智能网络入侵检系统研究与设计.pdf

摘 要 Detection 入侵检测系统(IntrusionSystem，IDS)是一种主动安全防护系统，融 合了许多先进理论与方法，其研究具有重要的理论意义与实用价值。入侵检测系 统按数据源可分为网络型和主机型，本文研究网络入侵检测系统。 现有IDS存在的问题：入侵手段升级迅速，传统的滥用检澳1](MisuseDetection) 方法不易检测，而异常检测方法误报率往往较高；网络带宽正向千兆级发展，而 现有网络入侵检测系统(如Snort)若运行在x86平台上，往往在百兆网络中丢包率 就已不低，即使运行在NP等高速专用平台上也难以完全负荷千兆级网络流量。 本文在对现有入侵检测理论、方法、体系结构以及实例进行了广泛深入研究 后，将协议分析、模式匹配、人工免疫三大方法加以改进并整合，以Snort2为原 型设计出一种智能网络入侵检测系统，并在其中3个关键模块里作出了创新： 改进的协议分析预处理模块中：引入了改进的P分片重组、TCP流还原和 应用层分析，并将小生境遗传与决策树融合以优化分析流程。 改进的模式匹配检测引擎中：改进匹配算法并动态化，根据模式长度，把匹 配时间看作路径长，把小生境遗传引入最短路径算法，进行模式子集最优划分， 并选择相应的最优匹配子算法，设计出智能综合模式匹配算法。 改进的人工免疫检测引擎中：采用基于模糊逻辑的表现型／基因型编码，并 引入小生境遗传算法改进免疫选择，在减少了所需检测器数量的前提下，仍然能 提高检测能力，并且检测器生成所需时间明显减少。 模块测试表明：本系统3个关键模块算法与现有算法相比性能均有所提高。 总体测试表明：本系统与Snort2相比，ROC曲线和负载性能有一定的改进； 具有异常检测能力，能检测未知攻击并自适应学习(需额外占用小部分资源)，而 Snort2作为纯粹的滥用检测系统，不具备真正意义上的异常检测能力。 本系统若运行于x86平台，在百兆网络中丢包率最多能比同等情况下的 中的单一匹配算法更具并行性，从而更适合NP的多个微引擎并行处理，并且免 疫算法很适合分布式系统，因此预计在未来的千兆级分布式网络入侵检测中，本 系统的综合性能将会进一步优于Snort2。 关键词：协议分析；模式匹配；人工免疫 Abstract Detection a of IDS(IntrusionSystem)istypepositivesafety integrates system．It theoriesandmethods．Theresearchofintrusiondetectionhas many systemimportant and detectioncanbeclassified弱 theory significance。Intrusion application system network-basedintrusiondetectionandhost-basedintrusiondetection system system itsdatasource．Thisthesismakesresearchesonnetworkintrusion by detection system． Problemsinexistentintrusiondetection of andfast systems：Becauseincreasing intrusion misuse meth