面向网络预警的并行模式匹配方法研究

论文摘要

网络预警系统是实现网络安全主动防护的重要工具。网络预警系统基于网络安全态势感知信息,其中入侵检测系统是网络安全态势感知信息的重要来源,但现有入侵检测系统的性能难以满足现实要求。模式匹配是入侵检测系统的性能瓶颈所在。为提高入侵检测中模式匹配的速度,人们从不同角度开展了大量研究工作,但是仍有许多问题没有得到解决。本文综合考虑了性能与成本的因素,深入研究了入侵检测系统中的模式匹配问题,工作的主要内容和创新点包括:1、研究了当前针对入侵检测系统进行模式匹配加速的四种基本方法,并对这些方法的优缺点和适用范围进行了评价与比较。2、从课题的背景出发,对Snort进行了性能瓶颈分析。首先利用工具gprof获取了Snort运行过程中各函数消耗的时间以及函数间的调用关系等信息;同时设计实现了一个对源码结构自适应的性能分析辅助工具和一个以图形化方式展现特定函数调用关系的工具。分析结果证实,在Snort中,模式匹配消耗的时间占总处理时间的一半以上,是系统性能瓶颈所在。3、提出了一种基于GPU的并行模式匹配方法。该方法将模式集划分与文本划分结合起来,采用更为有效的数据访问和数据管理方式,同时探讨了其中的负载均衡问题,以实现快速的模式匹配。实验表明,该方法相比CPU上的实现有较大的提高,加速比约为7。与另一种在GPU上的实现Gnort相比,在模式集合更大的情况下也有一定优势。4、提出了一种基于缩减模式集的预过滤方法。根据统计分析的结论,使用长度为2字节的模式子串做为过滤模式的候选集合。然后给出缩减候选集合问题的0-1整数线性规划形式,再利用LINGO软件来求解。在Snort的模式集合上进行的实验表明,通过优化,过滤模式集合大大缩减,同时提高了过滤率。5.从网络预警系统的需要出发,构建了网络安全态势信息收集平台。首先探讨了平台的总体架构,给出了现有原型系统的基本情况。然后分别描述了平台中入侵检测预处理模块和基于入侵检测的态势信息收集模块的实现。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 研究背景
• 1.1.1 网络预警的意义
• 1.1.2 网络预警需要高速入侵检测
• 1.1.3 高速入侵检测需要快速模式匹配
• 1.2 研究现状
• 1.2.1 基于专有硬件技术的快速模式匹配技术
• 1.2.2 基于网络处理器的快速模式匹配技术
• 1.2.3 基于GPU 的快速模式匹配技术
• 1.2.4 基于预过滤的快速模式匹配技术
• 1.2.5 评价与比较
• 1.3 研究内容
• 1.3.1 入侵检测性能瓶颈分析
• 1.3.2 基于GPU 的并行模式匹配方法研究
• 1.3.3 基于缩减模式集的预过滤方法研究
• 1.3.4 面向预警的网络安全态势信息收集平台的构建
• 1.4 研究成果
• 1.5 论文结构
• 第二章 入侵检测性能瓶颈分析及辅助工具研制
• 2.1 引言
• 2.2 基于gprof 的性能分析
• 2.2.1 性能分析工具gprof
• 2.2.2 使用gprof 进行性能分析
• 2.2.3 性能分析结果
• 2.3 一种自适应的性能瓶颈分析辅助工具
• 2.3.1 Snort 的源码结构
• 2.3.2 Makefile Modifier 的设计与实现
• 2.4 一种图形化的调用关系描述工具
• 2.4.1 Dot 与Graphviz
• 2.4.2 调用关系图的生成——Call-Graph Generator
• 2.5 分析结论
• 第三章 基于GPU 的并行模式匹配方法
• 3.1 引言
• 3.1.1 CPU 多核并行
• 3.1.2 GPU 的发展
• 3.1.3 CUDA 编程模型
• 3.2 文本划分和模式集划分相结合的并行模式匹配方法
• 3.2.1 可并行性分析
• 3.2.2 方法的算法基础
• 3.2.3 混合并行模式匹配方法HPSMM
• 3.2.4 HPSMM 分析
• 3.3 负载均衡策略的研究
• 3.3.1 针对文本划分的负载均衡策略
• 3.3.2 针对模式集划分的负载均衡策略
• 3.4 实验结果及分析
• 3.5 小结
• 第四章 基于缩减模式集的预过滤方法
• 4.1 引言
• 4.2 基于子串的过滤方法
• 4.2.1 关于子串的统计分析
• 4.2.2 基于2 字节子串的预过滤器
• 4.3 基于0-1 整数线性规划的过滤模式集缩减方法
• 4.3.1 基本思想
• 4.3.2 基于0-1 整数线性规划的优化
• 4.4 实验结果与分析
• 4.4.1 过滤子模式提取及BILP 优化
• 4.4.2 预过滤效果
• 4.4.3 基于缩减过滤模式集的预过滤分析
• 4.5 小结
• 第五章 面向预警的网络安全态势信息收集平台
• 5.1 平台总体结构
• 5.2 收集平台中入侵检测预处理模块
• 5.2.1 预过滤的两个实现版本
• 5.2.2 针对预过滤优化的匹配方法
• 5.3 基于入侵检测的态势信息收集模块
• 5.4 小结
• 结束语
• 致谢
• 参考文献
• 作者在学期间取得的学术成果