2011
[11] 颜磊。 基于 Windows 个人防火墙的设计与实现。电子科技大学，2007
[12] 孙晓楠。 分布式防火墙系统的研究与设计。同济大学，2007
[13] 朱亮。 Linux 防火墙技术的研究。电脑知识与技术，2008
[14] 邓拥军，任爱凤。 校园网络防火墙的应用与分析。网络安全技术与 应用，2007
[15] 王建国。Windows 下个人防火墙的设计与实现。北京邮电大学，2010
[16] （美）Merike Kaeo.网络安全性设计。第二版。人民邮电出版社，2005
[17] Douglas E.Comer 着。用 TCP/IP 进行网际互连，第一卷。林瑶，蒋慧等译。北京：电子工业出版社， 1999 年
[18] Douglas E.Comer 着。用 TCP/IP 进行网际互连，第二卷。林瑶，蒋慧等译。北京：电子工业出版社， 1999 年
[19] （美）卢卡斯，谢琳，赵俐，黄铝文译。防火墙策略与 VPN 配置。中国水利水电出版社，2008
[20] 翟慧，牛玲，个人防火墙技术与网络安全研究，电脑知识与技术学术交流，2007
[21] 崔宁。 军队局域网中 DDOS 攻击模拟和防御的研究。东北大学，2009
[22]聂元铭，丘平。网络信息安全技术。科学出版社，2011
[23] 李小波，基于文件过滤驱动的 Windows 文件保护系统的研究与实现。上海交通大学，2010
[24] 吴姚睿。基于主动获取的计算机取证方法及实现技术研究。吉林大学，2009
[25] 冯爱娟。 分布式防火墙系统中主机防火墙的设计与实现。电子科技大学，2004
[26] Mohamed G. Gouda,Alex X.Liu, Structured firewall design [J]. Computer Networks 2007（51）： 1106-1120
[27] M. Christodorescu and S. Jha, “StaticAnalysis of Executables to USENIX Detect Malicious Patterns,”in Proceedings of the 12th USENIX Security Symposium （Security 2003），Washington DC, USA,Aug. 2003,26-34
[28] Network Intrusion Detection （3rd Edition） by Stephen Northcutt in Front Matter（1） , and Front Matter（2），26-101
[29] K. Wang and SJ Stolfo, “Anomalous Payload-based Network Intrusion in 7th International Symposium on Recent Advances in Intrusion Detection （RAID'2004）”, Sophia Antipolis, French Riviera,France, Sept. 2004,25-87
[30] He Chaokai. Design and implementation of a personal firewall Based on NDIS Intermediate Drivers[J].Software Engineering, Artificial Intelligence, Networking, and Parallel/Distributed Computing, 2007,（1）：878-882
[31] Zhang Yu. The Program Design of Network Firewall based on Windows [J]. 2010 International Conference on Uachine Vision and Human-Machine Interface, 2010,3（3）：553-556.
[32] David Ely, Stefan Savage, David Wethereall. Alpine: A userlever intrastructure for network protocol development[J]. In Proceedings of USENIX Symposium on Internet Technologies and system, 2001（3）：89-109
[33] Gray R.Wright, W.Richard Stevens. TCP/IP Illustrated Volumel: The Protocols Addison-Wealey, 2000.4:P 503-P514
[34] Gray R.Wright, W.Richard Stevens. TCP/IP Illustrated Volume2: The Implementation.StevensAddison-Wesley 2000.7: P305-P304
[35] Willy Susilo, Russell James Ang,Cameron Allen George McDonald, Jianyong Huang. Personal Firewall for Pocket PC 2003. Design & Implementation.[J]. IEEE Computer Society 1730 Massachusetts Ave, NW Washington, DC USA, 2005: 661-666
[36] He Chaokai. Design and implementation of a personal firewall Based on NDIS Interface Drivers [J]. IEEE Computer Society 1730 MassachusettsAve, NW Washington, DC USA,2007: 878-882
[37] B.A Fessi, M.Hamdi,S.Benabdallah, N.Boudriga. A decisional framework system for computer network intrusion detection[J]. European Journal of Operational Research, 2007（177）： 1824-1832
[38] D B Chapman, E D Zwicky. Building Internet Firewalls [M]. O Reilly &Associates:Sebastopol, CA, 1995
致谢
三年攻读硕士学位的生活即将结束，首先谨向所有关心和帮助过我的通信与信息工程学院的老师和同学致以深深的感谢！
感谢我的导师马明栋教授，本文的研究工作是在马老师的悉心指导和严格要求下完成的。
马老师严谨的治学作风、忘我的工作态度，敏锐的学术洞察力使我受益终生，是我今后学习和工作中的榜样。在此，对马老师表示深深的敬意和由衷的感谢！
感谢三年来一起共事的实验室同学，感谢李银超同学，感谢张永邦同学，感谢杜星同学，感谢刘文韬同学，感谢郭正敏同学，感谢田琳同学，他们在生活和学习上都曾给予我无私的帮助。在互帮互助的良好学习氛围中，我们每个人都在快速的成长和提高，收获颇丰。最后，感谢我的父母和家人，他们多年如一日地给予我支持、鼓励与关心，在面对困难时给予我坚持的勇气。感谢所有关心我的朋友们，你们的支持是我前进的动力！
