誤用入侵檢測(cè)系統(tǒng)中高性能模式匹配部件的設(shè)計(jì)及實(shí)現(xiàn).pdf

1、近年來(lái)，計(jì)算機(jī)網(wǎng)絡(luò)以令人難以置信的速度向前發(fā)展，網(wǎng)絡(luò)技術(shù)日新月異，千兆以及萬(wàn)兆以太網(wǎng)絡(luò)正在逢勃興起，網(wǎng)絡(luò)入侵檢測(cè)方法面臨效率和速度的嚴(yán)峻挑戰(zhàn)。因?yàn)樗惴ㄐ蕟栴}，傳統(tǒng)的基于攻擊特征的模式匹配檢測(cè)技術(shù)存在著一些難以克服的缺點(diǎn)，如：匹配計(jì)算量巨大、易受欺騙、漏報(bào)警(false positive)較多等，難以適應(yīng)高速的網(wǎng)絡(luò)環(huán)境。為了降低模式匹配時(shí)的計(jì)算量，提高匹配速度，同時(shí)兼具一定的反欺騙能力，本文提出一種將協(xié)議分析方法、數(shù)據(jù)預(yù)處理手段與改良的

2、快速多模式匹配檢測(cè)算法相結(jié)合的解決方案，設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)高性能的模式匹配部件。 本文首先介紹了入侵檢測(cè)的相關(guān)概念、分類和入侵檢測(cè)算法，并從原理上、技術(shù)上介紹了目前廣泛使用的模式匹配檢測(cè)方法。針對(duì)單模式匹配算法在檢測(cè)中存在的弱點(diǎn)，結(jié)合協(xié)議分析方法提出了一種改良的多模式匹配算法，并在此基礎(chǔ)上設(shè)計(jì)出一種新的多模式匹配部件。主要工作包括：設(shè)計(jì)并實(shí)現(xiàn)了協(xié)議分析預(yù)處理子模塊，利用協(xié)議分析方法和預(yù)處理手段對(duì)捕獲的數(shù)據(jù)包進(jìn)行協(xié)議分類和防欺騙預(yù)處

3、理；設(shè)計(jì)并實(shí)現(xiàn)了規(guī)則處理子模塊，對(duì)規(guī)則的結(jié)構(gòu)進(jìn)行了重新的組織，將傳統(tǒng)的二維鏈表結(jié)構(gòu)加以改進(jìn)，提出了結(jié)構(gòu)更加合理的三維鏈表樹的概念；參照BM算法啟發(fā)式搜索的思想，提出了一種基于有限狀態(tài)自動(dòng)機(jī)的快速多模式匹配算法——Fast_BM算法。本文對(duì)該算法進(jìn)行了理論上的性能分析，并以該算法為核心設(shè)計(jì)出了快速多模式匹配子模塊。本部件采用C語(yǔ)言撰寫源代碼，可移植性較好。最后，以Darpa1999年測(cè)試數(shù)據(jù)集作為實(shí)驗(yàn)的測(cè)評(píng)數(shù)據(jù)，測(cè)試本部件對(duì)Snort檢測(cè)