入侵检测系统中的协议分析子系统的设计和实现

对于一个网络入侵检测系统,协议分析主要有三方面的作用:为检测引擎提供输入,提高检测的有效性,提高检测效率。对于这些功能,该文论述的协议分析子系统对应有三个功能模块:基本协议数据解析模块,包括对数据包各个头部字段的解析;上下文相关的数据关联模块,包括IP分片合并和TCP会话重组;应用层协议分析模块,包括对常见应用协议数据的关键字段的提取和分析。文章的最后给出了系统的应用层协议分析的性能测试数据。

安全存储系统中TCP流还原加速策略研究

在TCP状态中,当连接两端非正常关闭时,出现的CLOSING状态会增加许多不必要的等待时间.为了提高安全存储系统中TCP流还原的效率,结合Snort中Splay树排序算法从TCP状态机、定时器和流还原算法3个方面对TCP流还原加以改进.提出约去CLOSING状态的同时删去时间等待定时器,并在流还原中采用Hash表对大量TCP流进行管理,采用Splay树对属于同一条流的分段进行排序.实验表明,改进后TCP流还原的效率有了明显提升.

Snort入侵检测系统中TCP流重组的研究

文章通过分析Snort入侵检测系统的源代码,剖析了snort入侵检测系统的TCP流重组的原理及实现,给出了相关数据结构和算法流程,介绍了针对流重组模块的攻击及Snort对此的防御策略,最后指出现有TCP流重组技术几点不足及若干新的研究方向。