网络入侵检测系统NIDS的Snort工具的研究

随着互联网的迅速普及，其安全技术的重要性已经日益突出，IDS（Intrusion Detection System）是网络安全技术的重要组成部分之一。NIDS是基于审计的IDS，通过被动地分析网络的流通信息包括数据包的报头和数据信息以达到检测网络异常行为的发生。Snort是一个基于libpcap的数据包嗅探器并可以作为一个轻量级的网络入侵检测系统（NIDS）。本论文通过介绍NIDS中Snort工具的检测规则、功能结构、程序结构以及与其它NIDS工具的比较，讨论了Snort的不足之处，并对其的改进提出了一些建议性的思路，以期能在进一步的研究中起到抛砖引玉的作用。     

利用Netfilter实现NIDS集群的研究和实践

目前基于网络的入侵检测系统(NIDS)面临普通单机检测设备的数据包处理能力不能适应网络带宽发展需求的问题，该文介绍了利用NIDS集群在高速网络环境下实现入侵检测的方法。根据NIDS集群的特点利用Linux内核中Netfilter模块实现了数据包基于分流转发和会话的动态负载均衡。并通过使用基于Linux操作系统的IDS负载均衡器实现了NIDS集群在高速网络环境下的入侵检测。     

基于Snort的边界数据包安全性检测

无论是蠕虫病毒、木马或是其他的网络攻击行为,无不向目标网络发送恶意数据包,以达到恶意攻击的目的.网络监控成为检测来自外部网络的数据包安全性的重要手段,Snort作为防火墙的补充广泛应用于网络内部,监控网络流量、数据包安全等.将Snort IDS部署在网络边界,基于CVE漏洞库建立本地Snort特征库,以检测所有通过边界的数据包,保护内网安全.     

用于网络入侵检测的模式匹配新方法

针对新一代网络入侵检测系统(NIDS)的创建需要先进的模式匹配引擎,提出一种模式匹配的新方案,利用基于硬件的可编程状态机技术(B-FSM)来实现确定性处理过程。该技术可以在一个输入流中同时获取大量模式,并高效地映射成转换规则。通过对网络入侵检测系统中普遍采用的规则集(Snort)进行实验,实验结果表明该方法具有存储高效、执行速度快、动态可更新等特点,可以满足NIDS的需要。     

HIDS渐成主流

当前的网络IDS系统可以分为基于网络数据包分析的系统(NIDS)和基于主机分析的系统(HIDS)两种基本方式。简单地讲,HIDS产品主要对主机的网络实时连接以及系统审计日志进行智能分析和判断,在宿主系统审计日志文件中寻找攻击特征,然后给出统计分析报告;NIDS产品在网络通信中寻找符合网络入侵模板的数据包,并立即作出相应反应。     

基于Snort的入侵检测系统在校园网的应用

面对越来越复杂的互联网络环境,传统安全体系受到严重威胁,入侵检测系统(Intrusion Detection System,IDS)已经成为安全系统中重要的组成部分。该文简要地介绍了入侵检测系统的分类、原理和系统结构。并以著名开源NIDS Snort为例,设计并实现了一个校园网入侵检测系统。     

一种入侵检测系统的规则描述语言

入侵检测系统(IDS)是保护信息系统安全的重要方式。而新一代IDS的一个最主要的特点就是IDS入侵检测规则描述语言。该文通过对Snort规则的分析与比较，提出了一种基于网络的IDS规则描述语言，它具有直观易定义、描述精确等特点。     

Snort报文嗅探和报文解析实现的剖析

Snort是目前最受关注的一个代码开放网络入侵检测系统(NIDS)。报文嗅探是其最基本也是最重要的部分。该文分析了Snort报文嗅探器的工作方式和工作过程,对Snort报文嗅探和报文解析的实现进行了分析。     

基于Snort的入侵检测系统的研究与实现

入侵检测系统是网络纵深防御体系中的重要组成部分。能够捕获并记录网络上的所有数据并对其进行分析,从而发现异常行为,介绍了入侵检测系统(Intrusion Detection System,IDS)的概念,从体系结构、总体流程方面对开源网络入侵检测工具Snort进行深入分析,构建了基于Snort的入侵检测系统,并通过实验验证,结果表明,该系统能够有效地发现攻击。     

Snort中规则匹配机制的改进

Snort是一个基于libpcap的数据包嗅探器并可作为一个轻量级的网络入侵检测系统,它属于误用检测。该文通过介绍Snort的基本原理,系统结构,规则分析,匹配机制等,讨论了其在规则匹配机制方面的不足,并提出了一些改进的意见和方法,来提高Snort规则匹配的速度,从而提高Snort的整体性能。     

基于网络的入侵检测系统的研究及实现

随着网络技术的发展,保护信息以及网络的安全变得越来越重要。文中归纳了入侵检测系统的结构和类别,并提出了一个基于网络的入侵检测系统的设计思想。该系统在Linux操作系统下以Snort为内核,MySQL作为后台数据库,用PHP开发实现。最后分析了该系统的可以改进的方面以及网络入侵检测目前面临的问题。     

基于Snort的IPv6入侵检测技术

针对开源入侵检测系统Snort没有提供对IPv6协议的AH和ESP扩展首部支持的问题,提出利用Snort检测ESP加密报文的解决方案。构造ESP检测规则,在Snort协议分析模块加入DecodeESP()函数并添加密钥管理模块,实现Snort对IPv6报文中ESP扩展报头的解析,管理其产生的密钥。给出一种面向ESP的入侵检测系统模型,以验证IPv6加密通信入侵检测的可行性,并给出实验验证过程。     

基于Snort的DHCP Flood攻击检测

Snort是一个功能强大的轻量级的NIDS,它能够检测出各种不同的攻击方式,并能对攻击进行实时警报。然而,Snort对DHCP Flood攻击的检测存在着明显的缺陷。在入侵检测系统Snort的基础上,通过设计预处理插件,实现了对DHCP Flood攻击的检测。     

提高Snort规则匹配速度方法的研究与实现

当今的网络环境变得越来越复杂,网络安全管理员的工作不断加重,不经意的疏忽便有可能遗留下安全的重大隐患,同时,网上黑客教程和千余种入侵工具随手可得,使网络安全问题防不胜防。该文对开放源代码入侵检测系统Snort的规则匹配算法进行分析,重新构造了Snort搜索引擎,从而提高了规则匹配速度。     

提高Snort规则匹配速度新方法的研究与实现

入侵检测系统在网络安全中扮演着越来越重要的角色,Snort作为一个开源的入侵检测系统,改进其使用的匹配算法,使其能够减少运行时间,提高效率是不断研究的主题。对于模式匹配算法,增大其最大移动距离和保证其能够移动最大的安全距离是提高算法效率的关键。改进算法在BM算法的基础上,采用双字符序列检测方法,增大匹配过程中最大移动距离至m+2,并保证匹配失败时,每一次都能够移动最大的安全距离。将该改进算法应用于Snort系统中。实验验证,该算法能够减少字符比较次数和窗口移动次数,同时提高Snort系统的效率。     

Integrating software specifications into intrusion detection

There exist a number of Intrusion Detection Systems (IDSs) that detect computer attacks based on some defined attack scenarios. The attack scenarios or security requirements in some of these IDSs are specified in attack specification languages that are different from software specification languages. The use of two different languages for software specification and attack specification may generate redundant and conflicting requirements. The advantage of using the same language for both functional specifications and attacks specifications is that software designers can address the two different issues without learning two types of languages. We present a method of integrating Abstract State Machine Language (AsmL) and Unified Modeling Language (UML) state charts that are extended finite state machine based software specification languages, with an open source IDS Snort. This work provides AsmL and UML users an IDS that they can use without knowing how to write Snort rules. We automatically translate attack scenarios written in AsmL and UML state charts into Snort rules with context information. The original Snort is modified so that it can use the rules automatically generated by the translator. Adding context information to Snort rules improves the detection capability of Snort. To show the efficacy of the presented approach, we have built a prototype and evaluated it using a number of well-known attack scenarios.     

预处理插件在IPv6入侵检测系统中的应用

Snort是一个功能强大的轻量级NIDS,它能够检测出各种不同的攻击方式,并能对攻击进行实时告警.针对Snort没有提供对IPv6地址前缀攻击检测支持的问题,提出利用预处理插件检测该类攻击的解决方案,给出了插件的检测流程.实验结果表明,该插件对地址前缀欺骗攻击具有较高的检测率,是一种有效的入侵检测系统插件.     

Snort规则的分析与实现

Snort是一个著名的开源入侵检测系统,经过若干年的发展,已经成为一个稳定、高效的入侵检测系统。通过对Snort及其规则的分析,介绍了Snort的规则组织结构及其规则匹配流程,并在此基础上实现了对于规则的更新和添加功能,便于用户灵活定义新的入侵检测规则,提升了Snort系统的可扩展性和防范入侵攻击的能力。