Snort入侵检测系统的研究及其性能改进

论文摘要

计算机和网络技术的快速发展给人类生产和生活带来了革命性的变化,这也使得人类面临着网络安全这种新的威胁。传统的加密和防火墙技术已经不能完全满足信息安全的需求,入侵检测技术作为一种必要的安全手段,在网络安全领域发挥着其独到的作用。Snort作为典型的轻量级网络入侵检测系统(NIDS),是一个免费的开源项目。对Snort设计原理和实现特点的研究,可以作为其他商用入侵检测系统的研发基石,有较强的学术意义和较高的商业价值。本文以Snort系统为研究对象,通过剖析其源代码,系统地研究了Snort整体体系架构,以及详细分析了其中的多模式快速匹配模式集、快速检测引擎、字符匹配算法等,然后,本文围绕模式匹配部分展开对提高Snort性能的关键技术研究。以Snort新特性的分析和现存多种规则匹配方法研究为基础,考虑到大量Snort规则在一定时间内只有一小部分规则是活跃的,提出了基于活跃规则集的Snort规则匹配方法,通过把每个端口下的规则分成活跃规则集与不活跃规则集,结合反馈规则匹配频度的思想,实时更新规则匹配顺序和控制活跃规则集大小,从而提高规则匹配速度。根据本文提出的改进方法,针对Snort 2.4进行了规则匹配算法的改进。经过采用来自林肯实验室的国际标准化入侵检测样本数据对改进系统进行对比测试分析,实验结果表明,改进后的算法规则匹配效率提高了6%～21%。最后,本文说明了Snort匹配性能改进的进一步工作,并对Snort和IDS技术的发展作了展望。

论文目录

• 摘要
• Abstract
• 1 前言
• 1.1 研究背景
• 1.2 国内外研究现状及进展
• 1.3 论文内容、方法和意义
• 1.4 论文组织结构
• 2 入侵检测系统与Snort
• 2.1 入侵检测系统
• 2.2 IDS的标准与结构
• 2.3 IDS的发展与分类
• 2.3.1 按检测方法分类
• 2.3.2 按检测所用数据来源分类
• 2.3.3 按实现方法分类
• 2.4 Snort系统概述
• 2.4.1 Snort的功能
• 2.4.2 Snort的发展
• 2.5 Snort的安装和使用
• 2.5.1 Snort的安装
• 2.5.2 Snort的使用
• 2.6 IDS及Snort面临的问题和发展趋势
• 2.7 本章小结
• 3 Snort入侵检测系统分析
• 3.1 Snort 2.40系统结构
• 3.1.1 Snort规则
• 3.1.2 Snort的规则解析
• 3.1.3 Snort的新特性:规则索引
• 3.1.4 Snort的新特性:多模式匹配
• 3.2 Snort插件
• 3.2.1 Snort最新插件介绍
• 3.3 关于Snort性能的讨论
• 3.4 本章小结
• 4 基于活跃规则集的Snort高效规则匹配方法
• 4.1 Snort规则匹配的机制
• 4.2 提高Snort规则匹配速度的方法
• 4.3 基于活跃规则集的规则匹配方法
• 4.3.1 OptGroupNode选项分组结构的建立
• 4.3.2 OptIndexNode选项索引结构的建立
• 4.3.3 规则树的建立及规则匹配
• 4.3.4 存在问题的解决
• 4.4 活跃规则集的形成和保持
• 4.4.1 活跃规则集的形成
• 4.4.2 活跃规则集的保持
• 4.5 本章小结
• 5 算法改进实现与性能测试
• 5.1 Snort包处理流程
• 5.2 Snort部分源代码分析
• 5.2.1 Snort 2.40主程序
• 5.2.2 快速匹配引擎的创建（FPDE）
• 5.2.3 规则的编译
• 5.2.4 其他相关函数的分析
• 5.2.5 要修改的函数分析
• 5.3 算法改进实现
• 5.3.1 搭建编译环境及调试
• 5.3.2 代码修改的思想
• 5.3.3 具体修改的代码
• 5.4 算法改进性能测试
• 5.4.1 测试工具profile的使用
• 5.4.2 DARPA与IDS测试理论
• 5.4.3 性能改进对比测试结果
• 5.5 本章小结
• 6 总结与展望
• 6.1 总结
• 6.2 展望
• 致谢
• 参考文献
• 在校学习期间所发表的论文和参加的项目