入侵檢測系統(tǒng)的關鍵技術(shù)研究與實現(xiàn).pdf

1、入侵檢測作為一種積極主動的安全防護手段，在保護計算機網(wǎng)絡和信息安全方面發(fā)揮著重要的作用。隨著網(wǎng)絡的高速發(fā)展，各種入侵檢測的新技術(shù)如負載均衡，“零拷貝”，分布式隨之發(fā)展起來。 為了解決在高速網(wǎng)絡下，傳統(tǒng)的入侵檢測系統(tǒng)漏報率、誤報率偏高的問題，本文研究了數(shù)據(jù)切片和協(xié)議分析技術(shù)，并將數(shù)據(jù)切片和協(xié)議分析技術(shù)引入到入侵檢測系統(tǒng)：根據(jù)協(xié)議類型，在底層引入數(shù)據(jù)切片技術(shù)；根據(jù)協(xié)議規(guī)范，在上層引入?yún)f(xié)議分析技術(shù)，成功地提高了入侵檢測的速度和準確度。

2、 數(shù)據(jù)切片，就是將數(shù)據(jù)按照一定的策略，將從網(wǎng)絡中抽取出來的數(shù)據(jù)包，分流到多個切片設備，但分流不能是任意的，不能破壞網(wǎng)絡連接的完整性。設計中在切片設備和探測器之間加入一個基于IP(同時針對源IP和目標IP)的關鍵交換模塊，保證了連接的完整。 協(xié)議分析，就是利用協(xié)議數(shù)據(jù)包的報文格式信息，參照具體的協(xié)議規(guī)范，根據(jù)協(xié)議狀態(tài)來詳細的檢測報文中隱含的攻擊，對于認為異常的報文，再按照模式匹配的方法去匹配攻擊特征。協(xié)議分析主要包括協(xié)議解

3、碼和狀態(tài)跟蹤兩個部分，在協(xié)議分析之前，還有個協(xié)議識別的過程。 論文首先對入侵檢測進行了全方位的介紹，包括是入侵檢測的產(chǎn)生和發(fā)展、概念、分類，入侵檢測技術(shù)，入侵檢測系統(tǒng)和體系模型。隨后，介紹了高速網(wǎng)絡下，成熟的入侵檢測技術(shù)：負載均衡技術(shù)，“零拷貝”技術(shù)和分布式技術(shù)。然后，圍繞入侵檢測的兩個核心：檢測的速度(漏檢率)和準確度(誤檢率)，重點研究了數(shù)據(jù)切片和協(xié)議分析技術(shù)的原理、在降低漏檢率和誤檢率上的作用；根據(jù)所作工作，詳細介紹了數(shù)據(jù)

4、切片和協(xié)議分析技術(shù)的具體設計和實現(xiàn)，對主要功能模塊的實現(xiàn)情況重點進行分析、討論，并且以應用層協(xié)議SMTP的實現(xiàn)作為樣例，給出了實現(xiàn)代碼。最后，根據(jù)在模擬的網(wǎng)絡環(huán)境下測試的結(jié)果，對數(shù)據(jù)切片和協(xié)議分析技術(shù)在降低入侵檢測系統(tǒng)的漏檢率和誤檢率上起到的作用進行簡要評價。 本論文的主要結(jié)論如下：1)隨著網(wǎng)絡的高速發(fā)展，關鍵技術(shù)如負載均衡、“零拷貝”、分布式的引入，能有效的提高入侵檢測系統(tǒng)的檢測速度和準確度。 2)數(shù)據(jù)切片與協(xié)議分析作