过渡网络环境下Snort的改进研究

【摘要】： 随着互联网的飞速发展,计算机网络己经成为现代社会生活中非常重要的组成部分,网络安全也面临着越来越严峻的考验。入侵检测系统是网络安全研究领域的近年来的热点课题之一,它对系统(网络)的运行状态进行监视,识别各种入侵企图、正在发生的入侵或已经发生的入侵行为,弥补了防火墙的不足,是防火墙之后的又一道安全防线。 新一代互联网协议IPv6,不仅很好地解决了IPv4地址匮乏问题,而且在传输性能、服务质量、和安全方面都有一定的提高。Internet过渡和升级到IPv6是必然趋势,普遍认为IPv6因为IPSec的引入而比IPv4更加安全。但是IPv6并没有彻底解决网络安全问题:(1)主流操作系统在IPv6协议实现上存在着安全漏洞;(2)非IP层的攻击能被很容易地移植到IPv6;(3)双栈和隧道等过渡方式带来了新的安全问题;(4)IPv6引入的新协议和机制存在着特有的安全问题。 现有的入侵检测系统大多局限于IPv4,不能支持IPv6以及IPv4/IPv6共存的过渡网络环境,针对IPv6的入侵检测系统研究正处于起步阶段。 本论文对著名开放源代码网络入侵检测系统Snort的运行原理和系统结构进行了深入的分析,通过对数据解析模块、预处理器和规则库组织等几个方面的改进,使Snort支持IPv6,能够运行于IPv4/IPv6过渡网络环境中。并通过将规则按选项进行再分类对规则库组织进行了改进,减少了每个数据包需要进行匹配的规则数量;通过改进规则选项的排列顺序,使正常数据能够尽快的匹配失败,从而提高检测速度。这两个方面的改进,进一步提高了Snort的检测性能。 本论文对IPv6引入的新机制邻居发现协议(NDP)的安全性进行了深入的分析,并通过实验证明了部分安全威胁的存在,最后在Snort中实现了用于检测NDP误用攻击的预处理器插件NDPSpoof。 实验证明改进后的Snort能支持IPv4/IPv6过渡网络环境,能检测IPv6网络下的部分新型安全威胁。