基于网络处理器实现的网络入侵防御系统——cookie用户分类模块及接口模块

《基于网络处理器实现的网络入侵防御系统——cookie用户分类模块及接口模块》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、中山大学硕士学位论文基于网络处理器实现的网络入侵防御系统——Cookie用户分类模块及接口模块学位中请人：导师：专业筢称：研究方向：昌型拯金塑堑垫丝玉垡里塑堡立L笠扭迪篮圆答辩委员会(签名)一答辩委员会主席：i星丝翌＼答辩委员会委员髫鲰．啤2007年05月基于网络处理器实现的网络入侵防御系统——Cookie用户分类模块及接口模块专业：无线电物理硕十生：吕智权指导老师：余顺争教授摘要随着网络带宽的不断增加，以及多种DDoS[Ul工具的不断出现，使DDoS攻击更加泛滥，严重威胁着网络系统安全。许多大型网站对此攻击未能作出有效防御，导致网络附近充斥着大量的攻击包，使网络拥塞

2、，网络性能下降。而传统的入侵检测系统对可疑流量一般是进行简单的丢弃，这就很有可能把合法用户流误判为攻击流，系统则变得不适用。本系统针对目的入侵防御系统的不足以及大型网站的发展需求，实现了基于网络处理器的新型网络入侵防御系统。该系统提出了细粒度流量分类方案，利用cookie进行用户区分，在web服务器的配合下，把cookie标识放到每个浏览网站用户的报文当中，通过唯一的cookie值达到细粒度区分的目的。这样就可以区分隐藏在代理服务器和NAT服务器背后的用户，减少误判率。此外，对每个流的统计采用隐半马尔科夫模型f2卅进行检测，判断用户的正常程度，并据此分配带宽，J下常度

3、高的带宽分配较多，正常度低的则分配较少，这样对正常度低的包并非简单的丢弃，提高了容错性能。本文主要是在网络处理器上实现字符串匹配以及id管理映射，并与其余两大模块连接以实现整个系统的功能。关键词：DDoS攻击Cookie网络处理器字符串匹配ANetworkProcessorBasedIntrusionPreventionSystem——Cookies·-BasedUserClassificationModuleandInterfaceModuleMajor：NameRadioPhysicsZhiquanLvSupervisor：ProfessorShunzhengYu

4、AbstractWiththeincrementofnetworkbandwidthandreleasecontinuouslyofvariousattacktools，thespreadofDDoS⋯attackposeallimmensethreadtotheinternetsecurity．Mostofthelargewebsitescannotdefendagainstthiskindofattackeffectively．Asaresult，therearealwayslotsofattackpacketsaroundthesewebsiteswhichle

5、adstonetworkcongestionandlowperformance．Mosttraditionalschemesfocusondetectingattacktrafficandthensimplydropthesuspiciouspackets，whichmightbesentbylegalusers．Inthiscase．theseschemesarenotapplicable．Inordertomeettheneedoflargewebsite，anetworkprocessorbasedintrusionpreventionsystemisimple

6、mentedinthispaper．Thissystemproposedaresolutionforclassifyingthenetworktraffic⋯一differentiatingusersusingcookies．Namely,undernegotiationwithservers，users’identitiesarehidedincookiesandinthiswayusers’differentiationcanberealized．Hence，usershidedbehindtheproxyserversorNATserversCallalsobe

7、differentiatedSOthattheprobabilityofdroppingthelegaluser’spacketsisreduced．What’Smore，thissystemadoptsthehiddensemi．markovmodell2-41toestablishanexaminationmodeltoestimatethenormalityofusers．Thelargerthenormalityoftheuseris，themorebandwidthhewouldbeassignedandpacketswithsmaller