关于ｓｎｏｒｔ的网络入侵防御功能研究

《关于ｓｎｏｒｔ的网络入侵防御功能研究》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、从本学科出发，应着重选对国民经济具有一定实用价值和理论意义的课题。课题具有先进性，便于研究生提出新见解，特别是博士生必须有创新性的成果关于Ｓｎｏｒｔ的网络入侵防御功能研究作者：蒋玉国　杨明欣　郭文东[摘要]当前，入侵检测系统已经成为安全解决方案的一个必要条件，然而，入侵检测不能主动地阻断具有攻击特征的数据流。它往往是被动的监视局域网，让网络管理员对攻击行为采取相应的措施。本文讨论了入侵防御系统的概念、优点和弱点，并根据著名的开放源代码网络入侵检测系统Snort的内部组织特点，提出了一种让Snort实现主动阻断攻击数据流的方法。　　[关键词]网络

2、入侵检测系统网络入侵防御系统Snort　　　　一、让Snort实现主动防御功能　　1.设计思路。通过分析Snort的整体结构可知，它充分利用了插件机制，这种特点使它更灵活，更容易系统功能的增加，使程序具有很强的可扩展性。IPS与IDS的主要区别就是IPS实现了主动的阻断攻击。利用Snort的这种内部组织结构和IPS的特点，可以设想，只要为Snort增加一个能够阻断数据包的模块，并把Snort置于在线的位置，当Snort检测到某种入侵行为时，通过对该模块的调用，就可以达到阻断含有入侵倾向数据流的目的。课题份量和难易程度要恰当，博士生能在二年内作出

3、结果，硕士生能在一年内作出结果，特别是对实验条件等要有恰当的估计。从本学科出发，应着重选对国民经济具有一定实用价值和理论意义的课题。课题具有先进性，便于研究生提出新见解，特别是博士生必须有创新性的成果　　Snort的检测引擎主要是基于规则的匹配。Snort规则类型包括：alert、log、pass、activate和dynamic。我们就让Snort做拒绝与该规则匹配的数据包的处理。剩余的任务就是，当Snort找到了和被捕获的数据包相匹配的规则时，Snort通过什么条件来判断该数据包是否符合做拒绝处理，在Snort源文件中定义了OptTreeN

4、ode的数据结构。为该结构中增加标志位。当Snort进行规则解析时，通过判断规则的类型和priority、classtype参数的值，当符合一定的条件时，给相应的标志位置“1”。这样，当检测引擎触发了某条规则，则通过判断这些标志位，决定是否阻断相对应的数据包。　　为了使Snort更具有灵活性，还可以为之增加一个可选的功能：通过用户的选择，即可使Snort以IDS方式工作，也可以使其以IPS方式工作。　　2.实现阻断数据包的条件。为了实现Snort的IPS功能，需要特定的底层库Iptables来代替原有的Libpcap。Iptables用于计算和

5、控制在Linux平台上的外部连接。netfilter/iptables支持内核，能够进行数据包过滤，网络地址转换及其它的数据包处理。课题份量和难易程度要恰当，博士生能在二年内作出结果，硕士生能在一年内作出结果，特别是对实验条件等要有恰当的估计。从本学科出发，应着重选对国民经济具有一定实用价值和理论意义的课题。课题具有先进性，便于研究生提出新见解，特别是博士生必须有创新性的成果.实现方法。(1)给Snort源文件中定义的pv结构增加标志位。在PV结构中增加一个标志位：inline。如果期望Snort以在线的方式工作，则设该标志被置“1”，否则Sn

6、ort工作在普通的IDS工作方式。(2)在OptTreeNode结构中增加两个标志位：reject和drop。当某规则的规则类型为alert，且classtype关键字属于1级优先级，或者priority大于9，则当程序进行规则解析时，为属于该规则的OptTreeNode结构标志位reject置“1”。当某规则的规则类型为alert，且classtype关键字属于2级优先级，或者priority为7或8，则当程序进行规则解析时，为属于该规则的OptTreeNode结构标志位drop置“1”。.如果被捕获的数据包与某规则相匹配，这时说明Snort

7、已经发现攻击行为。此时判断该规则的OptTreeNode结构中两个标志位的值，如果drop为1，调用在线处理模块，对该包做阻断处理并输出报警信息。如果reject为1，调用在线处理模块，阻断该包、输出报警信息，如果该包协议类型为TCP，向数据源发送RESET报文，终止该连接；如果协议类型是UDP，向数据源发送ICMP端口不可达报文，终止该连接。图1是Snort以在线方式运行的响应处理过程。　　二、结束语　　本文提出的使Snort增加主动阻断攻击数据流功能的方法具有以下优点：课题份量和难易程度要恰当，博士生能在二年内作出结果，硕士生能在一年内作出

8、结果，特别是对实验条件等要有恰当的估计。从本学科出发，应着重选对国民经济具有一定实用价值和理论意义的课题。课题具有先进性，便于研究生提出新见解，特别是