基于SBOM算法网络入侵检测系统实现.docVIP

基于SBOM算法网络入侵检测系统实现 　　摘 要： 入侵检测系统的核心部分就是检测引擎，检测引擎采用的算法的优劣直接关系到入侵检测系统的性能。在分析SBOM算法的数据结构和模式匹配过程的基础上，将SBOM算法引入Snort网络入侵检测系统中，得到了实现Snort检测引擎的一种新的方法。实验结果表明，SBOM算法在模式集较大的情况下性能比较具有优势，并且随着最小模式长度以及模式集的增长算法具有更好的性能。 　　关键词： 入侵检测系统； Snort； 模式匹配； SBOM 　　中图分类号： TP309 文献标识码： A 文章编号：2095-2163（2013）03-0090-03 　　The Implementation of Network Intrusion Detection System based on SBOM Algorithm 　　ZHOU Lihua 　　（Computer Network Center， Guizhou Minzu University， Guiyang 550025， China） 　　Abstract： The detection engine is the core module of the intrusion detection system. The efficiency of pattern matching algorithm used in detection engine decides the performance of this type of intrusion detection system. This paper implements the SBOM algorithm in Snort and obtains a new method of Snort detection engine. The result of experiment indicates that algorithm being comparatively excellent for large keyword sets， and progressively better for large alphabets as the minimum keyword length increases and as the keyword set size increases. 　　Key words： Intrusion Detection System； Snort； Pattern Matching； SBOM 　　0 引 言 　　随着计算机网络的蓬勃发展和快速普及，计算机网络信息安全已成为当今社会的一个焦点问题。传统的计算机网络信息安全防御技术，如防火墙、数字签名等，已经难于适应当前计算机网络攻击的多样性。在此背景之下，入侵检测系统即成为研究的探索方向。入侵检测系统是一种积极主动防御的技术，其工作原理是动态的，可以在入侵过程中对防护系统进行实时监控，无论是发生内部攻击或是外部攻击，入侵检测系统均能对其提供实时的保护。入侵检测系统的核心部分就是检测引擎，检测引擎的算法优劣将直接关系入侵检测系统的性能[1]。 　　1 SBOM算法数据结构 　　本文将近年来较新提出的基于Factor Oracle自动机的SBOM（Set Backward Oracle Matching）算法运用到Snort中。多模式的SBOM算法是BOM（Backward Oracle Matching）算法的扩展。BOM算法通过模式串建立一种类似于Trie的数据结构Oracle因子[2]，Oracle由一系列节点因子连接而成，能接收模式串中所有的节点因子。事实上，Oracle的数据结构就是一种结构紧凑的确定型自动机，能够识别其所建立的关键字的所有因子，构建Oracle因子的算法可参考文献[3]，此处不再赘述。图1是BOM的Oracle数据结构。 　　多模式的SBOM（Set Backward Oracle Matching）算法继承了BOM算法的Oracle数据结构和Aho-Corasick算法的Trie数据结构。在进行预处理过程中将根据所有模式串构造模式匹配的Oracle结构，以识别匹配窗口的最长字串。由于各个模式串的长度可能互不相同，为了不致遗漏正确的匹配，SBOM算法对模式串进行了如下处理[4]： 　　图1 BOM算法的Oracle数据结构 　　Fig.1 Oracle data structure of the BOM algorithm 　　（1）求模式串中最小串的长度，记为Imin。 　　（2）根据模式串集合P={prefix（p，Imin）| p∈P}进行构造Oracle，即使用