误用入侵检测系统中高性能模式匹配部件的设计及实现

论文摘要

近年来,计算机网络以令人难以置信的速度向前发展,网络技术日新月异,千兆以及万兆以太网络正在逢勃兴起,网络入侵检测方法面临效率和速度的严峻挑战。因为算法效率问题,传统的基于攻击特征的模式匹配检测技术存在着一些难以克服的缺点,如:匹配计算量巨大、易受欺骗、漏报警(false positive)较多等,难以适应高速的网络环境。为了降低模式匹配时的计算量,提高匹配速度,同时兼具一定的反欺骗能力,本文提出一种将协议分析方法、数据预处理手段与改良的快速多模式匹配检测算法相结合的解决方案,设计并实现了一个高性能的模式匹配部件。本文首先介绍了入侵检测的相关概念、分类和入侵检测算法,并从原理上、技术上介绍了目前广泛使用的模式匹配检测方法。针对单模式匹配算法在检测中存在的弱点,结合协议分析方法提出了一种改良的多模式匹配算法,并在此基础上设计出一种新的多模式匹配部件。主要工作包括:设计并实现了协议分析预处理子模块,利用协议分析方法和预处理手段对捕获的数据包进行协议分类和防欺骗预处理;设计并实现了规则处理子模块,对规则的结构进行了重新的组织,将传统的二维链表结构加以改进,提出了结构更加合理的三维链表树的概念;参照BM算法启发式搜索的思想,提出了一种基于有限状态自动机的快速多模式匹配算法——Fast_BM算法。本文对该算法进行了理论上的性能分析,并以该算法为核心设计出了快速多模式匹配子模块。本部件采用C语言撰写源代码,可移植性较好。最后,以Darpa1999年测试数据集作为实验的测评数据,测试本部件对Snort检测性能的影响,主要包括三个方面的性能指标,即:准确性指标、效率指标和系统指标。理论分析和实验证明,该模式匹配部件有效地提高了检测的准确性指标和效率指标。在规则数增大的情况下,该部件具有较低的平均搜索时间;同时,针对逃避IDS的手段能进行有效的遏制。

论文目录

• 摘要
• ABSTRACT
• 插图索引
• 附表索引
• 第1章 绪论
• 1.1 课题背景
• 1.2 研究目的及意义
• 1.3 入侵检测及算法的研究现状
• 1.4 研究内容
• 1.5 论文结构
• 1.6 技术路线
• 第2章 入侵检测技术及其算法
• 2.1 入侵的定义
• 2.2 入侵检测与入侵检测系统
• 2.3 入侵检测系统的分类
• 2.4 入侵检测算法
• 2.5 本章小结
• 第3章 高性能模式匹配部件的总体设计
• 3.1 系统综述
• 3.2 系统模块设计
• 3.3 本章小结
• 第4章 高性能模式匹配部件的设计与实现
• 4.1 系统工作主流程
• 4.2 协议分析预处理模块设计及实现
• 4.3 规则处理模块设计及实现
• 4.4 快速多模式匹配模块设计及实现
• 4.5 本章小结
• 第5章 利用SNORT 进行性能测试及实验数据分析
• 5.1 网络入侵检测系统的性能指标
• 5.2 利用SNORT 进行实验验证
• 5.3 实验数据分析
• 5.4 在千兆校园网络环境中的运行情况
• 5.5 实验结论
• 结论
• 参考文献
• 附录A 攻读学位期间所发表的学术论文目录
• 致谢