基于反馈信息加速Snort规则匹配的研究与实现.pdfVIP

基于反馈信息加速Snort规则匹配的研究与实现 陈欢响史浩山侯蓉晖 ‘(西北工业大学电子信息学院，西安710072) 摘要 实验表明某一类型的网络攻击事件在相对集中的时间内相对活跃，此外都相对沉寂。对于基于特征的开源入侵 检测系统Snort来说，如何提高速度以适应高速网络的发展是关键。文中对Snort的规则匹配算法及其多种改进算法进行 比较分析，提出了一种利用反馈攻击入侵频度及老化因子的新算法，在消除入侵频度记录历史影响的基础上，实时的更 新规则匹配顺序，从而提高规则的匹配速度。 关键词 Snort规则匹配入侵频度老化因子 基于主机的入侵检测(NIDS) 文献标识码A 中图分类号TP309．2 文章编号1002—8331一(2005)32—0133—03 Researchand onInformation’SFeedbackBased Implementation of inSnort IncreasingSpeedRule-matching Hou Chen ShiHaoshan Huanxiang Ronghui Information (Electronic College，NorthwestemPolytechnicalUniversity，Xi7an710072) indicatethatnetworkattackeventwillbeactivein concentratedtime．Inorder Abstract：Manyexperiments relatively toaccommodatetothe of article the of network，this Snort，an developmenthigh-speed analyzesrule-matchingalgorithm source-code an the ofrule feedbackof open NIDS，andpresentsalgorithmbyadjustingsequence matchingthrough intrusion’S the ofan factorto historic therule influence，consequently frequentness，andusage aging dispel matching is increased． speedeffectively factor Keywords：NIDS，Snort，rulematching，intrusion’Sfrequentness，aging 1 引言 项的匹配操作。当数据包头和OTN也完全匹配时，就产生报 作为网络安全检测和防护的重要手段之一．基于入侵特征 警．然后进行下一个数据包的检查。 basedIntrusionDe— 在Snort的实现中，规则