基于Snort的网络入侵检测系统研究-计算机软件与理论专业论文.docxVIP

原创性声明本人郑重声明：所呈交的学位论文，是本人在导师的指导下，独 原创性声明 本人郑重声明：所呈交的学位论文，是本人在导师的指导下，独 立进行研究所取得的成果。除文中已经注明引用的内容外，本论文不 包含任何其他个人或集体已经发表或撰写过的科研成果。对本文的研 究作出重要贡献的个人和集体，均已在文中以明确方式标明。本声明 的法律责任由本人承担。 论文作者签名：：自垡聋 El 期：兰竺兰：坐!兰 关于学位论文使用授权的声明 本人同意学校保留或向国家有关部门或机构送交论文的印刷件 和电子版，允许论文被查阅和借阅；本人授权山东大学可以将本学位 论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩 印或其他复制手段保存论文和汇编本学位论文。 (保密论文在解密后应遵守此规定) 论文作者签名：孟l坚拿 导师签名： 山东大学硕士学位论文摘要 山东大学硕士学位论文 摘要 入侵检测是检测和响应计算机误用的学科，其作用包括检测、响应、损失 情况评估、攻击预测和起诉支持等。入侵监测技术是继“防火墙、“数据加密一 等传统安全保护措施后新一代的安全保障技术。入侵检测系统(IDS，Intrusion Detection System)是运用入侵监测技术对计算机和网络资源上的恶意使用行 为进行识别和响应的软件系统，它不仅检测来自外部的入侵行为，同时监测来 自内部网的入侵活动。 入侵检测技术分为异常检测和误用检测。目前国内外对入侵检测的研究主 要偏向于异常检测系统，对传统的误用检测系统的研究则集中在体系结构和高 速网络的检测性能方面。在这些研究的基础上，已经有许多种商用的入侵检测 系统。目前最常用的网络入侵检测手段是手工进行路由器、防火墙日志分析以 及使用由Mart in Roesch开发的Snort软件。 随着互连网络规模和复杂程度的迅速增长，黑客入侵活动也日益猖獗，入 侵手段越来越隐蔽，造成的损失也越来越大。这就对原来的入侵监测系统提出 了挑战。大规模高速交换式网络不断出现，使原有的IDS在数据包捕获速度和 检测手段上远远不能达到用户的需要，在软件结构和算法上需要重新设计；在 大型网络中，网络不同的部分可能使用了不同的入侵检测系统，但现在的入侵 检测系统之间不能够交换信息。而IDS和网络内部其它的安全产品也难以实现 数据交换和共享，给用户带来不便。 本文提出了一种基于Snort(sniffer and more)的网络入侵检测系统， Snort是一个强大的轻量级的网络入侵检测系统，它具有实时数据流量分析和 日志IP网络数据包的能力，能够进行协议分析，对内容搜索或者匹配。它能 够检测各种不同的攻击方式，并对攻击进行实时警报。此外，Snort具有很好 的扩展性和可移植性。 本文主要分析了Snort系统的架构、工作流程和三维规则链表，并着重分 析了该系统的检测引擎及其采用的模式匹配算法。建立了一种基于GM(1，1)模 型的入侵检测数据拟合补缺预处理模型，以及一种基于灰关联的监测指标简约 算法。针对原系统模式匹配算法的不足，本人运用了新的匹配算法对Snort检 山东大学硕士学位论文测引擎进行了改进，并应用到Snort的检测引擎模块中。证明所采用的算法是 山东大学硕士学位论文 测引擎进行了改进，并应用到Snort的检测引擎模块中。证明所采用的算法是 有效的，比原系统检测引擎的匹配速度有较大提高。明显降低了误检率和漏检 率，减少了系统资源占用量，提高了监测的实时性和准确性。最后提出了经过 改进后的系统的优点和缺点，以及进一步的优化改进建议。 关键词：入侵检测；入侵防御；误警；Snort；Sniffer 6 山东大学硕士学位论文ABSTRACT 山东大学硕士学位论文 ABSTRACT Intrusion Detection is a study about detecting and responding computer’s misuse，its functions is to detect，respond，evaluate the loss，forecast attacks，and have legal support，etc．Intrusion detection technology is a new generation security guard after traditional security protection measures such as firewall，data encryption and,SO on．Intrusion Detection System(IDs)is a software system，which UseS intrusion detection technology to identify and r