基于协议分析的网络入侵检测系统的研究与设计

论文摘要

入侵检测作为一种积极主动的安全防护技术，能够对网络中发生的安全事件和网络中存在的安全漏洞进行主动实时的检测，更加有效地保护被监测网络的安全。随着Internet应用的日益普及，基于网络的入侵检测也越来越受到重视。但是基于网络的入侵检测系统也面临诸多挑战，例如：如何提高入侵检测系统的检测速度，以适应网络通信的要求；如何减少入侵检测系统的漏报和误报来提高其安全性和准确度等。 本文首先介绍了网络安全问题、入侵检测的原理和IDS(Intrusion DetectionSystem)的一般模型；然后重点对基于网络的入侵检测系统的关键技术进行了研究，提出了一种基于协议分析的入侵检测系统的模型，并详细讨论了其主要部分的实现研究。 本文主要在协议分析的深度上对入侵检测系统进行了研究和改进，采取了应用层协议分析技术，极大地提高检测准确性和效率，更能带来基于协议分析的异常检测能力。除此之外，还提出了基于策略脚本的入侵检测方法，网络数据包经过事件生成引擎和规则引擎被抽象成一系列的事件，用策略脚本编写事件分析器来对这些事件进行深入分析。基本事件本身就可以触发告警，策略脚本分析基本事件以后既可以生成新的事件也可以触发告警。用户可能根据自己的需要和网络的情况进行自定义编写，来实现具体的检测模块。

论文目录

• 第1章 引言
• 1.1 网络安全现状
• 1.2 传统网络安全机制的缺陷
• 1.3 网络动态防御模型PPDR和入侵检测的必要性
• 1.3.1 网络动态防御模型PPDR
• 1.3.2 入侵检测的必要性
• 1.4 国内外研究动态
• 1.5 本文的主要研究内容及论文结构
• 第2章 入侵检测系统概述
• 2.1 入侵检测及入侵检测系统的概念
• 2.2 入侵检测系统的原理
• 2.2.1 系统组成
• 2.2.2 系统的分类
• 2.2.3 系统通信协议
• 2.2.4 入侵检测系统的作用
• 2.3 入侵检测过程
• 2.4 入侵检测技术
• 2.4.1 异常检测
• 2.4.2 误用检测
• 2.5 入侵检测系统面临的主要问题及发展趋势
• 2.5.1 入侵检测系统面临的主要问题
• 2.5.2 入侵检测系统的发展趋势
• 第3章 基于协议分析的入侵检测系统设计
• 3.1 系统设计原理
• 3.2 系统总体结构图
• 3.3 系统的部署
• 3.3.1 检测器位置
• 3.3.2 数据源
• 第4章 协议事件生成引擎的设计与实现
• 4.1 TCP/IP协议分析基础
• 4.1.1 TCP/IP模型
• 4.1.2 数据包封装与分用
• 4.1.3 主要协议的数据包格式
• 4.2 协议分析实现过程
• 4.2.1 协议分析过程
• 4.2.2 解析以太网数据帧
• 4.2.3 解析IP数据包
• 4.2.4 解析TCP和UDP数据包
• 4.2.5 解析应用层协议
• 4.3 事件生成引擎
• 4.3.1 通用TCP连接事件（TCP Event）
• 4.3.2 UDP连接事件（UDP Event）
• 4.3.3 FTP连接事件（FTP Event）
• 4.3.4 Finger连接事件（Finger Event）
• 4.3.5 HTTP连接事件（HTTP Event）
• 4.3.6 POP3连接事件（POP3 Event）
• 第5章 入侵事件检测模块的设计与实现
• 5.1 入侵事件检测模块的设计
• 5.2 通用连接事件分析器
• 5.2.1 连接记录集
• 5.2.2 通用连接函数
• 5.2.3 TCP和 UDP分析器
• 5.3 应用层分析器
• 5.3.1 FTP分析器
• 5.3.2 Finger分析器
• 5.3.3 HTTP分析器
• 结论
• 致谢
• 参考文献