基于特征的入侵檢測(cè)引擎分析與研究.pdf

1、近些年來(lái)，隨著網(wǎng)絡(luò)安全問(wèn)題的日益嚴(yán)峻，入侵檢測(cè)系統(tǒng)已成為計(jì)算機(jī)與網(wǎng)絡(luò)安全的重要組成部分。隨著網(wǎng)絡(luò)流量和速度的不斷增加，快速性成為衡量檢測(cè)引擎性能的重要指標(biāo)。如何提高入侵檢測(cè)引擎的速度一直以來(lái)都是研究的熱點(diǎn)問(wèn)題。本文研究了基于特征的入侵檢測(cè)引擎，從兩個(gè)方面著手，一是如何有效地組織與日俱增的入侵規(guī)則；二是在數(shù)據(jù)包與入侵規(guī)則進(jìn)行模式匹配時(shí)，使用什么樣的模式匹配算法來(lái)快速準(zhǔn)確地檢測(cè)出入侵行為。 本文采用Snort系統(tǒng)作為實(shí)驗(yàn)平臺(tái)，該系統(tǒng)

2、是世界上應(yīng)用最廣泛的開(kāi)放源代碼的基于特征的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，在行業(yè)內(nèi)有著重要的地位。對(duì)Snort中的兩種檢測(cè)引擎進(jìn)行比較分析，傳統(tǒng)檢測(cè)引擎采用二維線性鏈表方法組織入侵規(guī)則，新方法采用決策樹(shù)對(duì)入侵規(guī)則進(jìn)行分類組織。在根據(jù)入侵規(guī)則構(gòu)造決策樹(shù)時(shí)，所依據(jù)的分類屬性選擇標(biāo)準(zhǔn)對(duì)決策樹(shù)的形狀和深度有很大的影響。本文提出在構(gòu)造決策樹(shù)時(shí)采用信息增益率為新的分類屬性選擇標(biāo)準(zhǔn)，并用它替代了原有的信息增益標(biāo)準(zhǔn)。實(shí)驗(yàn)結(jié)果證明，對(duì)于某些特定的攻擊類型，改進(jìn)后的入侵

3、檢測(cè)引擎在檢測(cè)速度上有明顯的提高。 模式匹配算法是基于特征的入侵檢測(cè)引擎中的重要部分。本文分析了入侵檢測(cè)中常用的幾種模式匹配算法，并分別在混合攻擊和特定攻擊的條件下進(jìn)行了性能測(cè)試，根據(jù)實(shí)驗(yàn)結(jié)果，得出了不同算法的應(yīng)用范圍，為今后入侵檢測(cè)系統(tǒng)開(kāi)發(fā)者選擇模式匹配算法提供了有價(jià)值的參考。最后，本文針對(duì)Aho-Corasick算法內(nèi)存消耗量?jī)?yōu)化的問(wèn)題，采用了一種稱之為壓縮的稀疏向量多帶狀存儲(chǔ)格式，并將它應(yīng)用到Aho-Corasick算法的