YACC技术在网络入侵检测中的应用.pdfVIP

第28卷第 10期 计算机应用与软件 Vo1．28No．10 2011年 10月 ComputerApplicationsandSoftware Oct．201l YACC技术在网络入侵检测 中的应用 黄金钟 朱淼良 (浙江大学计算机科学与技术学院 浙江 杭州 310027) 摘 要 介绍一种利用YACC(YetAnotherCompiler—Compiler)技术实现检测网络服务器程序异常行为的新方法。该方法用一种 携带语义标注的上下文无关文法描述服务器程序正常行为模式，利用 YACC 自动生成 的语法分析器构成异常检测引擎，并利用 YACC提供的错误处理和语义处理接 口对异常现场进行分析。实验结果表明，该方法不仅能有效检测各种利用服务器程序漏洞进 行的缓冲区溢出、堆 内存破环等入侵方式，而且能实时地对异常行为进行分析追踪并向安全管理人员提供入侵相关详细信息，而这 种能力正是 目前同类方法所缺乏的。 关键词 YACC 入侵检测 异常检测 异常分析 系统调用 结构模式识别 中图分类号 TP393．08 文献标识码 A APPLICATIoN oFYACC IN NETW oRK INTRUSIoN DETECTIoN HuangJinzhong ZhuMiaoliang (CollegeofComputerScienceandTechnology，ZhejiangUniversity，Hangzhou310027，Zhejiang，China) Abstract A new methodtoimplementserver·program—basedanomalydetectionusingYACCisproposed，inwhichnormalserverprorgam behaviorisrepresentedbyacontext—freegrammarcarriedSemanticLabe1．Thismethodmakesuseofparserwhichisautomaticallygenerated byYACCasanomalydetectingengine，utilizestheError—Handling interfaceand the Semantic subroutineofYACC toanalyseanomalous event．Experimentalresultsshowthatthemethodcannotonlydetecteffectivevraiousattacksexploitingvulnerabilitiesexistinginserverpro— rgams，butalsoanalysesanomalousbehaviorandprovidesdetailedinformationabouttheintrusion，andthiscapabilityiscurrentlylackingin thesameway． Keywords YACC Intrusiondetection Anomalydetection Anomalyanalysis System call Sturcturalpatternrecognition 务器程序请求一应答式工作特点 ，将服务器程序运行踪迹表示成 0 引 言 一 个以系统调用为基元 、从下向上分别由系统调用 、操作、事务、 活动组成的层次结构。 YACC是一种语法分析器的自动生成器 ，在计算机高级语 在层次结构模型中，每一层元素都有确定的语义 ：活动对应 言编译程序的开发中得到了广泛应用。不仅如此，YACC还 以 于服务器程序与远程客户的一次网络连接；事务与服务器程序 其完备的机制成为实现结构模式识别的首选工具