入侵检测是一种主动保护自己免受攻击的网络安全技术,是继“防火墙”、“数据加密”等传统安全保护措施后的新一代技术。检测引擎作为入侵检测系统(IDS)的核心模块,基本上采用基于模式匹配的检测方法,所以选择设计一个好的模式匹配算法对入侵检测系统的性能至关重要。 Snort是一个强大的轻量级的网络入侵检测系统,它具有实时数据流量分析和日志IP网络数据包的能力,能够进行协议分析,对内容搜索或者匹配。它能够检测各种不同的攻击方式,并对攻击进行实时警报。此外,Snort具有很好的扩展性和可移植性。 本文主要分析了Snort系统的架构、工作流程和三维规则链表,并着重分析了该系统的检测引擎及其采用的模式匹配算法。针对原系统模式匹配算法的不足,本人运用了新的多模式匹配算法对Snort检测引擎进行了改进,并应用到Snort的检测引擎模块中。通过实验结果证明所采用的算法是有效的,比原系统检测引擎的匹配速度有较大提高。最后提出了经过改进后的系统的优点和缺点,以及进一步的优化改进建议。