杨 阳，赵洪宋，岳雨俭，杜 源

(安徽理工大学计算机科学与工程学院，安徽 淮南 232001)

0 引言

随着计算机网络应用范围的不断扩大，网络中的不安定因素也越来越凸显，尤其是网络安全问题，已越来越受到人们的重视。计算机网络从出现到现在，发展成果是令人瞩目的，与之相伴的，网络中的攻击手段也层出不穷，越来越呈现多样化［1］。所以，单纯的防火墙的预防性安全策略对抵御网络之中的威胁与入侵已愈发无力，不能满足人们对网络安全防护的需求，因此，入侵检测系统(Intrusion Detection System，IDS［2］)就应运而生了［3-4］。目前，入侵检测系统按检测数据的来源分类主要有基于网络的入侵检测系统(Network-based IDS，NIDS)和基于主机的入侵检测系统(Host-based IDS，HIDS)。而入侵检测的方法主要有异常入侵检测(Anomaly Detection)和误用入侵检测(Misuse Detection)两种［5-6］。

现有的网络入侵检测系统就检测方法来看主要分为以下3类。

(1)模式匹配检测法［7-8］。此种模式下，系统的攻击特征数据库中存储有已知攻击的特征规则。当采集到数据包时，系统将数据库中的各个规则读出，并依次用规则中包含的特征串与目标数据包一一进行匹配，当所有特征串都匹配成功，即该数据包中包含这一规则中所有的特征串时，认为该数据包包含这个规则描述的攻击行为，触发对应的入侵事件。

(2)简单协议分析(Simple Protocol Analysis，SPA)检测法［9］中包含一个协议栈模拟分析器，在对数据包进行检测之前先对其进行协议分析，然后采用检测规则对分析后的单个数据包中的协议首部和负载数据部分进行检测。……