Windows Server 2003 SP2 純 Windows 平台構建入侵偵測系統 (IDS) 完整架構實作：WinPcap、WinDump、Ethereal、SQL Server 2000 四大組件協同

商用 IDS 動輒百萬預算，中小企業難負擔。本文展示如何在 Windows Server 2003 SP2 上，以零授權成本組合 WinPcap (封包捕獲) + WinDump (封包過濾/顯示) + Ethereal (協定深度分析) + SQL Server 2000 (事件資料庫)，依 CIDF 通用入侵偵測框架建構「事件產生 → 事件分析 → 回應 → 資料庫」四層 IDS 原型，適合入門級部署與教學驗證。

架構總覽 (CIDF 四要素對應)

部署步驟詳解

1. 硬體與作業系統基線

• 伺服器級硬體，依流量決定規格；NTFS 分區，程式與日誌分盤。
• 作業系統：Windows Server 2003 Enterprise Edition (支援多處理器、大記憶體)。

2. WinPcap 安裝與架構

• 下載 WinPcap Auto-installer (含驅動 + DLL) 安裝。
• 三模組：NPF.sys (核心模式封包過濾) → packet.dll (Win32 介面) → wpcap.dll (高層抽象 API)。開發需 Developer's Pack。

3. WinDump 驗證捕獲

命令列執行 WinDump，即時顯示符合規則的封包標頭，確認捕獲管道暢通。

4. Ethereal 協定深度分析

• 開源免費，支援 Windows，解析 1000+ 協定。
• 特色：強大顯示過濾語法、TCP 流重組、專家資訊自動異常標註。
• 用法：開啟 WinDump/WinPcap 存檔 (.pcap) → 互動式分析、匯出 CSV/XML 供資料庫匯入。

5. 事件分析引擎自研關鍵點

• 三大檢測技術：模式比對 (Snort 風格規則)、協定分析 (狀態機解析 RFC)、行為分析 (基線偏差)。
• 建議基於開放原始碼協定分析工具包 (如 Libnids) 移植開發，優化演算法提升吞吐。
• 模擬攻擊驗證：掃描、溢位、DoS、Web 攻擊等場景。

6. 回應系統雙模設計

• 監聽模組：綁定閒置埠，接收分析器 JSON/Xml 告警 → 寫入 SQL Server → 依規則觸發 Email/封鎖埠/終止進程。
• 控制模組：GTK+ GUI，提供規則庫管理、安全策略配置、即時告警儀表板、歷史查詢。

7. SQL Server 2000 資料庫設計要點

• 資料表：RawPackets (原始封包)、Alerts (告警)、Rules (規則版本)、AuditLog (操作審計)。
• 索引：Alerts(Timestamp, Severity)、RawPackets(SrcIP, DstIP, Timestamp)。
• 維護：每日分區歸檔、定期備份異地。

整合與驗證

依 CIDF 通訊機制建立三層模型 (傳輸/封裝/應用)，確保組件間語義互通。啟動順序：WinPcap → WinDump/Ethereal 捕獲 → 分析引擎 → 回應系統寫庫 → GUI 呈現。滿足 100Mbps 以下網段入門級偵測需求。

遺留課題與演進方向

• 效能瓶頸：WinPcap 用戶態複製封包，高流量丟包嚴重 → 升級至 Win10Pcap / Npcap + DPDK。
• 規則維運：手工編寫規則不可持續 → 引入 Snort/VRT 規則集自動同步。
• 主動防禦：IDS → IPS，內嵌 WinDivert / WFP 驅動實現封包攔截修改。

親手構建屬於自己的 IDS，不僅節省預算，更能深度掌握網絡安全核心脈動。