基于Snort的混合入侵检测系统的研究与实现

李文龙 于开 曲宝胜

摘要： 在分析研究Ｓｎｏｒｔ系统的优缺点的基础上，利用其开源性和支持插件的优势，针对其对无法检测到新出现的入侵行为、漏报率较高以及检测速度较低等问题，在Ｓｎｏｒｔ系统的基础上结合入侵检测中的数据挖掘技术，提出一种基于Ｓｎｏｒｔ系统的混合入侵检测系统模型。该系统模型在Ｓｎｏｒｔ系统原有系统模型基础上增加了正常行为模式构建模块、异常检测模块、分类器模块、规则动态生成模块等扩展功能模块。改进后的混合入侵检测系统能够实时更新系统的检测规则库，进而检测到新的入侵攻击行为；同时，改进后的混合入侵检测系统具有误用检测和异常检测的功能，从而提高检测系统检测效率。