开源网络入侵检测系统snort的检测算法研究

论文摘要

检测引擎作为入侵检测系统(IDS)的核心模块,其检测速度快慢直接影响网络入侵检测系统的效率,模式匹配是入侵检测系统的重要检测方法,其性能对入侵检测系统至关重要。本文研究了入侵检测理论、开放源码的入侵检测系统Snort的架构及执行流程,详细分析了入侵检测系统常用得几种模式匹配算法,单模式BM算法、BMH算法、QS算法和多模式AC算法几种模式匹配算法,提出了一种改进的HAC多模式匹配算法,并分析了改进算法的时间复杂度和空间复杂度。改进算法可以同时进行多个模式的匹配,实现了在对文本一次扫描匹配过程中模式比较大的跳跃移动,可以更快地进行模式匹配。最后,对改进的算法进行了文本测试,实验表明改进的HAC算法在模式匹配速度方面的优势,可以用于网络入侵检测系统。

论文目录

• 摘要
• ABSTRACT
• 1 绪论
• 1.1 课题提出背景
• 1.2 国内外研究状况和发展趋势
• 1.2.1 几个相关概念
• 1.2.2 IDS发展历史
• 1.2.3 入侵检测技术分类
• 1.2.4 IDS中模式匹配算法研究现状
• 1.2.5 IDS研究的发展趋势
• 1.3 论文的主要工作及论文的结构
• 2 开源入侵检测系统SNORT
• 2.1 SNORT简介
• 2.1.1 基本情况
• 2.1.2 特点
• 2.1.3 协议分析技术简介
• 2.2 SNORT的规则
• 2.2.1 Snort的规则
• 2.2.2 规则头
• 2.2.3 规则选项
• 2.3 Snort的总体结构分析
• 2.3.1 总体结构
• 2.3.2 Snort源文件分组说明
• 2.4 Snort流程概要分析
• 2.4.1 初始化模块
• 2.4.2 数据包解码模块
• 2.4.3 预处理模块
• 2.4.4 处理模块
• 2.4.5 Snort系统流程总结
• 2.5 本章小结
• 3 字符串模式匹配算法研究
• 3.1 字符串模式匹配算法概述
• 3.2 模式匹配算法的分类
• 3.3 Snort检测引擎的模式匹配算法
• 3.3.1 Boyer-Moore算法
• 3.3.2 Boyer-Moore-Horspool（BMH）算法
• 3.3.3 Quick Search（QS）算法
• 3.3.4 Aho-Corasick（AC）算法
• 3.4 算法的改进
• 3.4.1 改进 HAC算法提出
• 3.4.2 改进的HAC算法思路
• 3.4.3 改进的HAC算法实现
• 3.5 HAC算法复杂性综合分析
• 3.6 本章小结
• 4 模式匹配算法测试
• 4.1 测试环境
• 4.2 测试过程
• 4.3 测试结果分析
• 5 结束语
• 5.1 本文的主要工作
• 5.2 进一步改进及展望
• 致谢
• 参考文献