网络入侵检测系统的负载均衡方案

在高速网络环境下,数据流的高速化使得网络入侵检测系统往往会出现严重的漏报率,针对此性能瓶颈,提出了一种基于预测的并行入侵检测系统的负载均衡方案。该方案主动测量各探测器的负载为预测依据,采用混沌时间序列的全域预测法为预测手段,利用预测的负载值为负载均衡的根据。通过仿真实验,证明了该方案的可行性及有效性,它能有效地均衡负载、减少系统的丢包率。     

基于NIDS的网络侧木马检测技术

网页挂马已经成为目前最为流行的攻击手法,以其为代表的应用威胁愈演愈烈。本文结合绿盟科技在NIDS产品和互联网安全信誉服务等方面的长期技术积累,介绍几种高效、可用的网络侧木马检测技术。     

基于Snort的DHCP Flood攻击检测

Snort是一个功能强大的轻量级的NIDS,它能够检测出各种不同的攻击方式,并能对攻击进行实时警报。然而,Snort对DHCP Flood攻击的检测存在着明显的缺陷。在入侵检测系统Snort的基础上,通过设计预处理插件,实现了对DHCP Flood攻击的检测。     

NIDS中正则表达式匹配电路的改进与优化

对网络入侵检测系统(NIDS)中复杂正则表达式匹配电路进行改进和优化。为达到最大吞吐量和最小的单位字符占用资源量,设计利用预译码、前缀树、规则分组、并行处理等方法进行结构优化。实验结果表明,改进后的电路结构提高了约47%匹配速度,缩减了约39%的电路面积,具有较低的资源占用和更广泛的适用性。     

基于数据包字节长度的线性自回归(Autoregression)和支持向量分类机(SVM)的网络流量预测建模与分析

本文提供了两种网络流量入侵检测的方法和它们的结果对比。这两种方法分别为线性的自回归预测以及非线性的支持向量机预测。本文将给出使用这两种方法在预测网络攻击的夺效性的详细分析。实验证明用支持向量机模型确实改进了对于攻击的识别性能，并且其误警率比AR模型低了很多。此外，与SVM相比较，AR预测模型的计算复杂度要低。     

入侵检测系统中数据包截获技术的研究和设计

介绍了两种重要的网络数据包截获机制,SOCKET-PACKET套接口和BPF过滤机制,然后介绍了Unix下的支持BPF的一种常用的数据包截获技术：Libpcap库,给出其常用的函数,并总结设计出了一个通用的数据包截获程序框架。基于开源入侵检测系统Snort的源代码,详细分析了Snort如何调用Libpcap以实现网络数据包的截获,对该框架进行了进一步的证实和阐述。网络数据包截获机制在其它领域也有广泛的应用,该研究提出的设计思路对于相关开发人员具有重要的参考价值。     

基于粗粒度遗传算法的网络入侵检测系统

分析遗传算法在入侵检测系统中的可应用情况,提出一种基于粗粒度模型遗传算法的网络入侵检测系统。通过对协议特征的分析,找出有可能被非法利用和更改的特征属性,经过组合和编码后构成系统的初始种群,在各个处理器(终端点)并行地进行遗传算法的操作,使种群的进化在所有检测点同时进行,通过迁移相互交流,合理地设计适应度函数,使遗传“基因”的取舍和利用更加合理。实验数据表明,系统的检测率达到90%以上。     

一种快速高效的模式匹配算法的应用研究

提出一种高性能的模式匹配算法——MAC算法,它通过使用从确定性有限状态机（DFA）中得到的特征等同态,在保证高速匹配的前提下,极大地减少了内存需求。同时,该算法具有高度的灵活性,即通过调整就可以适应不同的特定性能和资源限制的要求。在软件使用环境中的实验结果表明,MAC算法的内存使用性能相对目前先进的模式匹配算法提高了1.51~2.40倍。     

基于B+树快速调优的反馈式负载平衡算法

网络带宽飞速发展,应用并行处理技术可以大幅度提高网络入侵检测系统（NIDS）的性能。并行处理环境下的NIDS要求在对报文进行负载均衡分配时要保持连接的完整性,即相关的报文要分配到同一个处理节点。基于B+树的稳定和均衡特性,提出基于B+树快速调优的反馈式负载平衡算法(BLB)。该算法利用B+树搜索性能高、完全平衡的特性,当负载不均衡时,对B+树结构的流表进行快速调优,重映射流表,达到负载均衡。通过仿真实验,证明了该方案能快速使B+树结构连接密集度达到平衡,有效地均衡负载,降低系统的丢包率。     

网络入侵检测的研究与实践

介绍了入侵检测的概念、原理和检测分析模型。同时介绍了Snort—这一免费的小型入侵检测系统。利用Snort作为入侵检测系统,结合Linux防火墙,在Linux系统上实现了入侵检测功能。经验证该IDS能够在一定程度上保护局域网资源。