22、网络入侵检测系统资源预测与漏洞签名高速匹配技术解析

网络入侵检测系统资源预测与漏洞签名高速匹配技术解析

1. 网络入侵检测系统资源预测

在网络环境中安装网络入侵检测系统（NIDS）时，操作人员常常面临众多选项，需要在检测率与 CPU 和内存消耗之间进行权衡。然而，这些参数的影响往往难以预测，因为这在很大程度上取决于 NIDS 的内部实现以及目标环境的具体特征。这导致 NIDS 的安装通常变成一个反复试验的过程，可能需要数周时间才能找到最佳配置。

为了解决这个问题，研究人员开发了一种方法，用于自动推导 NIDS 配置，以在保证资源负载可行的前提下，最大化系统的检测能力。该方法利用了 NIDS 可能具有的模块化特性，将 NIDS 分解为主要的组成部分。以开源的 Bro NIDS 为例，这些子组件的资源需求通常由其输入的相对简单的特征驱动，如数据包数量或连接的数量和类型。

基于这一观察，研究人员构建了一个工具，为 Bro 推导现实可行的配置。该工具基于在目标环境中记录的短期全数据包跟踪和长期流级跟踪，首先对 NIDS 各个子组件的资源使用情况进行建模，然后通过累加相关子组件的贡献来模拟不同的配置，以预测执行过程中不会超出操作人员指定资源限制的配置。操作人员可以根据监控环境的优先级，从这些可行的配置中进行选择。虽然自动生成的配置不一定是最优的，但它们为安装过程提供了一个良好的起点，有望显著减少传统的反复试验式 NIDS 安装周期。

2. 漏洞签名高速匹配背景

在网络安全领域，检测和预防攻击至关重要。传统的网络入侵检测系统（NIDS）主要采用利用签名（exploit signature）来识别特定的攻击模式。然而，利用签名只能识别特定的攻击方式，对于变种攻击或模仿攻击的识别能力有限。