基于应用层协议识别的IDS研究与实现

论文摘要

随着网络的普及和快速发展,网络用户面临着日益严重的安全问题,网络入侵已经成为计算机安全和网络安全的最大威胁,应运而生的网络入侵检测成为当前的研究重点和热点。入侵检测系统是继防火墙、数据加密等传统安全保护措施后新一代的安全保障技术。它对计算机和网络资源上的恶意使用行为进行识别和响应,它不仅检测来自外部的入侵行为,同时也监督内部用户的未授权活动,入侵检测技术是一种主动的网络安全防护技术。目前,网络入侵检测系统面临着诸多挑战,网络攻击向应用层的趋势已近十分的明显,传统的网络入侵检测方法基于传输层以下的数据包特性来检测入侵,因此存在一些难以克服的缺点,例如运行效率低、易受欺骗、误报警多、检测效率差等,难以适应目前的网络环境。目前的基于协议分析网络入侵检测系统对应用层协议的识别仍然处在一种研究的阶段,一般对应用层协议的识别都是基于端口的判别,这种识别有很大的局限性,有些注册的端口号被多个应用程序所使用,有些协议的实现不依赖于某些固定的端口而是完全随机的选择监听端,因此应用层协议基于端口的识别算法的准确率已近低于50%,即错误率高于准确率。而且应用层总是不断的有新的协议加入,这些协议很多都不在IANA中注册使用的端口,更使得基于端口的应用层协议识别不可行。本文通过对几类协议识别算法的研究,提出了一种基于端口的识别的改进方法,并结合特征串来识别应用层协议,形成了一种应用层识别的新的模式,在时间复杂度变化不大的情况下,大大的提高了应用层协议识别的准确率。并且,用户根据自己的需要可以增加和减少应用层的协议。同时,结合了现有的基于协议分析网络入侵检测系统,改进了原有入侵检测系统的框架,在进行入侵的规则匹配之前先对数据包进行了应用层协议识别,并且把入侵检测的规则库和协议列表建立了链表,通过协议识别的结果,和改进的侵检测的规则库进行匹配,减少了匹配的次数,提高了入侵检测识别,减少可误报率准确率。最后,本文采用目前应用最广泛的开源网络入侵检测系统snort作为实验平台,对采用应用层协议识别技术的IDS的新系统模型与snort对入侵检测的准确率和性能进行了比较,实验结果表明新系统模型相比snort在应用层入侵方面具有更高的检测速度、更好的准确率和较好的可用性。

论文目录

• 摘要
• ABSTRACT
• 1 绪论
• 1.1 课题背景及问题陈述
• 1.2 国内外研究现状
• 1.2.1 入侵检测系统现状
• 1.2.2 应用层入侵检测技术现状
• 1.3 本文研究工作简介
• 2 入侵检测系统研究
• 2.1 入侵检测系统的定义及原理
• 2.1.1 入侵检测的定义
• 2.1.2 入侵检测系统的原理
• 2.1.3 入侵检测的标准化
• 2.2 入侵检测系统的分类
• 2.2.1 基于主机的入侵检测系统（HIDS）
• 2.2.2 基于网络的入侵检测系统（NIDS）
• 2.2.3 分布式入侵检测系统（DIDS）
• 2.3 入侵检测技术
• 2.3.1 误用入侵检测技术
• 2.3.2 异常检测技术
• 2.4 入侵检测系统面临的主要问题
• 2.5 入侵检测技术的发展趋势
• 2.6 小结
• 3 应用层协议识别IDS 的关键技术分析和改进
• 3.1 数据捕获技术的分析
• 3.1.1 WinPcap 的功能和结构
• 3.1.2 用户层wpcap.dll 和packet.dll 分析
• 3.1.3 内核层NPF
• 3.2 应用层协议识别方法的改进
• 3.2.1 协议解析的过程
• 3.2.2 应用层协议识别算法的研究
• 3.2.3 基于端口的应用层识别方法的改进
• 3.2.4 基于负载的应用层协议识别方法的改进
• 3.3 IDS 结构改进方案
• 3.3.1 改进的目标
• 3.3.2 改进的方案
• 3.4 小结
• 4 应用层协议识别IDS 的原型实现
• 4.1 需求描述及分析
• 4.2 应用层协议识别模块实现
• 4.2.1 协议的插件的实现
• 4.2.2 应用层协议识别
• 4.2.3 应用层协议类结构
• 4.3 系统设计
• 4.3.1 系统总体设计模型
• 4.3.2 数据包捕获模块
• 4.3.3 基本协议分析模块
• 4.3.4 检测引擎模块
• 5 实验结果及分析比较
• 5.1 IDS 评价指标
• 5.2 实验案例设计
• 5.3 测试结果及其分析
• 5.4 小结
• 6 结束语
• 6.1 本文工作总结
• 6.2 未来研究展望
• 致谢
• 参考文献
• 附录