基于网络处理器的分布式入侵检测系统研究与设计

论文摘要

随着计算机和网络技术的迅速发展，网络安全成为世界各国共同关注的焦点。入侵检测技术是继传统的安全保护措施之后新一代的安全保障技术。作为信息安全保障中的一个重要环节，它很好地弥补了访问控制、身份认证等传统机制所不能解决的问题，对计算机和网络资源上的恶意访问行为进行识别和响应。入侵检测已经成为当前网络安全技术领域内的一个研究热点。在前人对入侵检测研究的基础上，本文主要提出了构建一个基于网络处理器的分布式网络入侵检测系统——DNIDS的设计方法和具体实现。DNIDS采用网络处理器IXP2400作为硬件平台，充分利用网络处理器IXP2400处理速度快和可编程的特点，结合高效的基于TCAM的模式匹配算法，利用基于协议分析的入侵检测技术，分析来自网络外部的入侵攻击以及内部的未授权行为，提供实时报警和自动响应，实现一个高性能、分布式的入侵检测和预警系统。针对入侵检测的关键技术，文章主要从以下三个方面开展了研究工作：第一，基于TCAM的模式匹配算法。对于基于误用的入侵检测，模式匹配算法是至关重要的，它的性能将直接影响到入侵检测系统的快速性和准确性。本文提出了一种基于TCAM的模式匹配高效算法，它较好的避免了传统入侵检测算法由于规则增加导致的性能下降，提高了模式匹配的速度。第二，协议分析算法。协议分析有效地利用了网络协议的层次性和相关协议的知识，能快速、准确地判断攻击特征是否存在，利用协议分析可以大大减小模式匹配的计算量，提高匹配的精确度、检测速度、检测率，减少误报率。第三，分布式入侵检测系统通信组件。为了适应分布式入侵检测系统报警信息量大、实时通信、安全性要求高的特点，设计并实现了分布式入侵检测系统通信组件。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 研究背景
• 1.2 国内外研究现状
• 1.3 研究思路及内容
• 1.4 本文内容组织
• 第二章 入侵检测相关技术研究
• 2.1 网络安全概论
• 2.2 入侵检测方法
• 2.3 入侵响应机制
• 2.4 入侵检测系统体系结构
• 2.4.1 基于主机的入侵检测系统
• 2.4.2 基于网络的入侵检测系统
• 2.4.3 基于分布式的入侵检测系统
• 2.5 网络处理器及TCAM
• 2.5.1 网络处理器
• 2.5.2 IXP2400
• 2.5.3 TCAM
• 第三章 分布式入侵检测系统总体设计
• 3.1 系统总体结构
• 3.1.1 系统总体结构
• 3.1.2 系统数据处理流程
• 3.1.3 系统体系结构
• 3.1.4 系统网络部署
• 3.2 传感器子系统设计
• 3.2.1 网络处理器应用架构
• 3.2.2 传感器子系统总体结构
• 3.2.3 入侵检测过程
• 3.2.4 数据平面层设计
• 3.3 控制中心服务端子系统设计
• 3.3.1 控制中心服务端子系统总体结构
• 3.3.2 警报处理
• 3.3.3 防火墙联动
• 3.4 控制中心客户端子系统设计
• 3.4.1 控制中心客户端子系统总体结构
• 3.4.2 实时报警
• 3.4.3 传感器管理
• 3.4.4 规则库管理
• 3.4.5 统计分析
• 第四章 分布式入侵检测系统关键技术研究
• 4.1 基于TCAM的高效模式匹配算法
• 4.1.1 长模式的划分
• 4.1.2 数据结构
• 4.1.3 模式匹配过程
• 4.1.4 算法分析
• 4.2 入侵检测协议分析算法
• 4.2.1 协议的基本结构
• 4.2.2 协议分析的内容
• 4.2.3 协议分析算法
• 4.2.4 协议分析实现过程
• 4.3 分布式入侵检测系统通信
• 4.3.1 IDMEF
• 4.3.2 IDXP
• 4.3.3 系统通信设计
• 4.3.4 系统通信实现
• 4.3.5 安全性分析
• 第五章 总结与展望
• 5.1 全文总结
• 5.2 研究展望
• 参考文献
• 致谢
• 作者攻读硕士学位期间的主要研究成果