基于MCF52234的网络入侵检测模式匹配系统设计与实现

• 作 者: 宋军
• 机 构: 东北大学
• 出 处: 东北大学
• 发表日期: 2012年01期
• 关键词: MCF52234 入侵检测 模式匹配 snort规则 XOR Hash算法

网络入侵检测系统(NIDS)作为提高网络系统安全性的重要技术之一,能够捕获、分析网络流量,发现可疑的入侵行为并实时响应。模式匹配算法通过在数据包中查找攻击特征来识别攻击,是基于特征的NIDS的核心技术。直接采用在硬件平台上实现先进的软件算法是现代入侵检测技术发展的一条主要途径。本设计采用Freescale公司的MCF52234为平台,利用其ColdFire V2内核上集成的10/100M快速以太网控制器和Flash存储器等模块完成入侵检测中模式匹配系统的设计。传统的以软件方式入侵检测系统的实现,具有耗费资源、对操作系统的依赖程度大、容易被入侵、不易升级等诸多的缺点,而且其不菲的硬件价格和较长的开发周期也提高了系统设计的成本。本文中提出一种基于MCF52234的入侵检测模式匹配系统设计与实现。结合改进的哈希算法,完成了模式匹配的要求,实现了对入侵数据检测的功能。同时,微控制器具有功耗低、体积小、价格低、稳定可靠等特点,实现了系统的通用性系统设计,降低了系统的研发成本和使用成本。本文在基于Freescale公司的MCF52234硬件平台的基础上,设计并实现了入侵检测模式匹配系统。首先,设计开发MCF52234开发板,并完成以太网和UART等接口驱动程序的编写,使硬件平台满足系统设计要求；其次,利用MCF52234的Flash存储器存储snort规则库中的攻击字符串,建立系统规则库,提高了系统对数据的存取速度,而且存储的数据也不易丢失,也方便了规则库的在线更新；最后在MCF52234开发板上实现XOR Hash算法和数据的模式匹配,完成了系统对攻击字符串的检测。本系统处理以太帧数据长度为1520字节,可以检测13个字节以内攻击字符串。随着Flash存储器的扩展,攻击字符串的长度可以增加到16位或更多。系统采用哈希表方式进行匹配,13个字节的匹配速度为20.8μs,具有较快的匹配速度。系统具有低功耗、可靠性高、体积小,可移植性强等特点,具有广泛的应用前景。