高速网络中入侵检测引擎的研究与实现

论文摘要

面对着越来越复杂的网络环境,网络入侵检测成为网络安全设施中不可或缺的重要组成部分。然而,传统的入侵检测软件正在经历越来越大的考验。随着千兆以太网的普及,单机软件实现的检测引擎显得势单力孤,无法承受如此快速的数据流,而且网络攻击手段也越来越多,简单的数据包内容匹配和简单的协议分析已经无法适应新的安全需求。客观上需要一种能够适应大流量网络环境,并且能深入进行协议分析的检测软件的出现。入侵检测引擎是整个入侵检测软件的核心,它的效率很大程度上决定了系统的效率。引擎效率既可以通过采用高性能算法来提高,也可以通过引擎的硬件实现来提高,本系统通过负载均衡设备将网络数据流按照四元组信息进行分流,使用多台分析机进行检测处理,从而达到千兆网的要求。对于更大流量的网络环境,只需要并行更多台分析机即可以达到要求。与传统的基于单机引擎效率的改善,这种并行处理方式,能够灵活的配置以适用各种级别的网络环境。在提高引擎性能方面,系统采用协议分析和特征分析结合的方式。与传统协议分析不同之处在于,通过应用层的协议还原,引擎可以针对应用层协议进行分析,从而更大的提高了入侵检测软件的性能。本文介绍了一种简单的检测规则定义。借鉴以往成功案例,采取关键词解析方式执行规则。并且对规则数进行平滑,依照端口规则降低规则树高度,提高了规则的遍历速度。另外,通过采用规则依赖机制跟踪网络流中的攻击回话,降低了引擎的误报率,能够更加密切的跟踪网络的安全情况。在本文最后使用一些常用的软件测试方法对引擎进行了简单的测试工作,测试结果表明引擎的效率和性能达到了预想的水平,能够使用多种实际网络环境的需要。

论文目录

• 摘要
• Abstract
• 1 绪论
• 1.1 网络安全现状
• 1.2 国内外研究现状
• 1.3 本文的主要内容和结构
• 2 入侵检测系统概述
• 2.1 入侵检测基本概念
• 2.2 入侵检测系统的类型
• 2.3 入侵检测系统的监测策略
• 2.4 检测类型
• 2.5 模式匹配
• 3 入侵检测引擎的关键技术研究
• 3.1 技术瓶颈
• 3.2 检测速度优化
• 3.3 检测准确度优化
• 3.4 规则描述语言的优化
• 3.5 规则的使用
• 3.6 本章小结
• 4 入侵检测引擎的设计与实现
• 4.1 引擎整体设计
• 4.2 检测规则的设计
• 4.3 规则存储
• 4.4 规则结点
• 4.5 多模式匹配的算法实现
• 4.6 本章小结
• 5 检测引擎测试
• 5.1 测试环境
• 5.2 软件测试
• 6 总结与展望
• 6.1 论文总结
• 6.2 研究展望
• 致谢
• 参考文献