基于Snort的混合入侵檢測系統(tǒng)的研究與實現(xiàn).pdf

1、近年來,Internet的快速發(fā)展大大推進了社會生活和經(jīng)濟文化等的發(fā)展進程,人類在享受計算機網(wǎng)絡(luò)給我們帶來的方便和快捷的同時,也越來越感覺到網(wǎng)絡(luò)安全問題給我們提出的嚴峻挑戰(zhàn),網(wǎng)絡(luò)犯罪日益嚴重。在這種情況下,反病毒軟件,防火墻技術(shù)和入侵檢測產(chǎn)品等相繼出現(xiàn),共同維護著現(xiàn)代網(wǎng)絡(luò)的安全運行,在網(wǎng)絡(luò)安全技術(shù)的不斷發(fā)展的今天,如何使網(wǎng)絡(luò)安全防御體系從被動變?yōu)橹鲃右呀?jīng)成為專家學者們研究的新內(nèi)容,而入侵檢測技術(shù)是這一研究內(nèi)容的主要研究對象,因此,入侵檢

2、測技術(shù)已經(jīng)成為網(wǎng)絡(luò)安全體系結(jié)構(gòu)中不可或缺的一部分。
　　 Snort入侵檢測系統(tǒng)是一種著名的開源入侵檢測系統(tǒng),能夠有效保護系統(tǒng)信息安全,深受網(wǎng)絡(luò)安全領(lǐng)域的重視,很多專家學者從事其研究和開發(fā)使用。隨著網(wǎng)絡(luò)資源逐漸增加、網(wǎng)絡(luò)流量不斷提高以及網(wǎng)絡(luò)攻擊類型變化多端,致使Snort不能滿足網(wǎng)絡(luò)發(fā)展的要求,從而漏掉一些復(fù)雜的網(wǎng)絡(luò)攻擊行為,給系統(tǒng)造成嚴重的安全隱患。因此,如何提高Snort的檢測效率,增強其檢測性能己成為入侵檢測領(lǐng)域研究的重要

3、內(nèi)容。
　　 本文在分析研究Snort系統(tǒng)的優(yōu)缺點的基礎(chǔ)上,利用其開源性和支持插件的優(yōu)勢,針對其對新的入侵行為無法檢測,漏報率較高以及檢測速度較低等問題,在Snort系統(tǒng)的基礎(chǔ)上結(jié)合目前入侵檢測中的數(shù)據(jù)挖掘技術(shù),提出一種基于Snort系統(tǒng)的混合入侵檢測系統(tǒng)模型。該系統(tǒng)模型是在Snort系統(tǒng)原有的基本功能模塊的基礎(chǔ)上增加了正常行為模式構(gòu)建模塊、異常檢測模塊、分類器模塊、規(guī)則動態(tài)生成模塊等擴展功能模塊。在Snort系統(tǒng)中增加動態(tài)規(guī)則

4、生成模塊,使得改進后的混合入侵檢測系統(tǒng)具有動態(tài)規(guī)則擴充機制,能夠檢測到新的入侵攻擊行為,彌補Snort典型的誤用型入侵檢測系統(tǒng)的缺點；在Snort系統(tǒng)中增加了正常行為模式挖掘模塊、異常檢測模塊,使改進后的混合入侵檢測系統(tǒng)同時具有誤用檢測和異常檢測的功能。從而提高檢測系統(tǒng)檢測效率。
　　 最后,根據(jù)系統(tǒng)設(shè)計模型,實現(xiàn)了一個基于Snort的混合入侵檢測系統(tǒng)。采用林肯實驗室的樣本數(shù)據(jù),利用Profile測試工具對改進后的系統(tǒng)進行了測試