网络IDS虚警处理技术研究

论文摘要

随着网络入侵行为变得越来越普遍和复杂,入侵检测系统在网络安全中的作用也越来越重要,然而现有的入侵检测系统都没有能很好的解决其虚警率过高的弊端,因而出现了入侵检测系统存在信任危机的尴尬的局面。 针对当前形势,本文首先介绍了常用的安全手段和技术,在此基础上分析了当前入侵检测系统产生虚警的原因,并给出入侵检测系统可信度的数学定义,另外,指出了必须从系统的整体架构,检测算法及策略方面入手才能解决虚警和可信性的问题。 本文在设计系统时采用在Snort的基础上增加警报分析器,从而可以对报警数据进行二次分析过滤,另外根据网络数据流之间可能存在的内在联系,提出了三个关联性的定义。在整个系统设计中,增加了关联性分析模块,在警报分析器中,使用了属性分析,概率分析和聚类分析这三种处理手段来对警报数据进行过滤。最后给出了警报分析器对采集的警报数据的仿真和数据分析结果,通过实验证明此系统是可以有效地降低虚警。

论文目录

• 序言
• 第一章 网络安全和入侵检测的基本理论
• 1.1 网络安全现状
• 1.2 网络安全理论概述
• 1.2.1 P2DR2模型简介
• 1.2.2 网络安全目标
• 1.3 防火墙简介
• 1.3.1 防火墙的分类
• 1.3.2 防火墙的缺陷和不足
• 1.4 入侵检测技术及其发展趋势
• 1.4.1 入侵检测的定义及其必要性
• 1.4.2 入侵检测系统的分类
• 1.4.3 入侵检测的发展趋势
• 1.5 小结
• 第二章 网络封包截获技术
• 2.1 网络协议
• 2.1.1 OSI参考模型
• 2.1.2 TCP／IP协议简介
• 2.2 数据采集的实现原理
• 2.2.1 以太网数据传输原理
• 2.2.2 Windows下网络监听的实现原理
• 2.3 截获网络数据包的实现
• 2.3.1 网络数据包截获的主要流程
• 2.3.2 数据包截获的主要实现函数分析
• 2.4 小结
• 第三章 入侵行为的特征分析及Snort基本原理
• 3.1 入侵行为分类
• 3.1.1 入侵行为的概述
• 3.1.2 网络入侵行为分类
• 3.1.3 入侵特征分析
• 3.2 网络入侵检测系统Snort介绍
• 3.2.1 Snort系统概述
• 3.2.2 系统程序架构
• 3.2.3 规则库分析
• 3.2.4 规则匹配过程分析
• 3.2.5 规则匹配算法分析
• 3.3 小结
• 第四章 入侵检测系统的虚警分析
• 4.1 虚警问题研究
• 4.1.1 虚警产生的原因
• 4.1.2 处理虚警的策略
• 4.2 入侵检测系统的可信度分析
• 4.3 评价检测算法性能的测度
• 4.4 改善单一入侵检测机制性能的方法
• 4.5 小结
• 第五章 改进型Snort系统的整体设计及实现
• 5.1 系统的整体构架
• 5.1.1 系统组成
• 5.1.2 系统的工作流程
• 5.2 Sniffer的实现
• 5.2.1 Sniffer的整体构架
• 5.2.2 截获与解析的具体实现
• 5.3 规则匹配模块的实现
• 5.4 关联性分析模块的实现
• 5.4.1 关联性的定义
• 5.4.2 关联性分析策略
• 5.5 警报分析器的实现
• 5.5.1 Snort报警数据格式介绍
• 5.5.2 警报分析器的整体构架
• 5.5.3 警报数据分析
• 5.6 小结
• 第六章 系统实验与评估
• 6.1 实验环境
• 6.1.1 实验平台
• 6.1.2 实验数据
• 6.2 实验方案
• 6.2.1 实验目的
• 6.2.2 实验步骤
• 6.3 仿真实验与分析
• 6.3.1 Sniffer的仿真实验与分析
• 6.3.2 IA-Snort的警报分析器仿真实验与分析
• 6.3.3 几种仿真实验结果的优劣分析
• 第七章 总结与展望
• 参考文献
• 攻读硕士研究生期间发表的论文