高速网络环境下的入侵检测技术研究综述倡.doc

《高速网络环境下的入侵检测技术研究综述倡.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、第27卷第5期2010年5月Vol.27No•5计算机应用研究ApplicationResearchofComputers高速网络环境下的入侵检测技术研究综述史志才，夏永祥(上海工程技术大学电子电气工程学院，上海201620)摘要：高速网的普及应用对入侵检测技术提出了更高要求，传统的方法已难以适应处理大流量的网络数据。对入侵检测过程进行分析，指出高速网络环境卜•制约入侵检测效果的不利因索和难点，强调应从数据包捕获、模式匹配、负载均衡、系统架构等方面入手，充分利用软件的灵活性、专用彼件的并行性和快速性來提高入侵检测系统的性能，以适应高速的网络环境。关键词：网络安全；入侵

2、检测；高速网；模式匹配中图分类号：TP393畅08文献标志码：A文章编号：1001唱3695(2010)05唱1606唱053SurveyonintrusiondetectiontechniquesforhighspeednetworSH1ZhiMBai,X1AYong唱iang(Schoo)ofElectronic&ElectricEngineering,ShanghaiUniversityofEngineeringScience,Shanghai201620.China)Abstract：Thewideapplicationofhighspeednetworksr

3、equiresthatintrusiondetectionsystemsshouldhavebetterperfoduresofintrusiondetection・Itpointedouttheharmfulfactorsanddifficultieswhich仁冲咸theperformanceofintrusionbethoughttogether.The::exibiIityofsoftwareandthequicknessandpara11eJ$mofspecifichariiwaremadefullusetoenhanKeywords：networksecu

4、rity；detection；highspeednetwork；patternmatcho引言入侵检测技术自问世以來得到了快速发展，其应用环境也发生了很大变化，具体体现之一就是所监测网络带宽的改变。传统上将100Mbps以上带宽的网络称为高速网，但是随着通信技术的发展，高速网己指具有千兆速以上带宽的网络。H前的主干网大都是千兆网甚至是10Gbps网络，许多末端用户也己采用千兆网。高速网络的普及对入侵检测技术提出r新的挑战，使得以往适川于传统网络的技术和方法难以取得理想的应用效呆。山于网络带宽的大幅度提高，要求入侵检测系统以更快的速度來捕获和分析数据，作出响应和预警，以

5、降低丢包率和谋警率，确保入侵检测的效率和系统的可用性。因而，国内外广大研究者在传统技术的基础上通过提髙数据包的捕获速度、网络数据的分流及并行检测、快速模式匹配、压缩模式匹配空间、采用专用彼件或者HPC环境等措施从不同角度來改善入侵检测系统的性能，使之适应高速网络环境。下面就深入探讨和剖析目前国内外在实现高速网络环境下的入侵检测过程中所采用的各种主要技术和方法，指出我中尚存在的问题，并提出进一步的改进方法和措施。1入侵检测与入侵检测系统入侵检测是指通过收集和分析被保护系统的相关信息，从而对系统的安全性进行判断,对可能危害到系统的机密性、完整性和可用性的行为进行报警和阻断

6、，达到保证系统安金丁•作trusiondetectionsystem,IDS)。入侵检测根据观察角度的不同有多种分类方法。一种是根据所处理数据來源的不同分成基于主机的入侵检测(h0st唱basedIDS,HIDS)和基于网络的入侵检测(network唱asedIDSNIDS)。HIDS以主机屮的系统日志等静态数据作为处理对象，从中寻找和识别网络攻击所遗留下來的各种痕迹，进而完成入侵检测功能。这种方式只能做到事后检测，不能完成入侵行为的实时检测。而NIDS以网络屮传输的数据包为分析对象,从中寻找所携带的网络攻击特征,及时作出正确判断并检测出入侵行为。这种检测方式要求系统

7、能够及时捕获网络屮传输的数据包，并进行快速分析和处理，实时地给出检测结果并进行有效预警。此时若捕包和分析速度过低，将导致丢包,仰丢介的数据何屮祁川能就何括网络旳击的相并处皿・¥混样將影响入侵检测的效果和可用性:IfuJI.丢包率越高，対入侵检测效果的影响越为严朿。山上述分析可见，NIDS受网速的影响非常大，所以高速网下的入侵检测一般是指NIDS,而冃前常用的是基于规则的N1DS，其组成如图1所示。NIDS既用于监测主干网，也可用于监测末端用户网络，而收稿日期：2009唱09唱25:修回日期：2009唱11唱02基金项目:上海市教委科研创新资助项目(0