IDS协议解码的研究及降低误报率的实现

论文摘要

随着互联网技术的广泛应用和飞速发展，计算机网络已经作为现代信息社会的公共基础设施，深入到人们工作和生活的各个层面。与此同时，计算机网络安全问题也日益严峻，单靠传统的防火墙技术已经无法满足当前的网络安全需求，因此作为防火墙的合理补充，网络安全的一个重要组成部分入侵检测系统(Intrusion Detection System)成为了研究热点。然而由于IDS技术尚未成熟，在使用的过程中出现了误报率过高的问题，管理员很难从海量的报警信息中识别出哪些是真正有威胁的攻击。面对这样的情况，人们对IDS的性能开始表现出质疑。针对当前IDS面临的困境，本文提出了引进包过滤技术来解决IDS误报率过高问题。本文首先对入侵检测技术和基于特征的轻量级网络入侵检测系统snort做了介绍，并对snort系统的协议解码模块做了分析研究。随后提出了一个增加了包过滤模块的snort系统模型，并且基于本实验的网络环境制定了包过滤规则，并用C语言实现了包过滤模块。最后对改进后的系统进行了评估，评估结果表明增加了包过滤模块的snort系统可以有效的降低误报率。此外本文还对入侵检测分析控制台(ACID)的查询显示页进行了改进，改进后的ACID能够显示报警的危险等级，更有利于管理员对报警的识别与管理。

论文目录

• 摘要
• ABSTRACT
• 目录
• 图表目录
• 第一章 引言
• 1.1 研究背景
• 1.2 本文研究内容与意义
• 第二章 入侵检测系统
• 2DR安全模型'>2.1 P²DR安全模型
• 2.2 入侵检测系统
• 2.2.1 入侵检测的研究历史
• 2.2.2 入侵检测的概念
• 2.2.3 入侵检测系统模型及分类
• 2.2.4 入侵检测的方法和技术
• 2.2.5 入侵检测发展趋势及其不足
• 第三章 snort系统
• 3.1 Snort概述
• 3.2 Snort体系结构
• 3.3 Snort功能模块分析
• 3.3.1 包捕获模块
• 3.3.2 协议解码模块
• 3.3.3 预处理模块
• 3.3.4 检测引擎
• 3.3.5 报警/日志模块
• 第四章 snort系统协议解码模块的研究
• 4.1 snort系统工作流程
• 4.2 snort协议解码模块
• 4.2.1 协议解码模块中用到的主要数据结构
• 4.2.2 以太网解码函数实现过程
• 第五章 降低IDS误报率的实现
• 5.1 包过滤技术的基本原理
• 5.2 误报问题的研究
• 5.2.1 IDS误报概述
• 5.2.2 造成误报的原因
• 5.2.3 目前解决IDS误报的方法
• 5.3 降低IDS误报率的实现
• 5.3.1 设计思路
• 5.3.2 snort系统运行环境的搭建
• 5.3.3 报警分析
• 5.3.4 过滤规则的制定
• 5.3.5 本实验用到的重要数据结构
• 5.3.6 实验结果评估
• 第六章 对ACID（入侵检测分析控制台）的改进
• 6.1 ACID简介
• 6.2 对ACID进行改进
• 第七章 总结与进一步工作
• 7.1 对本文工作的总结
• 7.2 进一步工作
• 附录
• 致谢
• 参考文献