snort规则分组和映射算法的研究

《snort规则分组和映射算法的研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、代号10701学号1103121640分类号TP301.6密级公开题（中、英文）目Snort规则分组和映射算法的研究StudyonGroupingandMappingAlgorithmofSnortRules作者姓名郝伟臣指导教师姓名、职务王宇平教授学科门类工学学科、专业计算机软件与理论提交论文日期二○一四年一月万方数据万方数据西安电子科技大学学位论文独创性（或创新性）声明秉承学校严谨的学风和优良的科学道德，本人声明所呈交的论文是我个人在导师指导下进行的研究工作及取得的研究成果。尽我所知，除了文中特别加以标注和致谢中所罗列的内容以外，论

2、文中不包含其他人已经发表或撰写过的研究成果；也不包含为获得西安电子科技大学或其它教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中做了明确的说明并表示了谢意。申请学位论文与资料若有不实之处，本人承担一切的法律责任。本人签名：日期a西安电子科技大学关于论文使用授权的说明本人完全了解西安电子科技大学有关保留和使用学位论文的规定，即：研究生在校攻读学位期间论文工作的知识产权单位属西安电子科技大学。本人保证毕业离校后，发表论文或使用论文工作成果时署名单位仍然为西安电子科技大学。学校有权保留送交论文的复印件，

3、允许查阅和借阅论文；学校可以公布论文的全部或部分内容，可以允许采用影印、缩印或其它复制手段保存论文。（保密的论文在解密后遵守此规定）本学位论文属于保密在年解密后适用本授权书。本人签名：日期a导师签名：日期a万方数据万方数据摘要摘要随着互联网的飞速发展，网络安全问题也日益严重。入侵检测技术是继传统安全保护措施之后出现的一种积极主动防御的新一代安全保障技术，而Snort是其中基于规则匹配的一种入侵检测系统。Snort首先分析提取出每一种入侵行为的特征，然后按照一定的规范将这些特征编写成规则以形成Snort规则数据库，最后通过将网络数据包同规

4、则数据库中的规则进行匹配以完成入侵检测过程。在Snort系统中，规则匹配的效率是影响Snort性能的关键。研究表明，对Snort规则数据库中的规则进行预处理可以提高规则匹配效率。针对Snort规则的预处理流程，本文研究了如何将Snort规则转化为非确定性有限状态机、如何分组合并状态机以及如何把状态机映射入哈希表等三个关键问题，并在此基础上：①提出了一种基于pcre库构造非确定性有限状态机的方法以处理Snort规则中大量使用的pcre选项中的一些特殊语法；②设计了一种状态机分组算法，依据状态机的特征对其进行分组合并以减少状态机的数量，从而

5、间接减少需要进行精确匹配的状态机数量，进一步提高规则匹配的效率；③设计了一种低冲突率的哈希映射算法，该算法实现了对具有某个特征的状态机进行快速定位，同时又能够保证哈希表具有尽可能低的冲突率。实验结果表明算法是有效的。关键词：Snort匹配分组映射万方数据Snort规则分组和映射算法的研究万方数据AbstractAbstractWiththerapiddevelopmentofInternet,networksecurityissueisbecomingincreasinglyserious.Followingthetraditional

6、informationsecurityprogram,intrusiondetectiontechnologyisanewgenerationactivedefensesecuritytechnology,andSnortistheonewhichbasedonrulematching.First,Snortanalyzesandextractsthefeaturesfromtheintrusionbehaviors,andthenwritesrulesaccordingtosomespecificationtoformtheSnort

7、ruledatabase,finallyperformstheintrusiondetectionthroughmatchingthenetworkdatapacketwiththerulesintheruledatabase.InSnort,theefficiencyofrulematchingiscriticaltothesystemperformance.StudyshowsthattheperformanceofrulematchingcanbeimprovedbypreprocessingtherulesintheSnortr

8、uledatabase.Tothisend,inthispaper,threekeyissues,i.e.howtotransformSnortruleintoNFA(NondeterministicFin