Snort檢測(cè)引擎中檢測(cè)算法的研究與改進(jìn).pdf

1、近年來(lái)，互聯(lián)網(wǎng)的爆炸式發(fā)展，給人類(lèi)社會(huì)、經(jīng)濟(jì)、文化等帶來(lái)了無(wú)限的機(jī)遇，同時(shí)也給信息安全帶來(lái)嚴(yán)峻挑戰(zhàn)。人們采用反病毒，防火墻和入侵檢測(cè)等技術(shù)手段來(lái)保證網(wǎng)絡(luò)信息安全。隨著網(wǎng)絡(luò)安全技術(shù)的不斷發(fā)展，入侵檢測(cè)技術(shù)已經(jīng)成為網(wǎng)絡(luò)安全體系結(jié)構(gòu)中不可或缺的一部分。 Snort入侵檢測(cè)系統(tǒng)作為一種著名的開(kāi)源網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，能夠有效保護(hù)系統(tǒng)信息安全，在業(yè)界得到了廣泛研究和使用。Snort的檢測(cè)原理采用簡(jiǎn)單的模式匹配策略。但隨著網(wǎng)絡(luò)帶寬不斷提高，以及

2、網(wǎng)絡(luò)攻擊種類(lèi)的急劇增加，致使Snort的檢測(cè)任務(wù)越來(lái)越重，從而有可能漏掉一些造成嚴(yán)重后果的網(wǎng)絡(luò)攻擊行為。因此，設(shè)計(jì)高效的模式匹配算法對(duì)于提高入侵檢測(cè)系統(tǒng)的性能有很大意義。 本論文以Snort為研究對(duì)象，開(kāi)展如下三方面的研究工作： 1）在介紹Snort基于規(guī)則驅(qū)動(dòng)基本理論基礎(chǔ)上，系統(tǒng)分析Snort系統(tǒng)四大組成模塊的工作原理和流程；采用GNU profiler工具Gprof剖析Snort系統(tǒng)中各個(gè)主要函數(shù)在系統(tǒng)運(yùn)行過(guò)程中所占

3、時(shí)間的百分比，得出模式匹配算法是Snort系統(tǒng)性能瓶頸的結(jié)論。 2）分析Snort檢測(cè)引擎采用的BM、AC、MWM算法。針對(duì)Snort已有模式匹配算法已經(jīng)成為Snort性能瓶頸的現(xiàn)狀，提出一種基于后綴樹(shù)自動(dòng)機(jī)的Snort檢測(cè)算法(Fast String Matching Algorithm, FSM)。該算法構(gòu)建一個(gè)后綴樹(shù)自動(dòng)機(jī)Suffix Automaton，匹配中應(yīng)用好后綴啟發(fā)機(jī)制進(jìn)行啟發(fā)跳躍，忽略不必要的比較，提高了檢測(cè)速