高性能混合入侵檢測(cè)系統(tǒng)的研究與實(shí)現(xiàn).pdf

1、入侵檢測(cè)系統(tǒng)的開(kāi)發(fā)旨在發(fā)現(xiàn)具有安全隱患的入侵行為,高水準(zhǔn)的黑客技術(shù)和利用社會(huì)工程學(xué)等手段的入侵,使得傳統(tǒng)安全設(shè)備無(wú)法完全阻止不斷增加的入侵行為。入侵檢測(cè)系統(tǒng)在大型企業(yè)中的使用,證明在控制入侵風(fēng)險(xiǎn)和減低損失都具有非常意義。
　　目前,成熟的入侵檢測(cè)產(chǎn)品重點(diǎn)放在誤用檢測(cè)技術(shù)上，但是對(duì)于基于主機(jī)入侵檢測(cè)所需異構(gòu)數(shù)據(jù)源的采集、海量速率數(shù)據(jù)的捕獲上，仍不適應(yīng)大規(guī)模網(wǎng)絡(luò)的實(shí)際情況,同時(shí)異常檢測(cè)技術(shù)的使用也不是很成熟,造成了入侵檢測(cè)漏報(bào)率居高不

2、下的結(jié)果。目前已有產(chǎn)品從采集到存儲(chǔ)再到處理,整個(gè)流程的性能無(wú)法滿(mǎn)足真實(shí)網(wǎng)絡(luò)公司的需求。為了有效解決上面問(wèn)題,實(shí)現(xiàn)適應(yīng)企業(yè)網(wǎng)絡(luò)環(huán)境的高效的混合入侵檢測(cè)系統(tǒng),本文做了以下工作:
　　(1)本文設(shè)計(jì)實(shí)現(xiàn)了統(tǒng)一采集技術(shù)。對(duì)于入侵檢測(cè)系統(tǒng)繁雜的數(shù)據(jù)源,實(shí)現(xiàn)統(tǒng)一采集器,滿(mǎn)足一次編譯多次執(zhí)行要求,只需針對(duì)每次特別需求更改配置文件,即可高效的實(shí)現(xiàn)對(duì)文本、數(shù)據(jù)庫(kù)和系統(tǒng)類(lèi)型日志的采集;統(tǒng)一部署框架的實(shí)現(xiàn)解決了多臺(tái)數(shù)據(jù)源多次部署的耗時(shí)問(wèn)題,集中管理的方

3、式使得采集器的下發(fā)、操作和監(jiān)控問(wèn)題得以解決,從而實(shí)現(xiàn)主機(jī)采集端的高性能。
　　(2)根據(jù)網(wǎng)絡(luò)實(shí)際環(huán)境,本文設(shè)計(jì)實(shí)現(xiàn)了高性能數(shù)據(jù)包捕獲功能模塊。Gbits帶寬的網(wǎng)絡(luò)環(huán)境,使得傳統(tǒng)基于LibPcap的捕獲產(chǎn)生高的丟包率,含有不同包長(zhǎng)度的網(wǎng)絡(luò)數(shù)據(jù)情況,進(jìn)一步影響了捕包性能,鑒于此,本文中采用PF-Ring的循環(huán)隊(duì)列,結(jié)合DMA(Direct Memory Access)和NAPI(New Application Program Inte

4、rface)技術(shù)實(shí)現(xiàn)數(shù)據(jù)零拷貝,再加上NMAP的內(nèi)存映射和RTIRQ(IRQ高性能補(bǔ)丁)的高性能硬件中斷技術(shù),在網(wǎng)絡(luò)的關(guān)鍵節(jié)點(diǎn)實(shí)現(xiàn)實(shí)時(shí)的全量的數(shù)據(jù)采集,并在測(cè)試環(huán)境下給出了不同技術(shù)的實(shí)驗(yàn)對(duì)比,從而實(shí)現(xiàn)網(wǎng)絡(luò)包嗅探的高性能。
　　(3)設(shè)計(jì)將深度包分析加入到誤用檢測(cè)引擎之中,使用PCRE再結(jié)合L7Filter協(xié)議模式串,在協(xié)議層高效檢測(cè)入侵行為。同時(shí)在模式匹配算法的選擇上，本文使用高性能模式匹配算法BMHS算法,只考慮文本中和模式最后

5、一個(gè)位置下一個(gè)字符的對(duì)應(yīng)情況,減少了匹配次數(shù)和移動(dòng)距離,模式匹配是入侵檢測(cè)系統(tǒng)的重中之重,高效率的匹配算法,實(shí)現(xiàn)誤用檢測(cè)的高性能。
　　(4)提出并實(shí)現(xiàn)了基于改進(jìn) K-means的異常檢測(cè)引擎。結(jié)合本文系統(tǒng)的實(shí)際情況,通過(guò)BIC(Bayesian Information Criterions)指標(biāo)設(shè)定K的范圍而不是單單指定K的某一個(gè)值,克服了K-means初始值設(shè)定問(wèn)題,增加最小合并半徑,進(jìn)一步調(diào)整最后的聚類(lèi)結(jié)果,同時(shí),增加簇?cái)?shù)量