基于Snort的混合入侵檢測模型在網(wǎng)絡(luò)靶場中的應(yīng)用研究.pdf

1、網(wǎng)絡(luò)靶場是一個仿真的網(wǎng)絡(luò)安全、攻防演練、人員培訓(xùn)的虛擬訓(xùn)練場，其目的是提升訓(xùn)練人員的網(wǎng)絡(luò)攻防技能。靶場模擬訓(xùn)練時會產(chǎn)生網(wǎng)絡(luò)攻防流量，對這些攻防流量的檢測與記錄一般是通過入侵檢測系統(tǒng)來實現(xiàn)的。實時檢測和日志記錄是入侵檢測系統(tǒng)的兩大核心功能，實時檢測網(wǎng)絡(luò)數(shù)據(jù)包的功能能夠捕獲到網(wǎng)絡(luò)攻防對抗演練中產(chǎn)生的入侵行為，作用就如同攻防對抗的記錄儀一樣反映著演練的情況；日志記錄功能提供的日志數(shù)據(jù)則為攻防訓(xùn)練的展示及評價提供了很好的依據(jù)。靶場跟蹤系統(tǒng)能準(zhǔn)確

2、檢測并實時展示攻防演練情況，其主要利用的就是入侵檢測系統(tǒng)的這兩大核心功能。正因為此，入侵檢測系統(tǒng)是靶場跟蹤系統(tǒng)的重要組成部分。綜合考慮成本與技術(shù)因素，著名入侵檢測系統(tǒng)Snort以其開源和免費(fèi)的優(yōu)勢而被網(wǎng)絡(luò)訓(xùn)練靶場跟蹤系統(tǒng)選用。在實際的運(yùn)用過程中，Snort表現(xiàn)出了很多缺陷和問題，但因Snort開放靈活的特點，擁有巨大的改進(jìn)空間，是非常值得研究的。
　　該文為改進(jìn)Snort在靶場跟蹤系統(tǒng)中的應(yīng)用性能展開研究。首先，對入侵檢測的發(fā)展概

3、況及Snort的應(yīng)用現(xiàn)狀進(jìn)行了深入分析，分析了Snort固有的缺點；其次，論文對現(xiàn)有Snort系統(tǒng)的體系結(jié)構(gòu)、各主要功能模塊及其檢測機(jī)制進(jìn)行了詳細(xì)分析，并研究了運(yùn)用到入侵檢測中的數(shù)據(jù)挖掘技術(shù)；針對靶場中攻防訓(xùn)練較多時，Snort檢測效率低下，不能將監(jiān)控產(chǎn)生的日志及時送達(dá)跟蹤系統(tǒng)展示給考核人員的問題，為Snort設(shè)計了一個異常檢測模塊，用來過濾掉大量正常網(wǎng)絡(luò)流量，以提升檢測效率；針對訓(xùn)練人員會在靶場環(huán)境中不斷嘗試新攻擊的現(xiàn)象，為Snort