基于IPv6的入侵檢測系統(tǒng)研究和設計.pdf

1、IPv6協(xié)議是在充分考慮IPv4協(xié)議缺陷的基礎上設計的，已經(jīng)得到越來越多的研究和應用。相應的有關IPv6網(wǎng)絡安全問題的研究已經(jīng)成為人們關注的新熱點。入侵檢測技術作為一種有效的網(wǎng)絡內(nèi)部安全防護技術一直受到人們的青睞，但目前還沒有成熟的IPv6下入侵檢測系統(tǒng)產(chǎn)品，因此，基于IPv6入侵檢測系統(tǒng)的研究具有十分重要的理論意義和實際應用意義。
　　 本文在深入分析IPv4網(wǎng)絡中入侵檢測系統(tǒng)的基礎上，通過總結(jié)IPv6網(wǎng)絡安全的特征，結(jié)合IP

2、v6協(xié)議分析、混合式入侵檢測以及基于規(guī)則的模式匹配等技術，設計了基于IPv6的混合式入侵檢測系統(tǒng)(Mixed IPv6 Intrusion Detection System，Mv6IDS)的總體架構(gòu)，并結(jié)合對開源軟件Snort的分析，給出該系統(tǒng)的具體實現(xiàn)過程。本文主要研究內(nèi)容如下：
　　 1、針對基于主機的入侵檢測系統(tǒng)和基于網(wǎng)絡的入侵檢測系統(tǒng)的不足之處，比如前者只能監(jiān)視被保護主機本身，后者只能檢測出已有的入侵行為且無法檢測IPv

3、6網(wǎng)絡中IPSec加密的數(shù)據(jù)包，本文設計了基于主機和網(wǎng)絡的相結(jié)合的分布式總體架構(gòu)，它的優(yōu)點是既能發(fā)現(xiàn)網(wǎng)絡中的攻擊信息，也能從系統(tǒng)日志中發(fā)現(xiàn)異常情況。
　　 2、針對誤用檢測技術和異常檢測技術的優(yōu)缺點互補性，比如前者對新的入侵方法無能為力導致容易漏報，后者過于依賴系統(tǒng)正常工作日志導致容易誤報，本文采用誤用和異常檢測的混合式檢測手段以提高對入侵的識別率。
　　 3、針對現(xiàn)有IPv6環(huán)境下的入侵檢測系統(tǒng)不能處理IPSec協(xié)議中

4、使用ESP加密的數(shù)據(jù)包的缺陷，本文在對IPv6協(xié)議分析的基礎上，設計了DecodeESP()函數(shù)以及其密鑰管理方法，并將它們添加在Snort的協(xié)議解析模塊中實現(xiàn)，從而解決IPv6中IPSec加密數(shù)據(jù)無法被檢測的問題。由于加密數(shù)據(jù)的解密需要通信雙方進行密鑰等相關信息的傳遞，所以此處的改進主要應用在基于主機的入侵檢測系統(tǒng)中，本文中將其添加在HIDS子系統(tǒng)中實現(xiàn)。
　　 4、針對Snort規(guī)則匹配算法——BM算法檢測效率上的不足，提出

5、了一種改進方案，主要是通過對數(shù)據(jù)串中下一個字節(jié)作為匹配基礎的方法，加快了匹配時字符串的偏移量從而提高了匹配效率，并將該算法應用到檢測引擎模塊中實現(xiàn)。
　　 總的來說，本文設計的Mv6IDS由NIDS子系統(tǒng)、HIDS子系統(tǒng)、監(jiān)控平臺子系統(tǒng)、響應子系統(tǒng)和防火墻聯(lián)動子系統(tǒng)組成。理論上它能夠使檢測效率、誤報率和漏報率的減少、對IPv6下加密數(shù)據(jù)的入侵檢測、安全防御(與防火墻聯(lián)動)等性能得到一定的改進；而在實現(xiàn)上，本文給出了NIDS、HI