基于負載均衡的分布式入侵檢測模型設(shè)計與分析.pdf

1、傳統(tǒng)的網(wǎng)絡(luò)安全技術(shù)如加密、防火墻、認證等只是靜態(tài)的網(wǎng)絡(luò)安全技術(shù)，不能適應(yīng)當前動態(tài)變化的網(wǎng)絡(luò)環(huán)境的情況下，這幾年來網(wǎng)絡(luò)入侵檢測技術(shù)作為一種動態(tài)網(wǎng)絡(luò)安全技術(shù)逐漸引起人們的重視。入侵檢測技術(shù)對計算機和網(wǎng)絡(luò)資源上的惡意使用行為進行識別和響應(yīng)：它不僅檢測來自外部的入侵行為，同時也可監(jiān)督內(nèi)部用戶的未授權(quán)活動。 然而由于入侵檢測技術(shù)自身的復(fù)雜性和不成熟性，在當前的大規(guī)模、分布式和高速的網(wǎng)絡(luò)環(huán)境中還存在很多的問題，如果不能夠得到很好地解決的話，

2、將嚴重影響入侵檢測技術(shù)的可用性與發(fā)展前景。目前，對千兆IDS來說，抓包是一個制約因素，對數(shù)據(jù)包的分析又是另外一個制約因素。 本文力圖從下面幾個方面來提高IDS的效率： 1.傳統(tǒng)的處理網(wǎng)絡(luò)數(shù)據(jù)包的方式由于網(wǎng)卡驅(qū)動程序運行在內(nèi)核空間，當網(wǎng)卡收到包以后，包會存放在系統(tǒng)內(nèi)核空間內(nèi)；但是由于上層應(yīng)用運行在用戶空間，無法直接訪問內(nèi)核空間，因此要通過系統(tǒng)調(diào)用往上層應(yīng)用系統(tǒng)送，這時候會發(fā)生一次復(fù)制過程。利用“零存儲”技術(shù)對傳統(tǒng)的抓包過程

3、進行改進：當網(wǎng)卡抓到數(shù)據(jù)包以后直接寫到共享內(nèi)存，這樣的一個處理過程減少了至少一次復(fù)制。同時減少了一次網(wǎng)卡驅(qū)動程序向用戶空間復(fù)制網(wǎng)絡(luò)數(shù)據(jù)包的系統(tǒng)調(diào)用。 2.由于分析主機的處理能力可能不完全一致，因此僅僅根據(jù)連接數(shù)進行負載均衡不會達到最佳的效果。為了讓所有分析主機既能共同分擔流量，同時又能實現(xiàn)網(wǎng)絡(luò)入侵檢測負載的均衡。本文提出基于應(yīng)用的動態(tài)最小負載優(yōu)先算法，根據(jù)數(shù)據(jù)包的應(yīng)用類型，將不同的數(shù)據(jù)發(fā)給配置相應(yīng)的分析策略的分析主機來提高IDS

4、的分析效率。 3.“協(xié)議分析”應(yīng)當是目前絕大多數(shù)IDS所宣稱采用的。但對千兆IDS來說，協(xié)議分析不僅僅是判斷是什么協(xié)議那么簡單了。要提高其性能和準確性，必須做到更深層次的協(xié)議分析。因此，在網(wǎng)絡(luò)分析引擎的實現(xiàn)上，本文提出了利用協(xié)議分析和模式匹配相結(jié)合的方法，有效減小目標的匹配范圍，提高了檢測速度。 4.在高速流量下，單純的單條規(guī)則匹配報文的匹配效率提高也不能完全適應(yīng)其要求，特別是現(xiàn)在的入侵檢測的規(guī)則模式在不斷增加，對每一個