snort分布式协作检测系统原理讲解ppt

Snort 分布式协作入侵检测系统原理讲解 Snort 分布式协作入侵检测系统是基于 Snort 的入侵检测系统，通过在分布式节点上独立运行 Snort 进行本地检测，并实现节点间的协作检测，以提高入侵检测的准确性和效率。 一、系统架构 Snort 分布式协作入侵检测系统的架构主要由三个部分组成：数据采集、入侵判断和响应。数据采集部分负责捕获网络中的数据包，并将其发送给入侵判断模块。入侵判断模块使用 Snort 规则库对数据包进行分析，并将判断结果返回给响应模块。响应模块根据判断结果和信任度结合，进行最终的判决。 二、Snort 规则维护 Snort 的规则维护是 Snort 分布式协作入侵检测系统的核心组件。Snort 规则库按照动作类型进行分类，每类动作再根据协议划分成 IP、TCP、UDP 和 ICMP 四类。每类协议下面，通过规则头的特征进行分类。每类规则头又指向了对应的所有规则节点，从而构建出一个三维的规则链表树。 三、Snort 系统数据检测 Snort 系统数据检测是 Snort 分布式协作入侵检测系统的关键组件。Snort 规则链表全部初始化完成后，系统开始捕获数据包。系统每次收到数据包则先调用预处理程序链表中的函数进行预处理，然后按照默认的顺序遍历 AlertList、PassList 和 LogList 三个链表。遍历时首先根据数据包的协议类型定位规则链表，再调用递归函数进行规则的逐一匹配。 四、基于感性信任的协作检测 基于感性信任的协作检测是 Snort 分布式协作入侵检测系统的核心组件。协作检测算法流程首先初始化 Snort 系统及各插件，然后创建一个新的子进程，等待处理邻居节点发来的协作请求。当本地检测完成后，将检测结果返回给邻居节点，并将信任度结合进行最终判决。 五、协作数据传输协议 协作数据传输协议是 Snort 分布式协作入侵检测系统的数据传输协议。该协议定义了一个新的数据包 buf，用来装入指针*pkth 及 *pkt 所指向的数据，同时规定了数据顺序。节点间在进行协作时，按照顺序将指定的内容项装入 buf 包中进行数据的传送，而接受端也按照这个协议对 buf 包里的内容进行提取，然后装入 Packet 结构包 P 中进行数据的检测处理。 Snort 分布式协作入侵检测系统是基于 Snort 的入侵检测系统，通过分布式节点的协作检测，提高入侵检测的准确性和效率。该系统的架构、Snort 规则维护、Snort 系统数据检测、基于感性信任的协作检测和协作数据传输协议都是该系统的关键组件。