Snort中规则匹配机制的改进

Snort是一个基于libpcap的数据包嗅探器并可作为一个轻量级的网络入侵检测系统,它属于误用检测。该文通过介绍Snort的基本原理,系统结构,规则分析,匹配机制等,讨论了其在规则匹配机制方面的不足,并提出了一些改进的意见和方法,来提高Snort规则匹配的速度,从而提高Snort的整体性能。     

Snort规则集的优化方法

高速网络的发展使得提高检测速度成为入侵检测系统面,临的关键问题。通过对Snort规则集优化方法的分析与比较,提出将活跃规则集划分与多子集划分相结合的方法,先从整体上优先选择要匹配的规则集,然后进行并行匹配,以提升入侵检测中规则匹配的效率。     

基于活跃规则集的Snort高效规则匹配方法

对于基于特征的开源入侵检测系统Snort来说,如何提高速度以适应高速网络的发展是关键。在分析Snort新特性和现存多种规则匹配方法的基础上,考虑到大量Snort规则在一定时间内只有一小部分规则是活跃的,提出基于活跃规则集的Snort规则匹配方法,通过把每个端口下的规则分成活跃规则集与不活跃规则集,结合反馈规则匹配频度的思想,实时更新规则匹配顺序和控制活跃规则集大小,从而提高规则匹配速度。     

基于统计阈值的Snort规则集动态产生的设计与实现

Snort作为开源的入侵检测系统,利用定义的静态规则集合实现对网络的入侵事件的检测。本文分析入侵检测系统的基本原理和模型,阐述Snort入侵检测系统部署到网络时,其静态规则集的配置方法,根据统计流量阈值和告警频率阈值动态产生动态规则集的方法,改进并提高了部署Snort应有的灵活性。     

一种Snort规则的优化方法

Snort是一款基于规则发现入侵行为的网络入侵检测系统,为了提高入侵检测系统中检测引擎的速度和效益,在分析Snort的规则组织结构和规则匹配过程的基础上,提出了一种规则优化的方法。该方法充分利用了协议特征和规则内容,能有效地加快检测引擎的速度,提高入侵检测的效率。     

Snort的高效规则匹配算法

对入侵检测系统Snort的规则匹配算法进行了系统的分析，为了进一步提高Snort的规则匹配效率，提出了在匹配过程中，对于条件匹配处理函数应用参数链表驱动的方法。从而避免重复调用处理函数，充分利用参数之间的关系，并能动态地减少无效规则的匹配。通过两个实验来评估此方法的效率，结果表明改进方案较明显地提高了Snort的检测性能。     

基于Snort的入侵检测系统性能优化

通过对Snort的规则匹配方式和模式匹配算法进行分析,为了提高基于Snort的入侵检测系统检测效率,提出了在规则匹配过程中充分利用处理函数的参数之间的关系,从而动态减少无效匹配次数,在模式匹配阶段采用改进的模式匹配算法提高匹配速度,从根本上优化了入侵检测系统的检测性能。     

提高Snort规则匹配速度的研究

Snort是一种基于规则匹配的误用入侵检测系统,基于规则的模式匹配是Snort检测引擎的主要机制,也是衡量其性能的重要指标.由于当前Snort采用的规则树结构过于简单,造成某些RTN下的OTN链比较庞大;匹配过程中,OTN各个选项的匹配顺序仍然局限于安全专家根据领域知识,人为而定,从而造成某些重要选项不能得到优先匹配,大大降低了Snort的匹配速度,严重影响检测效率.为解决上述问题,将数据挖掘技术应用到Snort入侵检测系统中,利用数据挖掘中的ID3算法,对Snort规则库中的规则进行挖掘,选取信息增益最大的属性作为Snort优先匹配的属性,从而提高了规则匹配的速度.     

Snort数据包捕获性能的分析与改进

基于Snort的入侵检测系统运行在Linux操作系统平台,捕获数据包的工作是借助Libpcap由Linux操作系统内核完成的。要提高入侵检测系统的效率,首先要保证捕获数据包的效率。本文对Linux的数据包捕获机制进行分析,然后利用NAPI技术和内存映射技术对Snort进行改进。试验结果表明,使用NAPI和内存映射技术后,Snort系统的性能得到明显的改善。     

Snort研究及BM算法改进

Snort是一个轻型的入侵检测系统,在检测过程中,字符串匹配算法的效率决定了Snort系统的性能.分析了Snort的系统结构和工作流程,对Snort的BM字符匹配算法进行深入研究,提出了BM字符匹配算法的改进方法.实验数据表明,改进的BM字符匹配算法可提高Snort的效率.     

基于抗体浓度的实时网络风险控制系统的设计与实现

系统采用人工免疫理论,通过对传统入侵检测系统Snort的实时检测结果进行分析,根据抗体浓度随网络入侵强度动态变化的特点,计算出当前网络风险值,反映出当前网络所面临的各类攻击和整体风险状况;Snort依赖规则匹配对数据包进行检测,由于检测过程未考虑当前的网络风险状况,对所有的匹配都发出报警,存在误报率过高的问题,系统针对不同攻击的危险程度设定报警阈值和丢包阈值,降低Snort的误报率;并根据风险值大小,采取通过、报警、丢包阻断等响应措施。实验表明,该系统能够准确计算出主机和网络所面临的实时风险,降低Snort误报率,并能根据风险值大小制定有效的响应措施     

一种改进的多模式匹配算法在Snort中的应用

模式匹配算法是入侵检测系统的重要组成部分。为进一步提高入侵检测系统的性能和效率,提出一种新的多模式匹配算法——完全自动机匹配算法(CA-AC算法),并将其应用于入侵检测系统Snort中。该算法是对Aho-Corasick算法的改进,根据新算法进行状态转换使得自动机状态减少,相应节约了存储空间。分析了算法的复杂度。实验表明,完全自动机算法在Snort中的应用改进了算法的性能,提高了Snort系统的规则检测效率。     

基于Linux的网络入侵防御系统的研究和设计

基于特征的入侵防御系统是目前的入侵防御技术的主流。分析研究Snort入侵检测系统和Netfilter防火墙的工作原理,对如何保障自身安全以及联动的方式进行探讨,利用插件技术、多线程技术设计编写相关协同模块,提出一种基于Snort和Netfilter的分布式入侵防御系统;针对Netfilter防火墙规则集的顺序敏感性的工作特点,对其规则的编写进行具体优化,提高系统工作效率。经过测试证明,该系统灵活高效,能够利用入侵检测系统的检测能力,动态地为防火墙定制过滤规则,阻断攻击源,从而达到入侵防御的目的。     

基于判定树的Snort规则集优化构造方法

为降低Snort2检测所耗费的CPU时间,针对端口分类所导致的规则重复构造问题,提出一种基于判定树的规则集有效划分方法,并对划分后的规则子集采用依据匹配项信息值的规则优化构造方式。实验通过高精度的时间测量结果证明该规则集优化构造方法使数据包检测所耗费的CPU时间比Snort2原方案平均降低45.9%。     

基于规则库优化算法的网络入侵检测系统研究与应用

为克服通用入侵检测框架模型(GIDF)及其各组成部分在设计和实现中存在的弱点,在对一个开放性入侵检测系统软件Snort进行分析的基础上,提出增加宽度搜索与动态选项链表相结合的规则匹配操作优化算法;实验表明,改进后的系统通过增加宽度搜索提高了选项匹配的并行性;通过采用动态选项链表优化了规则匹配的顺序,缩短了深度搜索的深度,从而从整体上切实提高了Snort的检测速度.