誤用入侵檢測系統(tǒng)中高性能模式匹配部件的設計及實現(xiàn).pdf

1、近年來，計算機網(wǎng)絡以令人難以置信的速度向前發(fā)展，網(wǎng)絡技術日新月異，千兆以及萬兆以太網(wǎng)絡正在逢勃興起，網(wǎng)絡入侵檢測方法面臨效率和速度的嚴峻挑戰(zhàn)。因為算法效率問題，傳統(tǒng)的基于攻擊特征的模式匹配檢測技術存在著一些難以克服的缺點，如：匹配計算量巨大、易受欺騙、漏報警(false positive)較多等，難以適應高速的網(wǎng)絡環(huán)境。為了降低模式匹配時的計算量，提高匹配速度，同時兼具一定的反欺騙能力，本文提出一種將協(xié)議分析方法、數(shù)據(jù)預處理手段與改良的

2、快速多模式匹配檢測算法相結合的解決方案，設計并實現(xiàn)了一個高性能的模式匹配部件。 本文首先介紹了入侵檢測的相關概念、分類和入侵檢測算法，并從原理上、技術上介紹了目前廣泛使用的模式匹配檢測方法。針對單模式匹配算法在檢測中存在的弱點，結合協(xié)議分析方法提出了一種改良的多模式匹配算法，并在此基礎上設計出一種新的多模式匹配部件。主要工作包括：設計并實現(xiàn)了協(xié)議分析預處理子模塊，利用協(xié)議分析方法和預處理手段對捕獲的數(shù)據(jù)包進行協(xié)議分類和防欺騙預處

3、理；設計并實現(xiàn)了規(guī)則處理子模塊，對規(guī)則的結構進行了重新的組織，將傳統(tǒng)的二維鏈表結構加以改進，提出了結構更加合理的三維鏈表樹的概念；參照BM算法啟發(fā)式搜索的思想，提出了一種基于有限狀態(tài)自動機的快速多模式匹配算法——Fast_BM算法。本文對該算法進行了理論上的性能分析，并以該算法為核心設計出了快速多模式匹配子模塊。本部件采用C語言撰寫源代碼，可移植性較好。最后，以Darpa1999年測試數(shù)據(jù)集作為實驗的測評數(shù)據(jù)，測試本部件對Snort檢測