Snort檢測引擎中檢測算法的研究與改進.pdf

1、近年來，互聯(lián)網的爆炸式發(fā)展，給人類社會、經濟、文化等帶來了無限的機遇，同時也給信息安全帶來嚴峻挑戰(zhàn)。人們采用反病毒，防火墻和入侵檢測等技術手段來保證網絡信息安全。隨著網絡安全技術的不斷發(fā)展，入侵檢測技術已經成為網絡安全體系結構中不可或缺的一部分。 Snort入侵檢測系統(tǒng)作為一種著名的開源網絡入侵檢測系統(tǒng)，能夠有效保護系統(tǒng)信息安全，在業(yè)界得到了廣泛研究和使用。Snort的檢測原理采用簡單的模式匹配策略。但隨著網絡帶寬不斷提高，以及

2、網絡攻擊種類的急劇增加，致使Snort的檢測任務越來越重，從而有可能漏掉一些造成嚴重后果的網絡攻擊行為。因此，設計高效的模式匹配算法對于提高入侵檢測系統(tǒng)的性能有很大意義。 本論文以Snort為研究對象，開展如下三方面的研究工作： 1）在介紹Snort基于規(guī)則驅動基本理論基礎上，系統(tǒng)分析Snort系統(tǒng)四大組成模塊的工作原理和流程；采用GNU profiler工具Gprof剖析Snort系統(tǒng)中各個主要函數在系統(tǒng)運行過程中所占

3、時間的百分比，得出模式匹配算法是Snort系統(tǒng)性能瓶頸的結論。 2）分析Snort檢測引擎采用的BM、AC、MWM算法。針對Snort已有模式匹配算法已經成為Snort性能瓶頸的現(xiàn)狀，提出一種基于后綴樹自動機的Snort檢測算法(Fast String Matching Algorithm, FSM)。該算法構建一個后綴樹自動機Suffix Automaton，匹配中應用好后綴啟發(fā)機制進行啟發(fā)跳躍，忽略不必要的比較，提高了檢測速