誤用入侵檢測系統中高性能模式匹配部件的設計及實現.pdf

1、近年來，計算機網絡以令人難以置信的速度向前發(fā)展，網絡技術日新月異，千兆以及萬兆以太網絡正在逢勃興起，網絡入侵檢測方法面臨效率和速度的嚴峻挑戰(zhàn)。因為算法效率問題，傳統的基于攻擊特征的模式匹配檢測技術存在著一些難以克服的缺點，如：匹配計算量巨大、易受欺騙、漏報警(false positive)較多等，難以適應高速的網絡環(huán)境。為了降低模式匹配時的計算量，提高匹配速度，同時兼具一定的反欺騙能力，本文提出一種將協議分析方法、數據預處理手段與改良的

2、快速多模式匹配檢測算法相結合的解決方案，設計并實現了一個高性能的模式匹配部件。 本文首先介紹了入侵檢測的相關概念、分類和入侵檢測算法，并從原理上、技術上介紹了目前廣泛使用的模式匹配檢測方法。針對單模式匹配算法在檢測中存在的弱點，結合協議分析方法提出了一種改良的多模式匹配算法，并在此基礎上設計出一種新的多模式匹配部件。主要工作包括：設計并實現了協議分析預處理子模塊，利用協議分析方法和預處理手段對捕獲的數據包進行協議分類和防欺騙預處

3、理；設計并實現了規(guī)則處理子模塊，對規(guī)則的結構進行了重新的組織，將傳統的二維鏈表結構加以改進，提出了結構更加合理的三維鏈表樹的概念；參照BM算法啟發(fā)式搜索的思想，提出了一種基于有限狀態(tài)自動機的快速多模式匹配算法——Fast_BM算法。本文對該算法進行了理論上的性能分析，并以該算法為核心設計出了快速多模式匹配子模塊。本部件采用C語言撰寫源代碼，可移植性較好。最后，以Darpa1999年測試數據集作為實驗的測評數據，測試本部件對Snort檢測