高速網(wǎng)絡(luò)環(huán)境下的報文監(jiān)測.pdf

1、隨著各種網(wǎng)絡(luò)攻擊手段的多元化、復(fù)雜化、智能化,單純依賴傳統(tǒng)的操作系統(tǒng)加固技術(shù)和防火墻隔離技術(shù)等靜態(tài)防御已難以勝任網(wǎng)絡(luò)安全的需要.IDS作為動態(tài)安全技術(shù)之一,提供了實時的入侵檢測,并能做出記錄、報警、阻斷等反應(yīng),提供了更為積極的防御手段,近年得到快速的發(fā)展.高速局域網(wǎng)和光纖通信等新技術(shù)的應(yīng)用給網(wǎng)絡(luò)性能和流量帶寬帶來了巨大的增長.從最初以K為單位的網(wǎng)絡(luò)速度到10M/100M網(wǎng)絡(luò),到現(xiàn)在千兆網(wǎng)絡(luò),這些變革對IDS的處理性能提出了更高的要求.高

2、速網(wǎng)絡(luò)下的實時入侵檢測已經(jīng)成為入侵檢測研究領(lǐng)域的一個熱點和難點,而如何實現(xiàn)千兆環(huán)境下的實時報文監(jiān)測是提高入侵檢測能力的一個普遍問題.論文分別從操作系統(tǒng)內(nèi)核、網(wǎng)絡(luò)物理接口以及報文分類算法等方面分析和闡述了影響報文監(jiān)測性能的因素,提出優(yōu)化和改進(jìn)的方法和途徑,并實現(xiàn)一個適用于高速IP網(wǎng)絡(luò)環(huán)境的報文監(jiān)測模型.論文中首先介紹了報文監(jiān)測的研究背景以及發(fā)展現(xiàn)狀,提出了在高速網(wǎng)絡(luò)環(huán)境下報文采集的重要性和需求,并且明確了論文工作的研究目標(biāo)和研究內(nèi)容.大多

3、數(shù)NIDS是使用通用的包獲取庫來獲取網(wǎng)絡(luò)上的報文,這些庫對于大部分應(yīng)用效果較好.但對于高速網(wǎng)絡(luò)環(huán)境下需要高效數(shù)據(jù)獲取的應(yīng)用場合,它的效率并不能滿足應(yīng)用程序的要求.同時網(wǎng)卡傳統(tǒng)的工作方式是依靠從網(wǎng)絡(luò)上抓包,再從網(wǎng)卡緩存拷貝到上層系統(tǒng),這個拷貝過程占用大量CPU資源,造成了整體性能下降.論文對操作系統(tǒng)內(nèi)核和網(wǎng)絡(luò)接口驅(qū)動進(jìn)行了分析,指出了目前操作系統(tǒng)網(wǎng)絡(luò)實現(xiàn)的局限性.論文設(shè)計并實現(xiàn)了DUMA采集模型,并給出了DUMA采集模型的性能分析和實驗結(jié)

4、果,為NIDS數(shù)據(jù)源的采集性能作出了保障.報文采集的功能要求根據(jù)用戶規(guī)則對報文進(jìn)行過濾,從某種意義上也就是根據(jù)用戶規(guī)則對報文進(jìn)行分類,對不同種類報文采取不同的過濾動作,因此論文中對目前國際上流行的高速報文分類算法進(jìn)行了討論.另外由于濫用入侵檢測系統(tǒng)的規(guī)則具備表達(dá)能力強(qiáng)、更新復(fù)雜度低等特點,論文中對無相交樹報文分類算法提出了優(yōu)化和改進(jìn),從算法上給予報文分類的性能提升.在對報文監(jiān)測的采集和分類兩個部分進(jìn)行分析和實現(xiàn)的基礎(chǔ)上,論文最后給出了報