基于關(guān)系數(shù)據(jù)流模型的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)-預(yù)覽頁(yè)
【正文】 cattack。 轉(zhuǎn)換成關(guān)系數(shù)據(jù)上的查詢SELECT * FROM packet WHERE =6 AND (=6666 AND =7000) AND (amp。. 字符字段的多串匹配優(yōu)化字符串匹配是包的規(guī)則檢測(cè)中最耗時(shí)的一個(gè)操作，很大程度上決定了檢測(cè)引擎的性能。如源、目的端口、ttl值等。當(dāng)前的snort包含2300多條規(guī)則，其中不含content字段的包異常檢測(cè)有相當(dāng)數(shù)量。考慮下面兩條規(guī)則片斷：Rule1: SourcePort=200。 DestPort!=8080。ttl=3。. 問(wèn)題形式化給定一個(gè)關(guān)系，關(guān)系是一個(gè)屬性的（attribute）集合：a1, a2…。 Boolean如果某個(gè)規(guī)則中對(duì)于某個(gè)屬性域沒(méi)有限制，則認(rèn)為這條規(guī)則對(duì)于這個(gè)屬性域的取值限制是此屬性域上的所有值。其中的第i個(gè)條件就是作用于第i個(gè)屬性域上的謂詞。將所有的規(guī)則首尾并列連接起來(lái)，就形成一個(gè)對(duì)應(yīng)于所有規(guī)則的非確定自動(dòng)機(jī)。首先，每個(gè)屬性的值域是不確定的，而且可能不是有限域，如值域?yàn)檎麄€(gè)整數(shù)域。當(dāng)前我們僅考慮所有字段都是整數(shù)域的情況（對(duì)于非整數(shù)域數(shù)值，我們經(jīng)過(guò)預(yù)轉(zhuǎn)換將其映射到整數(shù)域）。這個(gè)值域是一個(gè)整數(shù)集合，它的勢(shì)是有限的。如對(duì)于端口號(hào)，設(shè)置MinNum=0,MaxNum=65535。如圖4所示。將每一條規(guī)則在新值域下進(jìn)行轉(zhuǎn)換，則所有規(guī)則就轉(zhuǎn)換為新值域下的表示了。樹(shù)的每一個(gè)節(jié)點(diǎn)是一個(gè)向量。而如果某個(gè)節(jié)點(diǎn)的nextnode域?yàn)榭罩羔?，說(shuō)明匹配樹(shù)到此狀態(tài)為止已經(jīng)停止，沒(méi)有進(jìn)一步的狀態(tài)。 圖5 規(guī)則樹(shù)結(jié)構(gòu)圖上圖為由Rule1,Rule2,Rule3生成的匹配樹(shù)自動(dòng)機(jī)。每個(gè)節(jié)點(diǎn)根據(jù)對(duì)應(yīng)的臨時(shí)規(guī)則集在相應(yīng)屬性上的劃分，生成當(dāng)前節(jié)點(diǎn)的新值域。n 運(yùn)行自動(dòng)機(jī)對(duì)于每一個(gè)到來(lái)的元組，判斷哪些規(guī)則滿足的過(guò)程就是將元組的各個(gè)屬性上的值在生成于內(nèi)存中的自動(dòng)機(jī)上跑一遍的過(guò)程。. 復(fù)雜度分析n 時(shí)間復(fù)雜度：設(shè)|Q|=m,表示規(guī)則個(gè)數(shù)；|T|=n，表示規(guī)則的屬性共有n個(gè)。字段個(gè)數(shù)n）。對(duì)于匹配成功的元組，匹配時(shí)間是確定的，為∑log（pi)。n 空間復(fù)雜度對(duì)于普通查詢算法，所有查詢只需在內(nèi)存中存儲(chǔ)一次，而順次執(zhí)行導(dǎo)致比較次數(shù)有冗余。. 優(yōu)化算法的改進(jìn)一旦規(guī)則集給定，屬性順序給定，生成的匹配自動(dòng)機(jī)就是確定的。假設(shè)到來(lái)的元組是均勻分布的，不考慮由元組分布造成的對(duì)匹配效率的影響，則匹配自動(dòng)機(jī)的形狀就是決定效率的因素了。我們從以下兩個(gè)方面考慮：n 屬性選擇度為了到來(lái)元組在匹配過(guò)程中能盡早打住，從而減少平均總比較次數(shù)，應(yīng)該將過(guò)濾度（Ki）高的屬性排在自動(dòng)機(jī)的前部。di表示屬性i的新值域范圍。我們借鑒優(yōu)化決策樹(shù)生成理論，引入機(jī)器學(xué)習(xí)中的聚類（clustering）算法。劃分后數(shù)據(jù)集的熵的度量是將每一個(gè)劃分集大小相對(duì)于原始數(shù)據(jù)集大小的比例作為權(quán)重累加。這里通過(guò)信息增益來(lái)反映過(guò)濾度，實(shí)際上是認(rèn)為，劃分后分布越均勻的屬性有更大的區(qū)分度。我們可以根據(jù)經(jīng)驗(yàn)將各個(gè)屬性區(qū)分度排序，從而確定一個(gè)較優(yōu)的匹配順序。一是每一個(gè)自動(dòng)機(jī)匹配樹(shù)的規(guī)則集不會(huì)太大，狀態(tài)數(shù)目可控，并且多棵樹(shù)可以并行運(yùn)行。60Ghz 64bit入侵檢測(cè)服務(wù)器Xeon（tm) 2*CPU 圖6 測(cè)試網(wǎng)絡(luò)結(jié)構(gòu)圖測(cè)試說(shuō)明：入侵檢測(cè)系統(tǒng)包括Snort 和IceNetwork。 測(cè)試丟包率結(jié)果如下：在純攻擊包流量壓力較小時(shí)，兩者均有較好的處理效率。圖7 丟包率對(duì)比圖5. 結(jié)論和展望本文將數(shù)據(jù)流模型引入系統(tǒng)設(shè)計(jì)，提出了一種新型的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的實(shí)現(xiàn)方式。參考文獻(xiàn)[1.] B. Babcock, S. Babu, . Models and Issues in Data Stream Systems. SIGMOD POS, 2002:116[2.] A. Arasu, S. Babu, J. Widom. An Abstract Semantics and Concrete Language for Continuous Queries over Streams and Relations. :8090/pub/200257[3.] Snort .[4.] Marc Pattern Matching for Intrusion :// [5.] Christophe Diot, Brian Neil Levine, Bryan Lyles, Hassan Kassem, Doug Balensiefen, Deployment Issues for the IP Multicast Service and Architecture. IEEE Network magazine special issue on Multicasting, 14(1):7888, January/February 2000[6.] Gonzalo Navarro and Mathieu Raffinot , Flexible Pattern Matching in Strings：Practical online search algorithms for texts and biological sequences, Cambridge University Press, 2002,ISBN 0521813077[7.] B. Bollig and I. Wegener. Improving the variable ordering of OBDDs is NPplete. IEEE Trans. on Comp., 45(9):993 1002, 1996.作者簡(jiǎn)介：譚建龍：中國(guó)科學(xué)院計(jì)算技術(shù)研究所軟件研究室助理研究員，
化學(xué)相關(guān)推薦
鄂ICP備17016276號(hào)-1