高速網(wǎng)絡(luò)入侵檢測系統(tǒng)體系結(jié)構(gòu)研究.pdf

1、入侵檢測技術(shù)能夠同時檢測來自系統(tǒng)外部和內(nèi)部的攻擊，并對檢測到的入侵行為作出響應(yīng)。隨著網(wǎng)絡(luò)技術(shù)的發(fā)展和網(wǎng)絡(luò)帶寬的迅速增長，入侵檢測系統(tǒng)的處理速度由于無法與高速網(wǎng)絡(luò)帶寬相匹配而產(chǎn)生丟包，導(dǎo)致對嵌入在數(shù)據(jù)包中的入侵行為的漏檢，因此如何提高入侵檢測系統(tǒng)處理速度成為當(dāng)前研究熱點。 針對單個分析檢測引擎在網(wǎng)絡(luò)流量較大時不能及時處理數(shù)據(jù)而產(chǎn)生丟包的問題，設(shè)計了基于集群的入侵檢測系統(tǒng)結(jié)構(gòu)，該系統(tǒng)包括網(wǎng)絡(luò)數(shù)據(jù)包捕獲、協(xié)議分流、負(fù)載分流等9個功能模

2、塊，介紹了系統(tǒng)的數(shù)據(jù)流圖和處理流程。綜合考慮各分析檢測引擎對負(fù)載均衡、數(shù)據(jù)完整的要求和網(wǎng)絡(luò)數(shù)據(jù)包的特征，設(shè)計了負(fù)載分流算法。該算法通過將分析檢測任務(wù)分配到集群中多個分析檢測引擎，減輕單個引擎負(fù)載，提高系統(tǒng)的整體性能。針對分析檢測引擎中常用的模式匹配算法—AC_BM算法預(yù)處理時間長、移動步長有待改進(jìn)的問題，提出一種改進(jìn)的多模式匹配算法—TLFSA。該匹配算法采用有限狀態(tài)自動機(jī)構(gòu)造模式樹，能同時對多個模式進(jìn)行匹配；選擇當(dāng)前失配字符與此輪匹配