入侵检测方法研究及其在IDS中的实现

【摘要】：入侵检测是一种动态的安全防护手段，它能主动寻找入侵信号，为网络系统提供对外部攻击、内部攻击和误操作的安全保护。入侵检测从功能结构上一般分为数据采集、数据分析和响应三个部分，从检测方法上主要分成异常检测法和误用检测法两大类。本文在总结多种入侵检测系统框架的基础上，构建了一个基于IDMEF的入侵检测模型。论文重点研究了IDS中的入侵检测方法，对误用入侵检测方法中的模式匹配做了比较深入的研究，在开源软件Snort的基础上，对单模式匹配算法进行了优化与实现，对经典的多模式匹配算法进行了改进。本文对异常入侵检测方法做了比较详细的介绍，同时给出了一个应用于具体系统中的基于贝叶斯统计分析的异常入侵检测算法。基于以上研究，最后实现了一个可以在小型网络内达到实用阶段的分布式入侵检测系统，该系统的消息格式采用IDMEF描述，检测引擎采用了优化的多模式匹配BM算法，通过向检测模块中添加一个统计分析插件可初步实现异常检测。