一种千兆网络入侵检测系统的设计与实现

《一种千兆网络入侵检测系统的设计与实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、分类号学号641810200671468学校代码10487密级硕士学位论文一种千兆网络入侵检测系统的设计与实现学位申请人学科专业：刘承辉通信与信息系指导教师：统程文青教授答辩日期：日2008年5月29ADissertationSubmittedinPartialFulfillmentoftheRequirementsfortheDegreeofMasterofEngineeringDesignandImplementationofAnIntrusionDetectionSysteminGig

2、abitNetworkCandidate:LiuChenghuiMajorCommunications&InformationSystemsSupervisor:Prof.ChengWenqingHuazhongUniversityofScienceandTechnologyWuhan,Hubei430074,P.R.ChinaMay,2008独创性声明本人声明所呈交的学位论文是我个人在导师的指导下进行的研究工作及取得的研究成果。尽我所知，除文中已标明引用的内容外，本论文不包含任何其他人或集体已经发表或

3、撰写过的研究成果。对本文的研究做出贡献的个人和集体，均已在文中以明确方式标明。本人完全意识到本声明的法律结果由本人承担。学位论文作者签名：日期：年月日学位论文版权使用授权书本学位论文作者完全了解学校有关保留、使用学位论文的规定，即：学校有权保留并向国家有关部门或机构送交论文的复印件和电子版，允许论文被查阅和借阅。本人授权华中科技大学可以将本学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存和汇编本学位论文。保密□，在______年解密后适用本授权书。本论文属于√√

4、（请在以上方框内打“√”）学位论文作者签名：指导教师签名：日期：年月日日期：年月日不保密。摘要传统的入侵检测系统在低速网络中能够很好的工作，但是在高速网络中它们却有比较大的性能瓶颈。其瓶颈主要在如下几个方面：其一是前端数据采集速率不高，另外目前流行的嗅探器使用内核过滤器进行采集，满足不了高速网络需求。其二是后端数据分析速率不高，主要是入侵检测系统的规则匹配引擎的速率低，数据采集和数据分析的速度不能合理匹配，导致内核丢包严重，使得网络监控，入侵检测等系统本身失去意义。传统入侵检测模型分为数据

5、采集与协议解析模块，预处理模块和检测引擎模块和报警日志模块四个部分。针对传统入侵检测系统的数据采集模块在高速网络下的瓶颈，本文提出了一种高速网络环境下的数据采集器解决方案。首先优化了网卡驱动中断处理的收包机制，一定程度上减少了高速网络下中断过于频繁所带来的操作系统开销（中断上下文切换，锁争用等）。其次，针对后端数据分析速率普遍低于前端高速采集速率导致的丢包的瓶颈，将以往入侵检测处理中的采用串行处理方式的检测引擎改造为并行处理从而使得检测引擎各个模块处于满负荷工作状态。同时，通过实际的测试分析改进了内核收包

6、时缓冲区管理机制，将传统的循环缓冲区改为了轮转双缓冲区减少了轮询带来的性能问题。最后本文以开源的入侵检测软件Snort为原型，对前面的设计方案进行了实现，并在千兆网络环境下进行了测试，测试结果表明改造后的入侵检测系统在性能上有很大的提高。关键词:入侵检测，检测引擎，多线程，轮转双缓冲，互斥锁IAbstractTraditionalNIDS(Networkintrusiondetectionsystem)hasgoodperformanceinlow-speednetworks,butmanyperform

7、ancebottlenecksinhigh-speednetworks.There’remainlytworeasonsforthat:firstly,thepacketcapturingspeedisnotfastenoughforahigh-speednetwork,meanwhile,thepacketsnifferinthefrontofthesystemarebasedonthetraditionalkernelfilteringsuchasbpfetc.whichleadstobadperfo

8、rmanceinhigh-speednetwork.Secondly,thedataprocessingspeed,mainlytheNIDS’srule-matchingengineissoslowtomatchthepacketcapturingthatthesystemdropslotsofpacketsinkernel,andthatNIDSandothernetworkmonitoringsystemsaremean