高速網(wǎng)絡(luò)環(huán)境下入侵檢測系統(tǒng)的設(shè)計與實現(xiàn).pdf

1、傳統(tǒng)的入侵檢測系統(tǒng)在低速網(wǎng)絡(luò)中能夠較好的工作，但在高速網(wǎng)絡(luò)中卻有較大的性能瓶頸和處理缺陷。主要表現(xiàn)在兩個方面：一是前端報文捕獲速率不高，丟包現(xiàn)象嚴(yán)重。二是后端數(shù)據(jù)處理速率不高，主要是入侵檢測系統(tǒng)的檢測引擎處理效率低，對于占據(jù)了大部分流量的基于TCP協(xié)議的應(yīng)用層協(xié)議沒有優(yōu)良的處理機(jī)制，從而在高速網(wǎng)絡(luò)環(huán)境下誤報漏報現(xiàn)象嚴(yán)重。
　　 本文在對Snort系統(tǒng)源代碼進(jìn)行研究與分析的基礎(chǔ)上，提出了一種高速網(wǎng)絡(luò)環(huán)境下入侵檢測系統(tǒng)的設(shè)計與實現(xiàn)方

2、案。包括兩個方面：第一，針對傳統(tǒng)入侵檢測系統(tǒng)報文捕獲模塊在高速網(wǎng)絡(luò)下的各種瓶頸，提出了一種高速網(wǎng)絡(luò)環(huán)境下的基于零拷貝算法的報文捕獲解決方案。該方案從減少數(shù)據(jù)拷貝次數(shù)，優(yōu)化網(wǎng)卡驅(qū)動中斷處理機(jī)制，減少上下文切換等方面等對報文捕獲模塊進(jìn)行優(yōu)化，在一定程度上提高報文捕獲性能。第二，針對傳統(tǒng)入侵檢測系統(tǒng)檢測引擎處理效率低，在高速網(wǎng)絡(luò)環(huán)境下誤報漏報率較高的缺陷，設(shè)計了協(xié)議分析模塊。該模塊借鑒了Snort預(yù)處理模塊中協(xié)議分析的思想，并對其進(jìn)行了更加豐