Snort檢測引擎中檢測算法的研究與改進.pdf

1、近年來，互聯(lián)網(wǎng)的爆炸式發(fā)展，給人類社會、經(jīng)濟、文化等帶來了無限的機遇，同時也給信息安全帶來嚴(yán)峻挑戰(zhàn)。人們采用反病毒，防火墻和入侵檢測等技術(shù)手段來保證網(wǎng)絡(luò)信息安全。隨著網(wǎng)絡(luò)安全技術(shù)的不斷發(fā)展，入侵檢測技術(shù)已經(jīng)成為網(wǎng)絡(luò)安全體系結(jié)構(gòu)中不可或缺的一部分。 Snort入侵檢測系統(tǒng)作為一種著名的開源網(wǎng)絡(luò)入侵檢測系統(tǒng)，能夠有效保護系統(tǒng)信息安全，在業(yè)界得到了廣泛研究和使用。Snort的檢測原理采用簡單的模式匹配策略。但隨著網(wǎng)絡(luò)帶寬不斷提高，以及

2、網(wǎng)絡(luò)攻擊種類的急劇增加，致使Snort的檢測任務(wù)越來越重，從而有可能漏掉一些造成嚴(yán)重后果的網(wǎng)絡(luò)攻擊行為。因此，設(shè)計高效的模式匹配算法對于提高入侵檢測系統(tǒng)的性能有很大意義。 本論文以Snort為研究對象，開展如下三方面的研究工作： 1）在介紹Snort基于規(guī)則驅(qū)動基本理論基礎(chǔ)上，系統(tǒng)分析Snort系統(tǒng)四大組成模塊的工作原理和流程；采用GNU profiler工具Gprof剖析Snort系統(tǒng)中各個主要函數(shù)在系統(tǒng)運行過程中所占

3、時間的百分比，得出模式匹配算法是Snort系統(tǒng)性能瓶頸的結(jié)論。 2）分析Snort檢測引擎采用的BM、AC、MWM算法。針對Snort已有模式匹配算法已經(jīng)成為Snort性能瓶頸的現(xiàn)狀，提出一種基于后綴樹自動機的Snort檢測算法(Fast String Matching Algorithm, FSM)。該算法構(gòu)建一個后綴樹自動機Suffix Automaton，匹配中應(yīng)用好后綴啟發(fā)機制進行啟發(fā)跳躍，忽略不必要的比較，提高了檢測速