网络入侵检测系统预先决策检测引擎研究.pdfVIP

第 4O卷第 10期 浙 江 大 学 学 报 (工学版) JournalofZhejiangUniversity{EngineeringScience) Vo1．40NO．10 2006年 10月 ()ct．2006 网络入侵检测系统预先决策检测引擎研究 龙小飞，冯 雁 ，王瑞杰 (浙江大学 计算机科学与技术学院，浙江 杭州 310027) 摘 要：为了减少基于特征的网络入侵检测系统产生 的虚警数量并提高其检测效率 ，提 出了一种采用预先决策检 测引擎的方法，该方法把受监控网段 内的主机软件信息作为预先决策检测引擎的决策依据，在模式匹配之前进行 预先决策，过滤掉不需要匹配的入侵规则，使得单个数据包平均模式匹配次数尽可能少，从而降低虚警数量并改善 检测性能．实验结果表 明，该方法在不增加网络入侵检测系统漏报率 的前提下 ，能够减少虚警数量 ，并改善系统的 检测效率． 关键词：基于特征；网络入侵检测系统；预先决策；检测引擎 中图分类号：TP393．08 文献标识码 ：A 文章编号：1008～973X(2006)10—17O1一()4 Pre’-decision detectionengineforsignature——basednetwork intrusion detection system LONGXiao—fei，FENGYan，WANGRui—jie (CollegeoJComputerScienceandTechnology，ZhejiangUniversity，Hangzhou310027，China) Abstract：A pre—decisiondetectionenginetomitigatefalsepositivesgeneratedby signature—basednetwork intrusiondetectionsystem andimprovetheperformanceofprocessingpacketswasproposed．Byutilizing hosts’softwareinforrnationonmonitorednetwork，predecisiondetection enginemakesadecisionbefore patternmatchtofilteroutunnecessaryrules，whichminimizesaveragepattern—matchtimesforeachpack— et，andreducesfalsepositivesand improvesperformanceasaresult。Experimentalresultsshowedthat pre—decisiondetection enginecandecreasefalsepositivesandimprovetheperformanceofprocessingpack— ets，withoutincreasingthefalsenegativerate． Keywords：signature—based；networkintrusiondetectionsystem ；pre—decision；detectionengine 网络入侵检测系统(networkintrusiondetec— 的入侵行为，对 目标系统不构成任何威胁．例如。当 tionsystem，NIDS)的数据源主要是网络 中的数据 NIDS产生了红色代码攻击 (CodeRed)警报时，如 流，通过采集网络 中的数据包，提取其特征并与己知 果攻击 目标是运行于 Linux上 的Apache服务器 ， 知识库 中的攻击模式相比较，并进行检测．按照检测 则这条报警显然属于虚警 ，因为红色代码攻击只能 方法的不同，可 以分为基于特征 的NIDS和基于异