基于Snort的分布式入侵检测系统应用实验研究-计算机应用技术专业论文.docxVIP

要 本课题主要是，结合网络攻击技术，在攻防实验中对网络入侵检测系统 Snort 进 行分析与研究，并尝试对 Snort 应用作一些实验研究工作以适应网络实际环境的需求。 Snort 采用规则匹配来检测可疑或恶意的网络流量。它支持插件技术，而且它的规则 描述语言可以很好地描述网络攻击，这些使得 Snort 具有很好的可扩展性能。论文的 核心内容就是围绕 Snort 的插件技术和规则描述语言展开的实验研究。 论文首先对 Snort 进行分析，详细地分析了 Snort 的体系结构、入侵检测总体流 程、协议解析、规则解析及规则匹配机制。并设计与实现了一个以 Snort 为核心的分 布式入侵检测系统，将其应用到一个实验局域网中，提出了 Snort 的实用解决方案并 分析了 Snort 入侵检测性能。 论文还对网络攻击和 Snort 规则编写进行了分析与研究。主要从操作系统漏洞描 述、网络攻击响应以及网络实验环境的检测策略这三个角度，阐述了 Snort 规则编写 的一般原则与方法。针对于微软分布式事务处理协调器内存破坏漏洞的攻击原理、 BDoor 木马攻击的原理以及 3389 端口入侵的原理，利用流量分析，编写成检测这些 攻击的 Snort 规则，再将新编写的规则加入到规则库中，并通过实验分析，证明了新 编写规则的有效性和准确性。 针对不容易提取特征的异常 FTP 网络流量，论文设计与实现了 FTP 协议分析与 命令解释的预处理插件。结合 FTP 攻击对该预处理插件进行实验测试，该预处理插 件可检测到 FTP 口令暴力破解攻击、IIS FTP 远程溢出漏洞的攻击和 MDTM 命令远程 溢出攻击。 实验研究的结果说明:详细地了解 Snort 的入侵检测体系与机制，依据应用环境 正确地配置 Snort、按攻击类型设计 Snort 规则及相应的预处理插件以扩展其检测功能 是十分重要的。 关键词：Snort:规则匹配:预处理插件:分布式:协议分析 Abstract In this paper, with the technology of network attack, the Network Intrusion Detection System Snort is analyzed and researched in the experiments of attacking and defending, and the application of Snort is researched in the experiment, for adapting to the demand of network actual environment. Snort detects the distrustful or vicious flux with rule matching. Snort supports the technology of inserting components and its rule language can describe the network attack well, which make Snort have a good expansibility. The main content of this paper is about the technology of inserting components and Snort rule language. Firstly, Snort is analyzed in detail in this paper, including that the architecture of Snort, the whole flow of intrusion detection, protocol parsing, rule parsing, and rule matching. And then, the Snort-based distributed intrusion detection system (DIDS) is designed and implemented. Afterwards, the DIDS is applied to an experimental LAN. Meanwhile, the applied scheme about Snort is presented and the intrusion detection capability of Snort is analyzed. Secondly, the theories of network attack and the ways to write snort rules are resea