基于特征检测的分布式网络报警系统-计算机应用技术专业论文.docx

山东大掌硕士学位论文摘 山东大掌硕士学位论文 摘 要 TCPfiP协议作为lmemet的基础协议和核心，也是研究网络安全的必由之 路。本文对TCP／IP协议进行了详细且深入的探讨，充分阐明了典型网络攻击的 特点及原理，在此基础上，分析当前网络入侵检测系统NIDS的主要思想和实 现方法，针对传统NIDS的不足，在此提出了一种基于特征检测的分布式网络 报警系统模型，并且详细地描述了该模型的结构和实现。该模型将规则匹配与 案例分析以及集中控制与分布检测相结合，在保证网络安全的基础上，有效的 提高了NIDS的动态性和自适应性。 在模型的实现过程中，改变传统NIDS所采用的在链路层侦听获取网络原 始数据包的方法，基于WmdOWS SDK中Imemet Development SDK对 WinSock2．0功能的扩充，充分利用对SockRaw的支持，在传输层上实现了网络 原始数据包的获取。 关键词：TCP／IP NIDS特征检测G—BoR L—BoC状态推理 第1页 山东大学硕士学位论文ABSTRACT 山东大学硕士学位论文 ABSTRACT TCP／IP is the base and nucleus ofInternet，SO it is necessary tO study it for the msealch of network security．In the paper,detailed and deep discussion about TCP／IP is haved，the characteristic and the principle of representative network attacks ale introduced fully．The main idea and the implementation technique of current Network Intrusion Detection System NIDS ale analyzed．And tO make up for defective traditional NIDS，a model of distributed network Merting system based signature detection iS buik；Its structure and implementation is described in detail． The model not only combines rule matching with case analyzing but also combines centralized control with distributed detection,SO it enhances the dynamic and self-adaptability ofNIDS effectively beyond the guarantee ofnetwork security． In its implementation,the traditional way is changed that network raw packages ale intercepted and getted in the link layer．Depending upon Intemet Development SDK’expanded function about WinSock2．0 in Wmdows SDK,the model makes full use of the support of SockRaw and Can get network raw packages in transport layer instead ofin the link layeL Key words TCP／IP NIDS signature detection G—BoR L-BoC state reasoning 第2页 1前言1．1 1前言 1．1 Internet概述 Internet即国际计算机互联网，又叫国际计算机信息资源网，它是位于世 界各地并且彼此相互通信的一个大型计算机网络。组成Internet的计算机网络 包括小规模的局域网(LAN)、城市规模的区域网(MAN)，以及大规模的广域 网(wAN)。这些网络通过普通电话线、高速率专用线路、卫星、微波和光缆把 不同国家的大学、公司、科研部门以及军事和政府组织连接起来。Internet网 络互联采用的协议是TCP／IP“1。Internet具有这样的能力：它能将不同的网络 互联起来，构成一个统一的整体，所以较准确的解释是：“Internet是网络的 网络”，它将各种各样的网络连在