智能網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)研究與設(shè)計(jì).pdf

1、入侵檢測(cè)系統(tǒng)(Intrusion Detection System，IDS)是一種主動(dòng)安全防護(hù)系統(tǒng)，融合了許多先進(jìn)理論與方法，其研究具有重要的理論意義與實(shí)用價(jià)值。入侵檢測(cè)系統(tǒng)按數(shù)據(jù)源可分為網(wǎng)絡(luò)型和主機(jī)型，本文研究網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)。 現(xiàn)有IDS存在的問題：入侵手段升級(jí)迅速，傳統(tǒng)的濫用檢測(cè)(Misuse Detection)方法不易檢測(cè)，而異常檢測(cè)方法誤報(bào)率往往較高；網(wǎng)絡(luò)帶寬正向千兆級(jí)發(fā)展，而現(xiàn)有網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)(如Snort)若運(yùn)

2、行在x86平臺(tái)上，往往在百兆網(wǎng)絡(luò)中丟包率就已不低，即使運(yùn)行在NP等高速專用平臺(tái)上也難以完全負(fù)荷千兆級(jí)網(wǎng)絡(luò)流量。 本文在對(duì)現(xiàn)有入侵檢測(cè)理論、方法、體系結(jié)構(gòu)以及實(shí)例進(jìn)行了廣泛深入研究后，將協(xié)議分析、模式匹配、人工免疫三大方法加以改進(jìn)并整合，以Snort2為原型設(shè)計(jì)出一種智能網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，并在其中3個(gè)關(guān)鍵模塊里作出了創(chuàng)新： 改進(jìn)的協(xié)議分析預(yù)處理模塊中：引入了改進(jìn)的IP分片重組、TCP流還原和應(yīng)用層分析，并將小生境遺傳與決策

3、樹融合以優(yōu)化分析流程。 改進(jìn)的模式匹配檢測(cè)引擎中：改進(jìn)匹配算法并動(dòng)態(tài)化，根據(jù)模式長(zhǎng)度，把匹配時(shí)間看作路徑長(zhǎng)，把小生境遺傳引入最短路徑算法，進(jìn)行模式子集最優(yōu)劃分，并選擇相應(yīng)的最優(yōu)匹配子算法，設(shè)計(jì)出智能綜合模式匹配算法。 改進(jìn)的人工免疫檢測(cè)引擎中：采用基于模糊邏輯的表現(xiàn)型/基因型編碼，并引入小生境遺傳算法改進(jìn)免疫選擇，在減少了所需檢測(cè)器數(shù)量的前提下，仍然能提高檢測(cè)能力，并且檢測(cè)器生成所需時(shí)間明顯減少。 模塊測(cè)試表明：

4、本系統(tǒng)3個(gè)關(guān)鍵模塊算法與現(xiàn)有算法相比性能均有所提高。 總體測(cè)試表明：本系統(tǒng)與Snort2相比，ROC曲線和負(fù)載性能有一定的改進(jìn)；具有異常檢測(cè)能力，能檢測(cè)未知攻擊并自適應(yīng)學(xué)習(xí)(需額外占用小部分資源)，而Snort2作為純粹的濫用檢測(cè)系統(tǒng)，不具備真正意義上的異常檢測(cè)能力。 本系統(tǒng)若運(yùn)行于x86平臺(tái)，在百兆網(wǎng)絡(luò)中丟包率最多能比同等情況下的Snort2低15％。若運(yùn)行于NP平臺(tái)，由于其綜合匹配和人工免疫算法均比Snort2中的單