网络入侵检测系统模式匹配算法的.研究与实现

《网络入侵检测系统模式匹配算法的.研究与实现》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、四JIIW范大学学位论文独创性及使用授权声明本人声明：所呈交学位论文，是本人在导师芒金丝熬攫指导下，独立进行研究工作所取得的成果。除文中已经注明引用的内容外，本论文不含任何其他个人或集体已经发表或撰写过的作品或成果。对本文的研究做出重要贡献的个人和集体，均已在文中以明确方式标明。本人承诺：已提交的学位论文电子版与论文纸本的内容一致。如因不符而引起的学术声誉上的损失由本人自负。本人同意所撰写学位论文的使用授权遵照学校的管理规定：学校作为申请学位的条件之一，学位论文著作权拥有者须授权所在大学拥有学位论文的部分使用权，即：1)已获学位的研究生必

2、须按学校规定提交印刷版和电子版学位论文，可以将学位论文的全部或部分内容编入有关数据库进行检索；2)为教学和科研目的，学校可以将公开的学位论文或解密后的学位论文作为资料在图书馆、资料室等场所或在校园网上供校内师生阅读、浏览。转L论文作者签名：黄娟乙oo孑年≯月／D日第一章绪论1．1课题研究的背景和意义随着网络的普及和发展，网络用户面临着更加严峻的安全问题。网络入侵事件频频发生，成为威胁计算机安全和网络安全的最大隐患【11。传统的静态安全防御体系，如防火墙、身份认证及数据加密技术虽然都较为成熟，但由于其被动、静态等缺陷，仍不能完全解决当前日益

3、严峻的安全问题。于是，入侵检测技术应运而生。网络入侵检测是对网络入侵行为的检测，它通过收集、分析来自于网络或系统中若干关键点的信息，从而对计算机和网络资源上恶意使用行为做出识别和响应，是一种主动、实时的网络安全防护技术，是一种能有效发现和防御网络入侵的安全防护手段。因此，网络入侵检测必将成为当前信息安全领域研究的重点和热点，对它的相关研究处于信息科学的前沿I二引。然而，网络入侵检测系统也面临着诸多挑战【4一】。一方面，网络感染病毒、遭受攻击的速度日益加快，另一方面，网络受到攻击做出响应的时间却越来越滞后。因此，如何提高入侵检测系统的检测速

4、度以适应网络通信的要求已直接影响到系统的准确性和实时性，成为提高检测效率和质量的关键问题【6j。特征匹配是入侵检测技术中最重要的一个环节，其实质是模式匹配问题。模式匹配就是将收集到的信息与已知的网络入侵检测系统已有规则数据库进行比较，从而发现违背安全策略的行为，即在分组有效负载或重组后的报文中找到入侵检测字，从而判断是否出现入侵。目前的模式匹配主要是对报文中特征字符串的匹配。随着网络速度的不断提高，网络数据流量越来越大，匹配效率就成为制约其应用和发展的一个瓶颈。因此，研究快速的模式匹配算法是提高入侵检测系统性能的重要手段，不仅具有较高的理

5、论价值，同时还具有很好的应用价值，是一个非常值得我们深入探讨的具有综合性研究意义的课题。1．2入侵检测及其算法研究现状1．2．1入侵检测研究现状入侵检测技术的研究与开发兴起于国外，集中在美国。1980年，JamesAderson首先提出了入侵检测的概念。1987年DorothyEDenning提出入侵检测系统的抽象模型，取名为IDES模型(InstructionDe．ionExpertSystem)，首次将入侵检测作为一种计算机安全防御措施提出【7，8l，入侵检测系统由此迅速发展起来。1990年是入侵检测系统发展史上的一个分水岭。这一年，

6、加州大学戴维斯分校的LT．Heberlein等开发出了NSMt9】(NetworkSecurityMonitor)，第一次直接将网络流作为审计数据来源，因而，可以在不将审计数据转换成统一格式的情况下监控异种主机，入侵检测系统的发展翻开了新的一页，两大阵营正式形成：基于网络的入侵检测系统和基于主机的入侵检测系统。90年代后，随着网络入侵检测系统的问世，对入侵检测的研究也由早期的实验阶段进入了商业化，并且开始将其他领域的技术应用到该领域，如神经网络、人工智能、数据挖掘、免疫学等110~141。但是，这些方法大多还处于实验研究阶段，实用性并不高

7、。模式匹配方法由于其检测原理简单易懂、．易于实现、准确率高、实时性好而备受青睐，并且技术已经相对成熟，在入侵检测产品中得到了广泛应用。当今网络日益普及，人们对网络的依赖性日趋增强，尤其是近年来网络技术的飞速发展，大型网络以及千兆以太网的出现，使目前的网络入侵检测系统很难跟上网络快速发展的步伐，网络入侵检测系统正面临着前所未有的挑战：一方面，随着计算机网络的高速、宽带化发展，网络对于捕获的数据包进行实时处理的难度加大，大流量的网络环境对入侵检测系统的检测能力提出了更高的要求。另一方面，随着网络攻击技术和手段的日益多样化，为了更加全面、准确地

8、描述攻击行为，不得不增加入侵规则，这使得入侵检测规则库相当的庞大，极大的增加了网络入侵检测系统的检测负担，报文处理速率也随之下降。由此可见，网络入侵检测系统的检测效率已经成为制约其性能发展2的