误用型入侵检测是入侵检测系统中的一种主要检测方式。但是随着网络流量的日益增大以及入侵系统规则库的扩大,这种方式由于其检测速度根不上网络速度从而产生漏检测的情况已非常严重。本文通过分析入侵检测包匹配的检测引擎,对提高检测速度进行了系统研究。 入侵检测的规则可分为内容规则和非内容规则。在已有的一些研究中,主要是对内容规则匹配进行改进,如引入多模式匹配思想,以提高这部分检测的速度。但在应用上还不能从整体上提高检测包的速度。 本文研究了一些典型的入侵检测系统,考察其检测引擎的原理,着重发现其提高检测速度的有效方法。在归纳出它们的原理后,再做进一步深入研究,提出了新的规则检测方式。 本文所提出的新的规则检测方式要对规则进行分层处理,它完全改变了原来检测规则的顺序,改为依规则选项来逐层检测所有规则,这是多模式思想和分层索引思想的推进。而且使用这种分层的方式,可以在检测时使用数据结构和查询算法,更快地提高检测速度。 使用这种方法可建立一种新的规则检测引擎,它可以通过对现有系统进行改造来实现。在论文中详细讨论了如何改造典型的检测系统snort,以应用上述新的检测引擎,并做出了系统设计。 为了验证这种新检测方法的性能,我们建立了检测模型,并参考snort生成了用于检测的规则,根据实际网络数据生成了检测数据,对模型进行了实验,以考察其在速度和内存占用上的性能。通过实验,验证了模型对提高检测速度有很大的效果。应当指出所建立的系统对内存的消费比较大,因此在实际检测环境中应用还需做进一步的工作。