基于NEL的IPS協(xié)議解析引擎的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、隨著計(jì)算機(jī)網(wǎng)絡(luò)和應(yīng)用的迅速發(fā)展，網(wǎng)絡(luò)安全問題也日益突出。曾經(jīng)作為最主要的安全防范手段的防火墻和入侵檢測系統(tǒng)(Intrusion Detection System，IDS)，已經(jīng)不能滿足人們對網(wǎng)絡(luò)安全的需求。在這種情況下，一種全新的技術(shù)一入侵防御系統(tǒng)(IntrusionPrevention System，IPS)應(yīng)運(yùn)而生。入侵防御系統(tǒng)不但能檢測入侵的發(fā)生，而且能實(shí)時(shí)地中止入侵行為的延續(xù)和發(fā)展，實(shí)時(shí)地保護(hù)信息系統(tǒng)。 本文描述了基于

2、NEL (Neteye Event Language)的入侵防御系統(tǒng)的結(jié)構(gòu)和原理，并設(shè)計(jì)和完成了基于NEL 的入侵防御系統(tǒng)中的核心模塊一協(xié)議解析引擎。在本協(xié)議解析引擎的開發(fā)中，采用了東軟的NEL語言開發(fā)平臺，將IPS的開發(fā)引入了一個(gè)全新的階段。協(xié)議解析引擎分為兩大類：基于TCP的應(yīng)用層協(xié)議解析引擎和基于UDP的應(yīng)用層協(xié)議解析引擎，本文的核心部分設(shè)計(jì)和實(shí)現(xiàn)了兩個(gè)典型協(xié)議的協(xié)議解析引擎-FTP(FileTransfer Protocol)協(xié)

3、議解析引擎和DNS(Domain Name System)協(xié)議解析引擎。 協(xié)議解析引擎由協(xié)議分析引擎和事件檢測引擎兩部分組成。協(xié)議分析引擎是用C語言實(shí)現(xiàn)的，它的主要功能是依據(jù)RFC文檔，對IPS截獲到的數(shù)據(jù)包進(jìn)行詳細(xì)解析和檢查，并提取協(xié)議關(guān)鍵元素，封裝成原子事件，提交給事件檢測引擎。事件檢測引擎根據(jù)RFC文檔中的規(guī)定，使用NEL語言書寫了一些協(xié)議限制規(guī)則和攻擊檢測規(guī)則，從而實(shí)現(xiàn)了協(xié)議異常檢測，并在檢測和分析的基礎(chǔ)上，采取必要的