高速網(wǎng)絡(luò)中濫用入侵檢測(cè)系統(tǒng)檢測(cè)精度的改進(jìn)研究.pdf

1、網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)（NIDS）是一種重要的安全檢測(cè)工具，檢測(cè)精度是影響其實(shí)用性的重要因素。論文研究了以下三種有助于提高濫用NIDS檢測(cè)精度的方法：為NIDS引入檢測(cè)規(guī)則自動(dòng)更新和預(yù)處理機(jī)制；加強(qiáng)NIDS面向會(huì)話流的檢測(cè)能力；對(duì)原始警報(bào)進(jìn)行冗余消除和警報(bào)關(guān)聯(lián)等后處理，從而提高濫用NIDS的檢測(cè)精度，增強(qiáng)其警報(bào)事件的可信度。 檢測(cè)規(guī)則是濫用入侵檢測(cè)判定攻擊的依據(jù)所在，直接關(guān)系到檢測(cè)結(jié)果的準(zhǔn)確性。論文首先分析了檢測(cè)規(guī)則從哪幾個(gè)方面影響檢

2、測(cè)精度，以此為基礎(chǔ)設(shè)計(jì)了一種檢測(cè)規(guī)則自動(dòng)更新與預(yù)處理機(jī)制。規(guī)則自動(dòng)更新機(jī)制保證了檢測(cè)規(guī)則庫(kù)的時(shí)效性；規(guī)則預(yù)處理機(jī)制則通過(guò)對(duì)規(guī)則進(jìn)行去錯(cuò)去重、沖突檢測(cè)、人工微調(diào)來(lái)剔除那些易于帶來(lái)誤報(bào)的規(guī)則。為了提高報(bào)文分類算法在大規(guī)模規(guī)則庫(kù)下的可擴(kuò)展性，論文在P-HiCuts報(bào)文分類算法的基礎(chǔ)上通過(guò)采用每規(guī)則建樹(shù)和TCP標(biāo)志域離散化兩種改進(jìn)手段，使改進(jìn)后的算法減少了平均75％左右的空間消耗，并降低了算法空間占用隨規(guī)則數(shù)增長(zhǎng)而增加的速度。 傳統(tǒng)NI

3、DS采用的是基于單報(bào)文的入侵檢測(cè)手段。為了充分挖掘報(bào)文間的聯(lián)系，論文研究了面向會(huì)話流的入侵檢測(cè)方法。會(huì)話流檢測(cè)可以分為基于在線法和基于緩存法兩種，前者雖然空間消耗較少，但所提供的檢測(cè)能力有限，不能適應(yīng)日益復(fù)雜的檢測(cè)要求，因此論文采用了基于緩存法的會(huì)話流重組算法。應(yīng)用層協(xié)議語(yǔ)義抽取是會(huì)話流檢測(cè)的重要功能，為了提高語(yǔ)義抽取的正確性和效率，論文設(shè)計(jì)了基于鑒別-抽取機(jī)制的語(yǔ)義抽取算法，在滿足規(guī)則檢測(cè)要求的基礎(chǔ)上提高了抽取算法性能。論文討論了TC

4、P層次和應(yīng)用層層次的會(huì)話流狀態(tài)跟蹤在抗無(wú)狀態(tài)攻擊、改進(jìn)檢測(cè)精度上的意義，并給出了相應(yīng)的實(shí)現(xiàn)算法。隨著入侵技術(shù)的進(jìn)步，出現(xiàn)了多種變體攻擊方法來(lái)逃避NIDS的檢測(cè)。論文分析了會(huì)話流檢測(cè)中所涉及的4類變體攻擊問(wèn)題，并根據(jù)適用于高速網(wǎng)絡(luò)環(huán)境（Gbps）和主干網(wǎng)監(jiān)測(cè)等要求設(shè)計(jì)了相應(yīng)的檢測(cè)算法。 為了改變各個(gè)原始警報(bào)信息相互孤立的狀態(tài)，論文介紹了安全檢測(cè)事件多級(jí)處理的思想。通過(guò)對(duì)原始警報(bào)進(jìn)行冗余消除和關(guān)聯(lián)分析，檢測(cè)系統(tǒng)可以進(jìn)一步減少警報(bào)數(shù)量

5、，提高警報(bào)質(zhì)量。論文重點(diǎn)對(duì)典型的冗余消除算法進(jìn)行了比較，通過(guò)理論分析和實(shí)驗(yàn)驗(yàn)證證明基于事件時(shí)間間隔相對(duì)均方差的多特征關(guān)聯(lián)冗余消除算法在冗余事件的識(shí)別程度、冗余消除度和對(duì)攻擊速度變化的適應(yīng)性方面均優(yōu)于其他幾種算法，并給出了該算法的實(shí)現(xiàn)。 最后論文通過(guò)系統(tǒng)測(cè)試證明改進(jìn)后的系統(tǒng)檢測(cè)能力和檢測(cè)精度均得到了提升，其中改進(jìn)版在測(cè)試中相比于原始版本分別減少了30％的誤報(bào)和26％的漏報(bào)。由于檢測(cè)規(guī)則和檢測(cè)步驟的增多，改進(jìn)版空間占用比原始版多出約