基于Snort的混合入侵檢測(cè)系統(tǒng)的研究與實(shí)現(xiàn)

李文龍 于開(kāi) 曲寶勝

摘要： 在分析研究Ｓｎｏｒｔ系統(tǒng)的優(yōu)缺點(diǎn)的基礎(chǔ)上，利用其開(kāi)源性和支持插件的優(yōu)勢(shì)，針對(duì)其對(duì)無(wú)法檢測(cè)到新出現(xiàn)的入侵行為、漏報(bào)率較高以及檢測(cè)速度較低等問(wèn)題，在Ｓｎｏｒｔ系統(tǒng)的基礎(chǔ)上結(jié)合入侵檢測(cè)中的數(shù)據(jù)挖掘技術(shù)，提出一種基于Ｓｎｏｒｔ系統(tǒng)的混合入侵檢測(cè)系統(tǒng)模型。該系統(tǒng)模型在Ｓｎｏｒｔ系統(tǒng)原有系統(tǒng)模型基礎(chǔ)上增加了正常行為模式構(gòu)建模塊、異常檢測(cè)模塊、分類器模塊、規(guī)則動(dòng)態(tài)生成模塊等擴(kuò)展功能模塊。改進(jìn)后的混合入侵檢測(cè)系統(tǒng)能夠?qū)崟r(shí)更新系統(tǒng)的檢測(cè)規(guī)則庫(kù)，進(jìn)而檢測(cè)到新的入侵攻擊行為；同時(shí)，改進(jìn)后的混合入侵檢測(cè)系統(tǒng)具有誤用檢測(cè)和異常檢測(cè)的功能，從而提高檢測(cè)系統(tǒng)檢測(cè)效率。