一种基于数据挖掘的Snort系统的设计与应用

为了提高入侵的检测效率,提出了一种基于数据挖掘的改进的Snort系统.该系统充分利用数据挖掘的入侵检测优点,采用改进的Apriori算法,在Snort原系统基础上增加一个数据异常检测模块,改进了Snort存在的缺点,提高了检测率.通过模拟实验验证和实际网络环境应用分析,得出该系统比原Snort系统具有更高的检测性能,能...     

IBM算法及其在Snort系统下的实现

入侵检测系统匹配算法是影响检测效率的关键,为进一步提高系统性能和检测效率,对Snort系统采用的BM算法进行了改进,提出了IBM算法.该算法以两个字符为单位计算右移量,增大了文本串的滑动距离,有效地减少了匹配次数;将IBM算法应用于Snort,并在Windows平台下实现了基于改进算法的Snort系统.实验结果表明,该系统能够有效地检测各种攻击,与原系统相比检测效率有了明显的提高.     

网络入侵检测系统中多模式匹配算法的研究

网络入侵检测系统的性能一定程度依赖于精确、快速的模式匹配技术。随着网络速度的快速增长,模式匹配技术必将成为入侵检测系统性能的瓶颈。首先介绍了网络入侵检测系统Snort中采用的多模式匹配算法,进而提出了一种改进的多模式匹配算法。实验结果表明,改进后的算法降低了时间复杂度,提高了系统检测效率。     

一种改进的Snort系统的设计与应用

入侵检测是网络安全技术领域的主要研究方向之一.为了提高入侵的检测效率,改进后的Snort系统采用了数据挖掘技术,总结出一些正常模式,能够对异常行为进行检测,并且在提高入侵检测系统的完备性和准确性的同时,也能更准确地检测某些未知攻击或者已知攻击的变种.     

基于Snort的入侵检测系统研究

简要介绍了入侵检测系统的构成与系统特点,并对基于Snort的入侵检测方案进行了研究,给出了以Linux为平台的Snort入侵检测系统的设计、部署以及规则设计与模型改进等具体方案,为入侵检测系统的设计与开发提供了参考。     

基于Snort的入侵检测警报分析系统改进模型

针对目前入侵检测系统存在的警报量大、误报率高的问题,设计了一个基于Snort的入侵检测警报分析系统改进模型。该模型以开源入侵检测系统Snort为基础,利用关联规则挖掘算法建立正常警报行为模式和异常警报行为模式,提高了系统的检测效率,并在一定程度上提高了系统对未知攻击的检测能力。     

基于Snort入侵检测系统的改进优化

在深入研究和分析Snort入侵检测系统的基础上,对原有系统提出了新的改进设计方案,解决了Snort系统不能及时检测未知入侵行为的问题．同时,根据Snort流出数据的特征,统计了其出现频率,将存在威胁的数据特征动态加入到Snort异常特征库中,实现了对未知入侵的拦截．改进后的系统可有效防止未知的入侵事件,降低了丢包率,提高了系统的全面检测能力．     

Snort系统的动态配置研究

分析了入侵检测系统Snort 2.4的检测规则分类方式和检测流程,设计并实现了Snort检测规则的动态配置,在不中断Snort系统运行的前提下,用户可以编辑并动态调整Snort系统的规则和运行参数,有助于提高检测效率,降低CPU的占用率.     

基于协议分析的入侵检测方法的改进

自协议分析方法引入入侵检测系统以来,就与模式匹配方法相结合,以其简单、高效得到了广泛的应用与发展。Snort系统是目前最常用的基于协议分析的入侵检测系统,目前多数入侵检测产品是将Snort系统进行简单加工改造而成的。Snort系统是完全由规则驱动的,只是对网络接口数据进行生硬的模式匹配。近年来,国内外也提出了一些协议分析方法的改进,但都局限于基于误用的检测方法效率的提高。本文总结了现在基于协议分析的入侵检测方法的理论成果,提出了一种有机结合了误用和异常检测方法的基于协议分析的入侵检测系统模型。这一模型结合了协议确认、协议分析和模式匹配三种检测技术,综合协议分析方法的先进技术方法,并利用协议确认方法对原有单一规则驱动的方法做出有利补充。     

入侵检测系统中的模式匹配算法的研究

检测引擎是入侵检测系统关键部件,模式匹配算法则是检测引擎的核心。本文在分析了著名的多模式匹配算法Wu-Manber算法的基础上,对该算法在Snort中的实现(MWM算法)及对影响算法性能的因素进行了分析。通过实验验证了最短模式长度对算法的性能有着较大的影响。提出了改进方案,通过拆分模式集,改变模式集中最短模式的长度,以更好的发挥MWM算法的优势,从而提高入侵检测的效率。     

入侵检测中字符匹配系统的FPGA实现

在入侵检测系统中,由于基于软件的字符匹配系统受处理器性能与软件串行执行等因素影响,处理速度有限,故设计并实现了基于FPGA的字符匹配系统.以硬件电路的实现方式提升处理性能,并采用了适合于FPGA运算的XORHash算法快速计算地址,从地址中取数据进行匹配,并实现数据的并行处理.通过在原有入侵规则实现逻辑上进行修正,实现规则的更新,通过预处理对冲突的模式串单独匹配解决了冲突.实验结果显示,系统的数据处理能力达到了129Gbps,为软件方法的35倍以上.当处理更多Snort规则时,系统吞吐量不受影响,资源的消耗增加很少.     

Memory Efficient String Matching Algorithm for Network Intrusion Management System

As the core algorithm and the most time consuming part of almost every modern network intrusion management system (NIMS), string matching is essential for the inspection of network flows at the line speed. This paper presents a memory and time efficient string matching algorithm specifically designed for NIMS on commodity processors. Modifications of the Aho-Corasick (AC) algorithm based on the distribution characteristics of NIMS patterns drastically reduce the memory usage without sacrificing speed in software implementations. In tests on the Snort pattern set and traces that represent typical NIMS workloads, the Snort performance was enhanced 1.48%-20% compared to other well-known alternatives with an automaton size reduction of 4.86-6.11 compared to the standard AC implementation. The results show that special characteristics of the NIMS can be used into a very effective method to optimize the algorithm design.     

模式匹配技术在Snort中的应用和改进

目前有常用的几种模式匹配技术。在 snort 模式匹配方法中还有一定的局限性,协议匹配、字符串匹配也存在一些弊端。为了有效的提高入侵检测系统的可靠性,可以综合利用各种匹配技术并对匹配算法加以改进。采用协议分析大大减少模式匹配的计算量,提高匹配的精确度,减少误报率;对 BMH 算法的改进可以更进一步的提高匹配效率。从而开发出更高效的基于 Snort 的入侵检测系统。     

Snort规则链表结构的分析与改进

Snort主要是根据规则树对数据进行递归匹配。因此规则树的结构是否合理，在很大程度上影响着Snort规则匹配的速度。本文对Snort规则链表结构进行了分析，并针对Snort规则树过于简单这一不足之处，对其进行改进，在保持原有规则匹配方法的基础上，增加宽度优先搜索算法，从而减少规则匹配所需时间。     

高速包分类平台的FPGA设计

在网络安全系统中,基于软件的包分类系统受处理器性能与软件串行执行等因素影响,包分类速度有限.为了提高包分类和规则预处理的速度并快速适应规则的更新,本文用硬件电路与通过预规则处理生成的二叉树结构,设计并实现了基于FPGA的包分类系统.实验结果显示:50 000个规则的预处理时间不超过0.051 s;系统的包分类平均速度大于10 Gbit/s,Snort入侵检测系统的规则头的分类平均速度大于20 Gbit/s.     

基于爬山法的快速图像匹配

针对高速系统的应用需求,分析一种基于爬山法的快速图像匹配算法.文章首先通过分析NNPROD算法的相关度量曲面,设计了多个爬山者按照优先级依次爬山的启发式搜索算法,该算法能够保证全局最优.然后分析了进一步提高算法快速性的三种改进方案:爬山步长的自适应调整、通过图像样本集来计算相关度、爬山与分层相结合的搜索策略.实验结果表明,爬山搜索算法性能优越.目前,该法已在实际系统中得到应用.