过渡网络环境下Snort的改进研究

论文摘要

随着互联网的飞速发展,计算机网络己经成为现代社会生活中非常重要的组成部分,网络安全也面临着越来越严峻的考验。入侵检测系统是网络安全研究领域的近年来的热点课题之一,它对系统(网络)的运行状态进行监视,识别各种入侵企图、正在发生的入侵或已经发生的入侵行为,弥补了防火墙的不足,是防火墙之后的又一道安全防线。新一代互联网协议IPv6,不仅很好地解决了IPv4地址匮乏问题,而且在传输性能、服务质量、和安全方面都有一定的提高。Internet过渡和升级到IPv6是必然趋势,普遍认为IPv6因为IPSec的引入而比IPv4更加安全。但是IPv6并没有彻底解决网络安全问题:(1)主流操作系统在IPv6协议实现上存在着安全漏洞;(2)非IP层的攻击能被很容易地移植到IPv6;(3)双栈和隧道等过渡方式带来了新的安全问题;(4)IPv6引入的新协议和机制存在着特有的安全问题。现有的入侵检测系统大多局限于IPv4,不能支持IPv6以及IPv4/IPv6共存的过渡网络环境,针对IPv6的入侵检测系统研究正处于起步阶段。本论文对著名开放源代码网络入侵检测系统Snort的运行原理和系统结构进行了深入的分析,通过对数据解析模块、预处理器和规则库组织等几个方面的改进,使Snort支持IPv6,能够运行于IPv4/IPv6过渡网络环境中。并通过将规则按选项进行再分类对规则库组织进行了改进,减少了每个数据包需要进行匹配的规则数量;通过改进规则选项的排列顺序,使正常数据能够尽快的匹配失败,从而提高检测速度。这两个方面的改进,进一步提高了Snort的检测性能。本论文对IPv6引入的新机制邻居发现协议(NDP)的安全性进行了深入的分析,并通过实验证明了部分安全威胁的存在,最后在Snort中实现了用于检测NDP误用攻击的预处理器插件NDPSpoof。实验证明改进后的Snort能支持IPv4/IPv6过渡网络环境,能检测IPv6网络下的部分新型安全威胁。

论文目录

• 摘要
• ABSTRACT
• 1 绪论
• 1.1 问题的提出及研究意义
• 1.2 国内外研究现状
• 1.3 研究目的和研究内容
• 1.4 本文组织结构
• 2 入侵检测系统概述
• 2.1 入侵检测简介
• 2.2 入侵检测的工作流程
• 2.3 入侵检测体系结构
• 2.3.1 基于主机的入侵检测系统（HIDS）
• 2.3.2 基于网络的入侵检测系统（NIDS）
• 2.3.3 分布式入侵检测系统（DIDS）
• 2.4 入侵检测的未来发展趋势
• 2.5 小结
• 3 IPv4/IPv6 过渡阶段及其安全性分析
• 3.1 IPv6 概述
• 3.1.1 IPv6 基本报头
• 3.1.2 ICMPv6 协议
• 3.2 IPv4/IPv6 过渡机制
• 3.3 IPv6 安全脆弱性
• 3.3.1 IPv6 安全脆弱性分类
• 3.3.2 过渡阶段的安全问题
• 3.3.3 IPv6 特有的安全问题
• 3.4 IPv6 对入侵检测系统的影响
• 3.5 小结
• 4 Snort 系统分析
• 4.1 Snort 系统组成
• 4.2 Snort 运行流程
• 4.3 规则组织分析
• 4.3.1 规则头
• 4.3.2 规则选项
• 4.3.3 规则组织
• 4.4 小结
• 5 过渡网络环境下Snort 的改进
• 5.1 数据解码器的改进
• 5.2 预处理器的改进
• 5.3 过渡环境下的Snort 规则
• 5.3.1 规则头的改进
• 5.3.2 新规则选项的扩充
• 5.3.3 改进后的规则组织
• 5.3.4 改进后规则的测试
• 5.4 Snort 检测性能改进
• 5.4.1 规则分类改进
• 5.4.2 规则选项顺序改进
• 5.5 小结
• 6 邻居发现协议安全威胁及其检测
• 6.1 邻居发现协议
• 6.2 邻居发现协议安全威胁分析
• 6.2.1 NS/NA 欺骗
• 6.2.2 RS/RA 欺骗
• 6.2.3 Redirect 攻击
• 6.2.4 前缀欺骗
• 6.2.5 其它攻击
• 6.3 安全防护分析
• 6.4 安全威胁的检测
• 6.4.1 NDPSpoof 的检测流程
• 6.4.2 NDPSpoof 的实现
• 6.4.3 NDPSpoof 的检测效果
• 6.5 小结
• 7 总结与展望
• 致谢
• 参考文献
• 附录
• A. 作者在攻读学位期间发表的论文目录:
• B.作者在攻读硕士学位期间参加的科研项目