基于协议分析的入侵检测技术研究

论文摘要

基于协议分析的入侵检测技术是目前较为先进的入侵检测技术,它利用网络协议的高度规则性,快速地探测网络上不安全因素的存在。同传统的模式匹配技术相比,基于协议分析的入侵检测技术具有检测速度快、系统消耗低、降低误报率和探测碎片攻击等优点。论文对基于协议分析的入侵检测技术进行了深入研究,主要工作有:首先,对目前入侵检测系统常采用的模式匹配技术进行了深入分析,指出了其存在的缺陷。简单介绍了更具优势的协议分析入侵检测技术。其次,对入侵检测中的简单协议分析方法和状态协议分析方法进行了重点研究。简单协议分析方法主要使用检测规则对解析后的单个数据包中的协议首部和数据载荷进行检测。状态协议分析方法是建立一种状态协议分析检测模型,将观测到的数据包序列映射为状态序列,使用状态序列上的一元谓词来检测异常和攻击。两种方法结合能够有效的完成包括应用层协议在内的网络各层协议的分析,更加精确的定位了检测域,提高了检测的全面性、准确性和检测效率。在此基础上,提出了一个能同时支持误用检测和异常检测的基于协议分析的入侵检测系统体系结构。在上述研究工作的基础上,论文重点研究了基于状态转换的TCP协议异常检测方法。对TCP状态转换图深入理解后,研究和分析了TCP协议状态的转换关系,设计TCP协议状态分析模块。该模块采用STAPA检测方法检测TCP协议异常,并能检测TCP SYN Flooding攻击。最后,采用snort插件方式实现了论文设计的TCP状态协议分析模块。对实现的检测插件进行了模拟试验,该插件能检测出大部分TCP异常,验证了检测方法的可行性。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 研究背景
• 1.2 入侵检测系统简介
• 1.2.1 入侵检测系统基本模型
• 1.2.2 入侵检测系统工作原理和局限性
• 1.2.3 入侵检测系统分类
• 1.3 入侵检测技术的研究现状
• 1.3.1 入侵检测技术
• 1.3.2 异常检测技术和误用检测技术比较
• 1.3.3 入侵检测技术发展趋势
• 1.4 本文的研究内容
• 1.5 论文结构
• 第二章 基于协议分析的入侵检测技术研究
• 2.1 特征模式匹配技术
• 2.1.1 特征模式匹配技术的检测原理
• 2.1.2 特征模式匹配技术的优点及缺陷
• 2.2 基于协议分析的入侵检测技术
• 2.2.1 协议分析的基本思想
• 2.2.2 基于协议分析的网络入侵检测模块构成
• 2.2.3 协议分析检测技术的优点
• 2.3 协议分析入侵检测方法研究
• 2.3.1 简单协议分析检测方法
• 2.3.2 协议状态分析检测方法
• 2.4 协议分析入侵检测系统体系结构
• 2.5 小结
• 第三章 基于协议状态分析的TCP协议异常检测方法
• 3.1 TCP协议简介
• 3.2 TCP协议状态转换分析
• 3.2.1 TCP连接的建立和终止
• 3.2.2 TCP协议状态转换图
• 3.2.3 TCP的异常情况
• 3.3 TCP状态协议分析模块设计
• 3.3.1 TCP会话数据包的重组
• 3.3.2 TCP运行状态分析及相关异常检测
• 3.3.3 检测TCP SYN Flooding攻击
• 3.4 小结
• 第四章 TCP协议异常检测snort插件的设计与实现
• 4.1 Snort简介
• 4.1.1 Snort的结构
• 4.1.2 Snort系统工作流程
• 4.1.3 Snort的检测规则
• 4.1.4 Snort的插件机制
• 4.2 TCP协议异常检测插件设计与实现
• 4.2.1 TCP协议异常检测插件的设计
• 4.2.2 TCP协议异常检测插件的实现
• 4.3 小结
• 第五章 实验分析
• 5.1 数据源
• 5.2 实验环境
• 5.3 实验方法
• 5.4 实验结果分析
• 5.5 TadTcpDet与stream4插件进行对比
• 5.5.1 stream4简介
• 5.5.2 TadTcpDet和stream4相比较
• 第六章 结束语
• 致谢
• 参考文献
• 作者在学期间取得的学术成果