基于协议分析技术的IDS系统研究.pdfVIP

计算机科学2005V01．32No．9A 基于协议分析技术的IDS系统研究 吕爱丽魏海平叶小涛 (辽宁石油化工大学信息工程学院辽宁抚顺113001) 摘要本文在分析了基于模式匹配技术的IDS缺陷的基础上，把新一代的协议分析技术引入了IDS中t详细分 析了其在高性能网络中的优势，提出了基于该技术的IDS解决方案，并介绍了方案实现的关键技术。 关键词IDS，协议分析，模式匹配 Based ResearchofIDS Oillh-otocol Analysis I。UAi—I。iWEI YEXiao-Tao Hai—Ping of ofPetroleum＆Chemical (School InformationEngineering．LiaoningUniversity of this thenew of AbstractOnthebasisof 1DSbased mattpaperimports technology analyzingshortages pattern network into its in network devisestheIDS analysis1DS，analyzesadvantageshigh—powereddetailedly，and protocol are resolventbasedthis otthis alsointroduced- technology．Somekeyproblemspaper Intrusiondetection match Keywords system(IDS)，Protocolanalysis，Pattern 协议的层次性和相关协议知识快速地判断攻击特征 1前言 是否存在。协议分析技术优势在于： 1．1特征模式匹配技术缺陷 ． 1)解析命令字符串。URI。第一个字节的位置 模式匹配“1是大多数IDS系统使用的检测机被给予解析器。解析器是一个命令解析程序，最新 制，实现过程如下： 一代1DS网络入侵检测引擎包含70多个不同的命 1)检查网络上每一个数据包，寻找攻击特征。 令解析器，可以在不同的上层应用协议上(如Tel— 2)将与攻击特征相同长度的一组字节从可疑数 据包首部取出，并对两组字节进行比较。 一个用户命令做出详细分析。 3)若两组字节一样，攻击特征即被检测出来。 2)探测碎片攻击和协议确认。在基于协议分析 否则，攻击特征前移一个字节，重复流程。 的IDS中，各种协议都被解析，如果出现IP碎片设 4)第二次检测时，特征与数据包中第二位开始 置，数据包将首先被重装，然后详细分析以了解潜在 的字节进行比较。 的攻击行为。通过重装数据包，系统可以检测到利 5)重复该流程，每次比较起始位置增加一个字 用1DS逃避技术的攻击手段，比如IP碎片和TCP 节，直到所有数据字节都与攻击特征比较