高速網(wǎng)絡(luò)環(huán)境下入侵檢測(cè)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、傳統(tǒng)的入侵檢測(cè)系統(tǒng)在低速網(wǎng)絡(luò)中能夠較好的工作，但在高速網(wǎng)絡(luò)中卻有較大的性能瓶頸和處理缺陷。主要表現(xiàn)在兩個(gè)方面：一是前端報(bào)文捕獲速率不高，丟包現(xiàn)象嚴(yán)重。二是后端數(shù)據(jù)處理速率不高，主要是入侵檢測(cè)系統(tǒng)的檢測(cè)引擎處理效率低，對(duì)于占據(jù)了大部分流量的基于TCP協(xié)議的應(yīng)用層協(xié)議沒有優(yōu)良的處理機(jī)制，從而在高速網(wǎng)絡(luò)環(huán)境下誤報(bào)漏報(bào)現(xiàn)象嚴(yán)重。
　　 本文在對(duì)Snort系統(tǒng)源代碼進(jìn)行研究與分析的基礎(chǔ)上，提出了一種高速網(wǎng)絡(luò)環(huán)境下入侵檢測(cè)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)方

2、案。包括兩個(gè)方面：第一，針對(duì)傳統(tǒng)入侵檢測(cè)系統(tǒng)報(bào)文捕獲模塊在高速網(wǎng)絡(luò)下的各種瓶頸，提出了一種高速網(wǎng)絡(luò)環(huán)境下的基于零拷貝算法的報(bào)文捕獲解決方案。該方案從減少數(shù)據(jù)拷貝次數(shù)，優(yōu)化網(wǎng)卡驅(qū)動(dòng)中斷處理機(jī)制，減少上下文切換等方面等對(duì)報(bào)文捕獲模塊進(jìn)行優(yōu)化，在一定程度上提高報(bào)文捕獲性能。第二，針對(duì)傳統(tǒng)入侵檢測(cè)系統(tǒng)檢測(cè)引擎處理效率低，在高速網(wǎng)絡(luò)環(huán)境下誤報(bào)漏報(bào)率較高的缺陷，設(shè)計(jì)了協(xié)議分析模塊。該模塊借鑒了Snort預(yù)處理模塊中協(xié)議分析的思想，并對(duì)其進(jìn)行了更加豐