面向高速網(wǎng)絡(luò)環(huán)境的歧義流量矯正處理技術(shù)研究.pdf

1、隨著網(wǎng)絡(luò)技術(shù)的日新月異的發(fā)展，網(wǎng)絡(luò)攻擊形式從簡(jiǎn)單的、單一的攻擊模式向復(fù)雜的、大規(guī)模的、隱蔽的攻擊形式發(fā)展，其中攻擊者通過(guò)結(jié)合多種攻擊手段構(gòu)造歧義數(shù)據(jù)流量，使得該數(shù)據(jù)流量在入侵檢測(cè)系統(tǒng)和終端主機(jī)解析結(jié)果的不一致，從而繞過(guò)入侵檢測(cè)系統(tǒng)的檢測(cè)，成功實(shí)施攻擊。因此對(duì)于入侵檢測(cè)系統(tǒng)的實(shí)時(shí)性、準(zhǔn)確性提出了巨大的挑戰(zhàn)。
　　本文的主要工作是以面向高速網(wǎng)絡(luò)環(huán)境下的網(wǎng)絡(luò)安全為背景，主要針對(duì)歧義問(wèn)題的規(guī)范化數(shù)學(xué)描述、高速網(wǎng)絡(luò)環(huán)境下哈希算法的選擇，以及

2、流量預(yù)處理引擎的設(shè)計(jì)與實(shí)現(xiàn)三個(gè)方面進(jìn)行深入的研究，本文的主要工作概括如下：
　　第一、目前參考該領(lǐng)域的相關(guān)文獻(xiàn)時(shí)，缺乏對(duì)歧義規(guī)范的描述和定義。為此本文對(duì)歧義的概念給出了規(guī)范的定義和描述，對(duì)IP層、TCP/UDP層，相關(guān)的協(xié)議有可能出現(xiàn)的歧義分析并給出解決方案。比如，在IP層通過(guò)對(duì)IP分片進(jìn)行預(yù)定義的策略進(jìn)行重組，對(duì)TCP分段的重疊區(qū)域進(jìn)行矯正，從而使得在終端主機(jī)和NIDS之間的解釋一致。
　　第二、在對(duì)IP層和TCP層報(bào)文處

3、理的時(shí)候需要用到hash函數(shù)，hash函數(shù)的散列性的優(yōu)與劣,直接影響系統(tǒng)的性能，因此本文提出了高低地址交叉異或HLC-XOR（High and Low Cross-XOR）,本文將嚴(yán)格的按照信息論中的相關(guān)定義，對(duì)此算法進(jìn)行理論分析和采用因特網(wǎng)分析合作組織 CAIDA[1]和美國(guó)網(wǎng)絡(luò)應(yīng)用研究國(guó)家實(shí)驗(yàn)室N LAN R[2]提供的真實(shí)網(wǎng)絡(luò)報(bào)文進(jìn)行HLC-XO R的算法評(píng)估測(cè)試。
　　第三、通過(guò)對(duì)規(guī)避網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)NIDS（Networ

4、k based Intrusion Detection Sys te m）檢測(cè)的攻擊進(jìn)行深入的研究，分析了攻擊者通過(guò)利用精心構(gòu)造的報(bào)文在終端主機(jī)和N IDS之間產(chǎn)生不同的語(yǔ)義，在本文中稱作“歧義”，從而規(guī)避N IDS檢測(cè)。為了使得同一條流[3][4][30]在終端主機(jī)和NIDS解析結(jié)果一致，有效地檢測(cè)出隱藏在網(wǎng)絡(luò)流量中的insertion和evasion攻擊，提出并設(shè)計(jì)實(shí)現(xiàn)了流量預(yù)處理引擎TPE（Traffic Preprocess E