高速网络环境下入侵检测系统的研究

论文摘要

入侵检测技术是继“防火墙”、“数据加密”等传统安全保护措施之后的新一代安全保障技术。它与防火墙、病毒防护、漏洞扫描、数据加密等技术一起，共同构筑了计算机网络安全的多层防护体系。近些年来，入侵检测技术已经有了飞速的发展，但是随着大量高速网络技术的出现，入侵检测系统正面临着巨大的挑战。如何保障系统及时、高效地分析，处理大量的网络数据包，减少甚至避免丢包现象的发生，是每一个网络入侵检测系统都要面临的问题。作者对以Snort为代表的开源入侵检测系统中各个主要模块进行了深入的研究，发现数据包捕获和规则匹配是影响系统性能的主要瓶颈。为了解决这些问题，论文对网络入侵检测系统的体系结构、网络数据包捕获模块以及分析检测技术等方面做了一些改进。在系统的体系结构上，采用了基于协议的分流技术。海量网络数据包按照协议类别，被分流到不同的分析处理模块。这样不仅提高了入侵检测系统的检测效率，而且也增强了系统自身的抗攻击能力，即使某一个分析处理模块无法正常工作，也不会影响到其它的分析处理模块。在网络数据包捕获模块的设计上，论文采用了零拷贝数据包捕获的设计方案(ZCPCP)。它的主要思想和最大优点就是通过用户层和网络接口的直接交互、避免数据包在内存的多次拷贝。这样使得数据包的行走路径缩短，极大地节省CPU的开销，为上层更复杂的处理赢得了宝贵的时间。在入侵检测技术上，论文采用协议分析技术与模式匹配技术相结合的检测方法，这样做的优势是：一方面，可以利用网络协议的高度规则性对数据包进行预处理，快速探测某些攻击的存在；另一方面又可以利用模式匹配算法对数据包负载中的内容进行特征匹配。在此，本论文通过详细分析BM模式匹配算法，对BM算法进行了一些改进，设计了增强型BM算法——EBM算法。同BM算法相比，EBM算法具有更大的文本指针偏移值，更少的字符匹配次数。另外，论文还对入侵检测系统规则库的组织结构进行了优化，即：进一步细化了规则的分类和在规则树中引入了动态调整机制。这样做的目的是：减少规则树的深度和使得规则树的结构能够根据网络入侵的实际情况，动态调整各个规则节点在规则树中的位置，从而减少不必要搜索路径，提高系统的检测效率。最后通过在Linux操作系统(FedoraCore.V5)上的实验证明，改进后入侵检测系统性能确实有了明显的提高。

论文目录

• 摘要
• ABSTRACT
• 目录
• 1. 绪论
• 1.1 课题背景
• 1.2 国内外研究和发展现状
• 1.3 本课题需要解决的问题
• 1.4 论文组织
• 2. 入侵检测系统研究综述
• 2.1 入侵检测系统的基本知识
• 2.1.1 基本概念
• 2.1.2 功能和原理
• 2.1.3 入侵检测系统的组成部分
• 2.2 入侵检测分类
• 2.2.1 主机和网络入侵检测系统
• 2.2.2 异常入侵检测技术和误用入侵检测技术
• 2.3 入侵检测系统的标准化
• 2.3.1 通用入侵检测框架CIDF
• 2.3.2 入侵检测工作组IDWG
• 2.3.3 CIDF与IDWG的比较
• 2.4 目前的入侵检测系统面临的问题
• 2.5 本章小结
• 3. 网络入侵检测系统框架总体设计
• 3.1 系统的设计目标
• 3.2 系统的设计原理
• 3.3 本章小结
• 4. 高速数据包捕获模块分析
• 4.1 网络数据包截获机制
• 4.2 基于Libpcap库的通用数据截获技术
• 4.3 零拷贝数据捕获平台
• 4.3.1 零拷贝数据捕获的原理
• 4.3.2 零拷贝平台结构设计
• 4.3 本章小结
• 5. 入侵检测系统各模块分析
• 5.1 协议分析模块
• 5.1.1 协议分析原理
• 5.1.2 协议分析模块的设计
• 5.2 检测引擎预处理模块
• 5.2.1 预处理器原理
• 5.2.2 预处理模块的设计
• 5.3 规则检测模块
• 5.3.1 规则检测模块原理
• 5.3.2 规则检测模块的设计
• 5.4 数据存储模块
• 5.4.1 数据存储模块原理
• 5.4.2 数据存储模块的设计
• 5.5 本章小结
• 6. 提高入侵检测效率的关键技术分析
• 6.1 规则树结构的优化技术
• 6.1.1 规则描述语言简介
• 6.1.2 规则的组织方式
• 6.1.3 基于线性链表规则组织方式的改进
• 6.1.3.1 规则树改进的设计思想
• 6.1.3.2 改进后规则树的设计
• 6.1.3.3 相关数据结构设计
• 6.1.3.4 规则树的整体结构
• 6.2 检测引擎模式匹配算法的改进
• 6.2.1 BM匹配算法
• 6.2.1.1 BM算法的预处理
• 6.2.1.2 BM算法的查找
• Boyer-Moore）算法'>6.2.2 EBM（Enhanced_Boyer-Moore）算法
• 6.2.2.1 EBM算法设计
• 6.2.2.2 EBM算法的查过程
• 6.2.2.3 EBM算法描述
• 6.3 改进后系统的性能测试
• 6.4 本章小结
• 7. 总结和展望
• 致谢
• 参考文献