基于多核平台的滥用检测模块的研究与实现-软件工程专业论文.docxVIP

万方数据 万方数据 独 创 性 声 明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作 及取得的研究成果。据我所知，除了文中特别加以标注和致谢的地方 外，论文中不包含其它人已经发表或撰写过的研究成果，也不包含为 获得电子科技大学或其它教育机构的学位或证书而使用过的材料。与 我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的 说明并表示谢意。 签名： 日期： 年 月 日 关于论文使用授权的说明 本学位论文作者完全了解电子科技大学有关保留、使用学位论文 的规定，有权保留并向国家有关部门或机构送交论文的复印件和磁盘， 允许论文被查阅和借阅。本人授权电子科技大学可以将学位论文的全 部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描 等复制手段保存、汇编学位论文。 （保密的学位论文在解密后应遵守此规定） 签名： 导师签名： 日期： 年 月 日 万方数据 万方数据 摘要 摘 要 在高速网络中进行检测不同于低速网络，不仅在软件设计上要提高数据包的检 测匹配效率，而且面临计算机的 CPU、内存、总线宽度等资源的限制。网络入侵 防御系统必须基于特定的硬件平台来实现高流量的深度数据包检测和阻断功能。 目前市场上，多核网络处理器是为网络应用而专门设计的处理器，具有简单高效 的编程开发特征，同时强大的处理能力可以实现高带宽的线速处理，开放的高度 集成的体系结构使得基于网络处理器的网络设备易于系统扩展。 本论文设计实现了基于多核网络处理器的滥用检测模块，论文的主要工作是： 首先对入侵检测的过程、滥用检测技术和多核技术进行了相关研究，并且基于面 向数据处理的检测模型，设计出滥用检测模块；然后研究分析 Snort 规则树结构， 并针对 Snort 规则匹配的两点不足，提出基于选项值的集合优化算法和基于选项关 键字失效匹配的优化算法，以提高 Snort 规则匹配效率。同时针对 HTTP 协议和 FTP 协议设计流过滤器算法，通过过滤安全数据流，减少进入检测引擎的数据包 数量，提高检测引擎检测攻击的效率。最后按照滥用检测模块的设计，结合多核 平台提供的 Simple Executive 库对 Snort 源码进行定制，实现运行于多核平台的滥 用检测模块。 本论文从以下方面对滥用检测模块的检测效率提出改进： （1）通过优化了 Snort 的规则树结构，减少无效匹配的发生次数和匹配子函 数的调用次数，从而提高了检测攻击的效率。 （2）设计流过滤器，将待检测的数据包中安全流量直接过滤，将可疑数据包 送入检测引擎进行全面检测。 （3）结合 OCTEON 硬件平台提供的硬件抽象层（Hardware Attraction Layer， HAL）的服务，实现直接运行在硬件抽象层上的滥用检测模块。 关键字：网络入侵防御系统，滥用检测，Snort 规则树，多核 I ABSTRACT ABSTRACT Intrusion detection in high-speed network, different from in low-speed network, needs improve the detecting efficiency of the packet matching through software design, while facing the limitation of the computers CPU, memory, bus width, and resource. Network-based intrusion prevention system must run on specific hardware platforms to achieve high capacity of deep packet inspecting and blocking function. Currently on the market, multi-core network processor is specifically designed for network applications, which has a simple and efficient program development characteristics, and processing power to handle high-bandwidth wire-speed, Highly integrated and open architecture which allows network equipment based on network processor easily expand the system. This thesis desig