基于模式匹配与协议分析的分布式入侵检测研究

论文摘要

入侵检测作为新一代保障网络安全的技术,在近年来得到了广泛的重视和研究。入侵检测系统和防火墙的相互配合大大加强了整个网络环境的安全。入侵检测不但能够检测出来自网络外部的攻击,而且能够发现来自网络内部的非法活动。因此,入侵检测技术已经成为网络安全领域一个研究的热点。本文针对大型的分布式网络,提出了一个基于网络的分布式入侵检测系统模型,并且设计实现了一个基于网络的入侵检测系统。同时,针对分布式入侵检测系统的单点失效问题给出了解决方案。本文分析了Snort检测规则树的逻辑结构,采用了改进的规则树,通过实例的形式验证了改进后的规则树能够明显降低规则匹配的次数。同时,对BM模式匹配算法的匹配顺序和好后缀规则进行了改进和实现,通过实例和程序验证了改进后的BM算法能够减少模式串的滑动次数和字符的匹配次数,提高了模式匹配的速度,最后,以VC++的形式给出了改进后的BM算法的实现过程。此外,根据TCP协议的特点,采用了状态协议分析的方法,并且分析了如何在状态协议分析过程中设置时间间隔ΔT和阈值N,并证明了ΔT和N之间存在着正比例关系:ΔT = kN （ k> 0）。另外,本文所实现的基于网络的入侵检测系统对网络中相关协议数据包的数量进行了统计,方便监视网络中相关协议流量的变化情况。为了方便查看协议分析和入侵检测的结果,将不同协议的分析结果和入侵检测的结果显示在不同的列表中,并且能够对数据进行备份。同时,协议确认模块的过滤功能减轻了系统的负担,提高了入侵检测系统本身的安全性。

论文目录

• 摘要
• Abstract
• 第一章 绪论
• 1.1 入侵检测研究背景及意义
• 1.2 相关工作
• 1.3 入侵检测技术的分类
• 1.3.1 按分析方法分类
• 1.3.2 按信息源分类
• 1.3.3 按体系结构分类
• 1.4 入侵检测原理
• 1.4.1 入侵检测系统的基本结构
• 1.4.2 入侵检测系统的部署
• 1.5 论文组织结构
• 第二章 协议分析的研究与实现
• 2.1 协议分析原理
• 2.1.1 数据包封装与分解
• 2.1.2 协议分析模型
• 2.2 协议分析具体实现
• 2.2.1 数据包捕获
• 2.2.2 协议确认
• 2.2.3 协议解析
• 2.3 本章小结
• 第三章 分布式入侵检测系统模型设计
• 3.1 DIDS的结构
• 3.1.1 DIDS的拓补结构
• 3.1.2 DIDS的体系结构
• 3.2 NIDS 的设计
• 3.3 NDIDS模型设计
• 3.3.1 NIDS的注册和注销
• 3.3.2 融合器的内部结构
• 3.3.3 融合器单点失效问题
• 3.3.4 管理器的内部结构
• 3.4 本章小结
• 第四章 入侵检测模块详细设计
• 4.1 检测规则
• 4.1.1 规则的描述
• 4.1.2 规则树的逻辑结构
• 4.2 模式匹配
• 4.2.1 BM（Boyer Moore）算法原理
• 4.2.2 BM算法的改进与实现
• 4.3 状态协议分析
• 4.3.1 状态协议分析技术
• 4.3.2 TCP 状态协议分析
• 4.4 其它检测方法
• 4.5 本章小结
• 第五章 系统测试
• 5.1 实验环境
• 5.2 实验内容
• 5.2.1 协议分析测试
• 5.2.2 TCP SYN扫描测试
• 5.2.3 TCP SYN FLOOD攻击测试
• 5.2.4 数据备份测试
• 5.3 本章小结
• 第六章 总结与展望
• 6.1 总结
• 6.2 展望
• 参考文献
• 发表论文和科研情况说明
• 致谢