改进的BM算法(入侵检测算法)在IDS(入侵检测系统)中的实现

摘  要
入侵检测技术是一种主动保护自己免受攻击的网络安全技术，是继防火墙、数据加密等传统安全保护措施后新一代的安全保障技术，作为防火墙的合理补充，入侵检测技术能够帮助系统对付网络攻击，扩展系统管理员的安全管理能力，提高信息安全基础结构的完整性。
本文首先对入侵检测现状、入侵检测系统组成进行了分析和总结，重点研究了网络入侵检测的核心技术——入侵检测算法。模式匹配算法是基于特征匹配的入侵检测系统中的核心算法，是当前入侵检测设备中普遍应用的算法。模式匹配的效率决定了入侵检测系统的性能。通过对开放源代码的snort中模式匹配技术的改进，提出了一种更快的模式匹配算法，该算法可以加快入侵检测系统的检测速度，提高现有入侵检测系统的检测能力。

关键词：BM算法；入侵检测系统；模式匹配；单模式匹配算法

Implementation of Improved BM Algorithm in IDS
Abstract
Intrusion Detection Technology is such a kind of safe technologies that can make one avoid being attacked by network practices voluntarily, a new generation of security technology after the traditional security protective measure, such as fire wall, data encrypted etc. As a rational supplement of fire wall, Intrusion Detection Technique can help the system to deal with attacks from network and expand security managerial ability of system manager, and raise the integrality of the security infrastructure of the information.
First, this dissertation analyses and summarizes the current status of intrusion research, focuses on research and practice on intrusion detection system (IDS) algorithm which is technique difficulties in network intrusion detection. Pattern Matching Algorithm is central algorithm in signature based on IDS. The effect of these IDS is dominated by pattern matching algorithm used. By means of improving the pattern matching technique in open source code-snort, an even faster algorithm of pattern matching is presented so that the detection speed of IDS can be increased and the detective ability of available IDS is proved.

Key words: BM Algorithm; IDS; Pattern-matching; Single Pattern-matching Algorithm
 
本课题研究的意义
随着网络技术的快速发展，网络入侵行为也越来越严重。入侵检测系统作为防火墙技术的合理补充，越来越受到人们的重视，逐渐成为网络安全体系的一个重要组成部分。它对网络或操作系统上的可疑行为做出策略反应，及时切断入侵源，记录并通过各种途径通知网络管理员，以求最大幅度的保障系统安全。在IDS中数据包的捕获与解析是其中最重要的两个部分。但是在实际的网络运行中，数据包的捕获速度与解释速度不能匹配，这样就造成了IDS中的一个比较普遍的丢包率较高的问题。为了解决这个问题，各种各样的IDS技术被广泛采用。这些技术中，模式匹配是IDS的一个最基本也是关键的技术，它通过对照一系列已有的攻击比较用户活动，从而发现入侵。它的匹配速度的快慢直接影响到IDS的丢包率以及误报率。尤其对于基于规则的入侵检测来说，模式匹配算法非常重要，它直接影响到系统的准确性和实时性能。

入侵检测的概念
入侵，是指任何试图危及计算机资源的完整性、机密性或可用性的行为。Smaha从策略角度将入侵分为尝试性闯入、伪装攻击、安全控制系统渗透、泄漏、拒绝服务和恶意使用等6种类型。
入侵检测，是对入侵行为的发觉，它通过从计算机网络或系统中的若干关键点收集信息，并对这些信息进行分析，从而发现网络或系统中是否有违反安全策略的行为和遭到攻击的迹象。实现入侵检测功能的软件与硬件的组合就是入侵检测系统。







目  录
1  引言 1
1.1 课题背景 1
1.2 本课题研究的意义 2
2  入侵检测系统概述 2
2.1 入侵检测的概念 2
2.2 入侵检测系统的组成及部署 2
2.2.1 入侵检测系统的组成 2
2.2.2 入侵检测系统的部署 3
2.3 网络入侵检测系统Snort 3
2.3.1 Snort系统概述 3
2.3.2 Snort系统简要分析 4
2.3.3 Snort系统部分源码简介 6
3  BM算法 6
3.1 BM算法 6
3.1.1 BM算法具体介绍 6
3.1.2 BM算法预处理 8
(毕业设计)
3.1.3 BM算法查找 9
3.2 BM算法字符匹配实例 9
4  BM算法的改进和实现 12
4.1 BM算法的改进思想 12
4.2 改进的BM算法 14
4.3 改进的BM算法与BM算法的性能比较 16
4.3.1 性能实例比较 16
4.3.2 性能测试比较 17
4.4改进的BM算法在Snort系统中的实现 18
结    论 19
参考文献 19
致    谢 20
声    明 21