毕业论文：INIDS分布式网络入侵检测系统的设计与实现 ㊣ 精品文档 值得下载

系统的资源和数据，这是当前网络安全领域个十分重要而迫切的问题。

就目前来说，要想完全避免安全事件的发生并不太现实。

网络安全工作还必须尽力发现和察觉入侵及入侵企图，以便采取有效的措施来堵塞漏洞和修复系统。

现行系统安全策略的最重要的手段是访问控制。

但是，无论在理论上还是在实践中，试图保证任何个系统中不存在安全漏洞是不可能的，填补所有安全漏洞是不可行的，也还没有种切实可行的办法解决合法用户在通过身份认证后滥用特权的问题。

因此，从传统网络安全技术存在着不足，迫使我们研究新的网络安全技术，主要包括技术和入侵检测技术等，以弥补传统技术的不足。

入侵检测是动态的跟踪和检测方法，与静态加密技术相比，它具有更强的自主性，作为种积极主动的安全防护技术，入侵检测提供了对内部攻击外部攻击和误操作的实时检测，进而在网络系统受到危害之前进行拦截入侵或最大程度减小入侵危害。

从网络安全立体纵深多层次防御的角度出发，入侵检测已逐渐成为网络安全领域最活跃的研究课题之。

这从国外入侵检测产品市场的蓬勃发展就可以看出。

在国内，随着上网的关键部门关键业务越来越多，迫切需要具有自主版权的入侵检测产品。

可见，入侵检测技术应该进行进步的研究。

分布式网络入侵检测系统的应用价值本文提出的分布式网络入侵检测系统，是将网络数据包捕获技术模式匹配数据库技术分布式控制技术及统计技术等有机地融合在起，通过分析直接从网络捕获的数据包，发现违背安全策略或危及系统安全的行为和活动，它能够检测到超过授权的非法访问，并进行实时显示和数据库存储，通过即时感知网络中的入侵攻击行为，为有效阻止入侵提供决策依据，有效地弥补了传统网络安全技术的不足。

系统采用分布检测，集中监控管理的架构，提高了检测效率，克服了检测器单点失效问题，方便了使用和管理，通过修改安全策略来感知新的攻击，这使安全风险得到有效的控制和减轻，本系统具有定的实用价值。

在经济领域中它可以及时发现阻拦入侵行为，保护企业来自不满员工黑客和竞争对手威胁，保证企业信息平台的正常运转在军事领域，可用于网络战的防御系统在司法领域可用于计算机犯罪的取证等。

研究的主要内容基于网络的入侵检测原理与技术分布式网络入侵检测系统的架构分布式网络入侵检测系统各组成部分的设计与实现相关技术领域国内外发展现状和趋势相关技术领域内外发展现状网络入侵检测技术在国外研究和开发进行得较早及深入。

年月，詹姆斯安德森为美国空军做的题为计算机安全威胁监控与监视的技术报告中，第次详细阐述了入侵检测的概念，并首先为入侵和入侵检测提出了个统的架构，这是该领域的开山之作。

年，提出了第个入侵检测模型入侵检测系统专家框架，该模型可以检测出黑客入侵越权操作以及其他种类的非正常使用计算机系统的行为。

年，加州大学戴维期分校开发出了，第次直接将网络流作为入侵征兆信息源，至此，形成了基于主机的入侵检测系统和基于网络的入侵检测系统两大阵营，随后，此加利福尼亚州立大学提高模型，该模型主要是针对近年来日渐猖獗的网络协同攻击而提出的。

它主要通过系统之间的协同工作来实现分布式的协同检测。

目前国外入侵检测技术与产品已经比较成熟，代表性的产品主要有如公司的公司的和公司的等，其中公司的的智能攻击识别技术是当前系统中最为先进的。

在国内，入侵检测系统的研究还刚刚起步，不够成熟，目前只有少数几家公司如金诺网安瑞星等对对入侵检测等高级网络安全技术开始关注，近年来国内对网络入侵检测系统的认识度在逐渐提高，大多数产品都是近几年才研发成功，绝大多数厂家沿用的是年开发代码免费的核心。

国内有代表性的产品主要有北京启明星辰信息技术有限公司的天阗千兆入侵检测与预警系统成都三零盛安信息系统有限公司的鹰眼千兆网络入侵检测系统和金诺网安公司的入侵检测系统。

相关技术领域发展趋势软件产品硬件化随着用户对认识的加深，用户对的自身安全性以及检测效率的要求越来越高，对嵌入式系统的需求会逐渐增加，实现软件产品硬件化是必然发展趋势。

宽带技术网络应用范围的扩大和数据流量的增加，特别是包括语音图像和，功能解析每条规则中的选项项部分，并将其加入到二维规则链表中的适当位置。

参数说明参数为规则描述字串参数为规则类型协议类型。

返回值无。

检测引擎模块检测处理流程图检测处理流程主要数据结构模式匹配数据结构结构规则响应方式是吗解析后的数据包送至检测引擎规则响应方式是吗协议类型是吗协议类型是吗进入报警链表进入节点链表从左到右遍历规则树节点查看源目的源端口目的端口是否匹配规则选项是否匹配进入选项树节点相应处理相应处理匹配成功返回匹配不成功返回匹配不成功返回是否是否是是否是否指明非方式，即规则里是不匹配的情况进行匹配的包起始位置在数据包中进行多少字符的模式匹配模式串长模式串模式匹配函数坏字符表好后缀表主要处理函数规则响应方式处理函数功能对当前数据包按照定的顺序，分别应用三个规则列表，即分别进行处理。

参数说明为结构数据包指针。

返回值匹配返回，否则返回。

协议类型处理函数功能根据不同的协议类型，选择对应的二维规则链表，对当前数据包进行规则检测。

参数说明为结构数据包指针。

返回值返回说明已进行处理。

规则链表头检测函数，功能对二维规则链表头进行遍历搜索，实现对当前数据包规则头进行匹配检测。

参数说明为规则树节点指针为结构数据包指针。

返回值表示匹配表示不匹配。

规则链表选项检测函数，功能对二维规则选项链进行遍历搜索，实现对当前数据包规则选项部分进行匹配检测。

参数说明为规则选项树节点指针为结构数据包指针。

返回值表示匹配表示不匹配。

模式匹配检测函数，功能检测数据包是否与规则选项中的模式串相匹配，即数据包是否包括入侵特征。

参数说明数据包缓冲区，即解析后的数据包参数为数据包长度参数为模式串参数为模式串长度参数为坏字符表参数为好后缀表返回值表示匹配成功表示不匹配。

输出组件模块当检测引擎检测到攻击事件时需要将报警数据分类存放到数据库中，以提供灵活的解决方案，实现显示查询统计功能。

主要数据结构数据库名主机名检测器标识事件标识额外参考信息结构指针口令用户名连接端口检测器名解码类型报警机制不否忽略过滤版本号主要函数建立数据库连接功能初始化数据库连接。

参数说明参数为指针。

返回值无。

关闭数据连接功能关闭数据连接。

参数说明参数为指针。

返回值无。

报警数据插入到数据库函数，功能将报警数据插入到数据库函数。

参数说明参数为指针。

返回值无。

第五章数据库设计数据表设计本系统的数据库包含个数据表，这些表都满足第三范式的要求。

表结构的说明如下探测器表字段名数据类型长度字段描述不允许空备注整型探测器编号主键字符型探测器主机名字符型网络适配器字符型过滤器整型报警机制类型来源于表整型解码类型来源于表整型报警事件表字段名数据类型长度字段描述不允许空备注整型探测器编号主键整型事件编号主键整型攻击特征编号日期型报警时间攻击特征表字段名数据类型长度字段描述不允许空备注整型特征参考编号主键字符型事件编号主键整型攻击类别编号整型报警级别整型规则版本号整型规则唯标识特征参考表字段名数据类型长度字段描述不允许空备注整型特征参考编号主键整型参考序列号主键整型参考编号攻击类型表字段名数据类型长度字段描述不允许空备注整型攻击类别编号主键字符型攻击类型名专家建议表字段名数据类型长度字段描述不允许空备注整型参考编号主键可变长度类型专家建议解码类型表字段名数据类型长度字段描述不允许空备注整型编号主键字符型解码类型报警机制表字段名数据类型长度字段描述不允许空备注整型编号主键字符型报警类型头表字段名数据类型长度字段描述不允许空备注整型探测器编号主键整型事件编号主键整型源地址整型目的地址整型协议版本号整型头长度整型服务类型整型报文总长度整型报文标识整型标志整型分段偏移量整型生存期整型协议号整型报头校验和头表字段名数据类型长度字段描述不允许空备注整型探测器编号主键整型事件编号主键整型源端口号整型目的端口号整型序列号整型确认号整型数据偏移整型系统保留整型标识整型接收窗口大小整型检验和整型选项头表字段名数据类型长度字段描述不允许空备注整型探测器编号主键整型事件编号主键整型源端口号整型目的端口号整型报文长度整型检验和头表字段名数据类型长度字段描述不允许空备注整型探测器编号主键整型事件编号主键整型报文类型整型报文代码整型检验和整型标识整型序列号协议类型表字段名数据类型长度字段描述不允许空备注整型协议编号主键字符型协议名称数据包记录表字段名数据类型长度字段描述不允许空备注整型探测器编号主键整型事件编号主键字符型数据包祥细信息数据表关系设计数据表之间的关系如图所示摘要传统的网络安全技术种类繁多，然而却已无法满足网络安全的新需求。

网络入侵检测技术应运而生，它已逐渐成为网络安全研究最活跃的领域，这预示着网络安全技术正在朝着智能化的方向发展。

网络入侵检测是继防火墙数据加密等传统安全保护技术后新代的网络安全技术。

网络入侵检测通过对计算机和网络资源上的恶意使用行为进行识别和响应，不仅检测来自外部的黑客入侵，同时也监督内部用户的未授权活动。

本文简要分析了入侵检测系统的技术与发展方向。

提出了种基于企业内部网络的分布式入侵检测系统，给出了系统总体结构主要模块的设计与实现方法和关键数据结构。

该系统能以友好的图形化方式显示入侵事件，并且能实现分布式的检测与控制。

关键词入侵检测，分布式，数据包，规则，模式匹配，远程控制目录第章引言研究背景选题依据及应用价值选题依据分布式网络入侵检测系统的应用价值研究的主要内容相关技术领域国内外发展现状和趋势特色与技术创新点论文的组织第二章入侵检测系统原理和技术入侵检测系统概述入侵检测系统的分类基于主机的入侵检测系统基于网络的入侵检测系统入侵检测系统原理概要异常入侵检测原理误用入侵检测原理入侵检测技术概要异常入侵检测技术误用入侵检测技术其他检测技术分布式网络入侵检测系统检测原理与技术分布式入侵检测框架模型中的入侵检测技术第三章系统体系结构需求分析检测需求操作需求平台范围需求性能需求系统功能需求系统体系结构系统组成总体结构入侵检测流程系统逻辑层次中央控制台体系结构检测系统结构数据存储系统结构系统部署