高速網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)若干關(guān)鍵技術(shù)的研究.pdf

1、目前，網(wǎng)絡(luò)應(yīng)用的發(fā)展日新月異，各式各樣的網(wǎng)絡(luò)攻擊給網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)(network intrusion detection systems)提出了更高的要求，采用單一主機(jī)的入侵檢測(cè)系統(tǒng)已不能適應(yīng)高速網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的要求，而基于層次式、分布式的入侵檢測(cè)系統(tǒng)成為研究的重點(diǎn)。
　　本論文在研究高速網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)面臨的問(wèn)題時(shí)，首先提出了一種應(yīng)用于高速 NIDS的處理模型，然后對(duì)模型中的數(shù)據(jù)快速捕獲、應(yīng)用協(xié)議識(shí)別以及自適應(yīng)負(fù)載分配等關(guān)鍵

2、技術(shù)做了研究，并在基于 ATCA(Advanced Telecom Computing Architecture)標(biāo)準(zhǔn)的嵌入式計(jì)算平臺(tái)上實(shí)現(xiàn)了該模型。研究成果已在中科院“某重大工程”中得到應(yīng)用。
　　論文通過(guò)分析 NIDS的基礎(chǔ)上，提出了一種適用于高速網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的可擴(kuò)展分布式并行處理模型(Extensible distributed parallel processing model)。該模型采用層次式結(jié)構(gòu)，前端對(duì)數(shù)據(jù)進(jìn)行簡(jiǎn)

3、單處理，后端對(duì)數(shù)據(jù)進(jìn)行耗時(shí)的入侵檢測(cè)。EDPPM模型可擴(kuò)展性好、吞吐量大，適應(yīng)高速網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的要求。
　　針對(duì)入侵檢測(cè)系統(tǒng)中協(xié)議識(shí)別的問(wèn)題，本論文提出了一種應(yīng)用協(xié)議快速識(shí)別方法。本方法利用基于端口的識(shí)別算法，把網(wǎng)絡(luò)會(huì)話分為長(zhǎng)緩存會(huì)話和短緩存會(huì)話。其中長(zhǎng)緩存會(huì)話緩存字節(jié)數(shù)較多，用以識(shí)別復(fù)雜協(xié)議；短緩存會(huì)話緩存數(shù)據(jù)字節(jié)數(shù)相對(duì)較少，用以識(shí)別簡(jiǎn)單協(xié)議類型；以此來(lái)消除累積匹配方式存在的弊端。通過(guò)分析模式匹配算法，采用了 AC多模式匹配

4、算法進(jìn)行模式匹配。通過(guò)實(shí)驗(yàn)分析，本方法能有效地提高協(xié)議識(shí)別的吞吐量，并且比L7-filter的識(shí)別準(zhǔn)確性有明顯提升。
　　針對(duì) EDPPM層次式模型中負(fù)載均衡的需求，本論文提出了一種基于協(xié)議分類的最小加權(quán)熵優(yōu)先(minimum weighted entropy first)動(dòng)態(tài)負(fù)載均衡算法。本算法數(shù)據(jù)源是經(jīng)應(yīng)用協(xié)議分類后的數(shù)據(jù)流，采用靜態(tài)分配(哈希取模運(yùn)算)和基于探針負(fù)載的針對(duì) TCP會(huì)話的動(dòng)態(tài)分配相結(jié)合的方式，在保證會(huì)話完整性的