零拷贝与扫描检测技术在入侵检测系统中的应用

论文摘要

在实现网络安全的同时,入侵检测系统(IDS)是防火墙的合理补充,近来备受人们青睐。它帮助系统对付网络攻击,扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应),提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息,并分析这些信息,看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全阀门,在不影响网络性能的情况下能对网络进行监测,从而提供对内部攻击、外部攻击和误操作的实时保护。然而,在该领域内依然存在一系列尚未解决的问题—如何实现外围设备和主存之间直接传输I/O数据,如何减少数据包从网络设备到用户程序空间传递过程中的拷贝次数,如何运用UDP扫描模块提高抓包率等。本文从改善现有网络入侵检测系统性能的角度出发,将零拷贝与改进的扫描检测技术应用于网络入侵检测系统,本文所做的主要工作主要有以下三点:●总结了目前网络入侵检测系统(NIDS)存在的主要问题,以及研究者在解决这些问题时所使用技术和方法的发展。通过这个总结性回顾,能够基本把握NIDS的现状。●零拷贝技术的设计及实现。零拷贝技术能让网络数据从网络设备到用户程序空间传递的过程中,避免CPU的参与,同时通过在用户空间建立缓存,并将其映射到内核空间,从而减少系统内核向用户空间的内存拷贝,同时减少了系统调用的开销。●针对目前主流UDP扫描模块抓包率低下的缺点,本文提出了UDP扫描模块的进一步改善措施。通过改变数据结构,同时根据统计响应方的数据流中ICMP端口不可到达数据包,可以大大提高抓包率。

论文目录

• 摘要
• ABSTRACT
• 绪论
• 1 入侵检测系统简介
• 1.1 基本概念
• 1.2 发展历史
• 1.3 入侵检测系统的必要性
• 1.4 入侵检测系统的分类
• 1.4.1 主机型入侵检测系统和网络型入侵检测系统
• 1.4.2 误用入侵检测系统和异常入侵检测系统
• 1.5 NIDS目前存在的一般性问题
• 1.6 本项目的工作
• 2 零拷贝技术研究与实现
• 2.1 零拷贝技术产生背景
• 2.2 零拷贝的基本概念
• 2.3 零拷贝技术的研究与实现
• 2.3.1 DMA数据传输技术
• 2.3.2 内存区域映射技术
• 2.4 小结
• 3 改进的UDP端口扫描检测模块
• 3.1 基本概念
• 3.1.1 端口及扫描器
• 3.1.2 端口扫描原理
• 3.1.3 常用的端口扫描技术
• 3.2 改进的UDP端口扫描技术
• 3.2.1 UDP协议简介
• 3.2.2 UDP端口扫描机理
• 3.2.3 改进 UDP扫描技术的设计背景
• 3.2.4 UDP扫描算法改进的必要性
• 3.2.5 UDP扫描算法改进的方案
• 3.2.6 改进的UDP扫描算法的实现策略
• 3.2.7 改进的UDP扫描算法的详细设计
• 3.3 存在的问题
• 3.4 小结
• 4 结论及下一步工作
• 4.1 大数据量网络的处理问题
• 4.2 数据挖掘问题
• 4.3 端口扫描问题
• 4.4 IDS测试问题
• 致谢
• 参考文献
• 附录A IP数据报头格式
• 附录B 通用ICMP报文格式
• 附录C TCP报文头格式
• 附录D UDP报文头格式