智能网络入侵检测系统研究与设计

论文摘要

入侵检测系统(Intrusion Detection System,IDS)是一种主动安全防护系统,融合了许多先进理论与方法,其研究具有重要的理论意义与实用价值。入侵检测系统按数据源可分为网络型和主机型,本文研究网络入侵检测系统。现有IDS存在的问题:入侵手段升级迅速,传统的滥用检测(Misuse Detection)方法不易检测,而异常检测方法误报率往往较高;网络带宽正向千兆级发展,而现有网络入侵检测系统(如Snort)若运行在x86平台上,往往在百兆网络中丢包率就已不低,即使运行在NP等高速专用平台上也难以完全负荷千兆级网络流量。本文在对现有入侵检测理论、方法、体系结构以及实例进行了广泛深入研究后,将协议分析、模式匹配、人工免疫三大方法加以改进并整合,以Snort2为原型设计出一种智能网络入侵检测系统,并在其中3个关键模块里作出了创新:改进的协议分析预处理模块中:引入了改进的IP分片重组、TCP流还原和应用层分析,并将小生境遗传与决策树融合以优化分析流程。改进的模式匹配检测引擎中:改进匹配算法并动态化,根据模式长度,把匹配时间看作路径长,把小生境遗传引入最短路径算法,进行模式子集最优划分,并选择相应的最优匹配子算法,设计出智能综合模式匹配算法。改进的人工免疫检测引擎中:采用基于模糊逻辑的表现型/基因型编码,并引入小生境遗传算法改进免疫选择,在减少了所需检测器数量的前提下,仍然能提高检测能力,并且检测器生成所需时间明显减少。模块测试表明:本系统3个关键模块算法与现有算法相比性能均有所提高。总体测试表明:本系统与Snort2相比,ROC曲线和负载性能有一定的改进;具有异常检测能力,能检测未知攻击并自适应学习(需额外占用小部分资源),而Snort2作为纯粹的滥用检测系统,不具备真正意义上的异常检测能力。本系统若运行于x86平台,在百兆网络中丢包率最多能比同等情况下的Snort2低15%。若运行于NP平台,由于其综合匹配和人工免疫算法均比Snort2中的单一匹配算法更具并行性,从而更适合NP的多个微引擎并行处理,并且免疫算法很适合分布式系统,因此预计在未来的千兆级分布式网络入侵检测中,本系统的综合性能将会进一步优于Snort2。

论文目录

• 摘要
• Abstract
• 第一章 绪论
• 1.1 论文选题
• 1.1.1 课题研究背景
• 1.1.2 现有系统存在的问题
• 1.1.3 选题的依据
• 1.1.4 选题的理论意义和实用价值
• 1.2 入侵检测综述
• 1.2.1 入侵检测产生和发展
• 1.2.2 入侵检测体系结构
• 1.2.3 入侵检测系统分类
• 1.2.4 入侵检测常用方法
• 1.3 论文内容与创新
• 1.3.1 论文内容安排
• 1.3.2 本文的主要工作与创新
• 第二章 智能网络入侵检测系统总体分析设计
• 2.1 需求分析与总体设计
• 2.1.1 设计目标与思想
• 2.1.2 总体设计
• 2.2 开源入侵检测系统Snort 分析
• 2.2.1 Snort 的特点及工作模式
• 2.2.2 Snort 架构和流程分析
• 2.2.3 Snort 规则分析
• 2.2.4 Snort 核心检测分析引擎工作流程
• 2.3 数据嗅探模块
• 2.4 改进的协议分析预处理模块
• 2.5 改进的模式匹配检测引擎
• 2.6 改进的人工免疫检测引擎
• 2.7 响应输出模块及外围模块
• 第三章 改进的协议分析预处理模块研究与设计
• 3.1 模块结构与流程
• 3.2 TCP/IP 协议族
• 3.2.1 概述
• 3.2.2 网络层
• 3.2.3 传输层
• 3.2.4 应用层
• 3.3 TCP/IP 协议族的安全漏洞及相应攻击分析
• 3.4 改进的协议分析算法模块详细设计
• 3.4.1 基本解码函数及数据结构
• 3.4.2 改进的IP 分片重组算法
• 3.4.3 改进的TCP 流还原算法
• 3.4.4 改进的应用层协议分析
• 3.4.5 基于混沌遗传决策树改进协议分析
• 3.5 本章小结
• 第四章 改进的模式匹配检测引擎研究与设计
• 4.1 引擎结构与流程
• 4.2 入侵检测中模式匹配算法研究
• 4.2.1 前缀型单模式匹配算法KMP
• 4.2.2 后缀型单模式匹配算法BM，BMH 及其改进
• 4.2.3 前缀型多模式匹配算法AC 及其改进
• BM，WM'>4.2.4 后缀型多模式匹配算法AC_BM，WM
• 4.2.5 子串匹配算法
• 4.2.6 模式匹配算法近年来进展
• 4.3 智能化综合匹配算法模块详细设计
• 4.3.1 模式匹配算法的智能化与动态化综合
• 4.3.2 改进的单模式匹配子算法
• 4.3.3 改进的多模式匹配子算法
• 4.4 本章小结
• 第五章 改进的人工免疫检测引擎研究与设计
• 5.1 引擎结构与流程
• 5.2 免疫系统与入侵检测
• 5.2.1 免疫细胞与免疫应答基本机制
• 5.2.2 特异识别机制与受体多样性
• 5.2.3 免疫记忆与自体耐受
• 5.2.4 人工免疫网络入侵检测系统
• 5.3 基于模糊逻辑改进的形态空间免疫识别机制
• 5.3.1 形态空间中的抗原识别机制
• 5.3.2 模糊数学
• 5.3.3 基于模糊逻辑改进的抗原抗体编码及其亲和力计算
• 5.4 改进的动态模糊免疫小生境遗传算法模块详细设计
• 5.4.1 免疫选择算法
• 5.4.2 动态模糊免疫启发式自适应变参数确定性拥挤小生境遗传算法详细设计
• 5.5 本章小结
• 第六章 实验评估及结果分析
• 6.1 实验环境
• 6.2 改进的协议分析预处理模块实验评估与分析
• 6.3 改进的模式匹配检测引擎实验评估与分析
• 6.4 改进的人工免疫检测引擎实验评估与分析
• 6.5 总体评估分析
• 第七章 总结与展望
• 7.1 本文主要工作成果总结
• 7.2 理论方法和技术应用创新归纳
• 7.3 进一步研究方向展望
• 参考文献
• 攻读硕士学位期间发表的论文和参加的科研项目
• 致谢