針對無線網絡的入侵檢測系統的設計

　　分布式入侵檢測系統分為3 個部件，（1） 探測器。對應信息采集和預警層， 下設探頭和數據采集模塊；（2） 分析器對應綜合分析決策層， 下設協議解碼模塊、預處理模塊和檢測分析模塊； （ 3 ） 控制管理器。對應控制管理層， 下設規則解析模塊、日志模塊和響應報警模塊。本文將重點介紹數據預處理、數據檢測與分析和規則解析三個模塊。

　　3.1 數據預處理模塊

　　預處理模塊對得到的數據包進行預處理， 一方面可發現入侵信息， 另一方面為檢測分析模塊做最后的準備。預處理模塊采用了插件技術， 可以很方便地增加功能， 使系統具有可擴展性。與預處理相關的函數以鏈表的形式存在于動態鏈接庫中， 如圖6 所示。

　　圖6 數據預處理模塊處理過程

　　預處理函數是由控制管理器來配置的。控制中心將配置規則和預處理函數一起傳送到各檢測引擎， 檢測引擎在進行規則解析時， 自行識別預處理指令， 并作相應的處理。在IP 報文的首部包含了分片和重組的信息， 如圖7 所示。

　　圖7 IP 包（32 位） 格式

　　（1）IdenTIficATIon ： 唯一標識發送端的一個IP 報文， 如果需要分片， 則所有分片具有相同的標識， 這樣目標主機便能夠根據源主機的IP 地址以及該標識來組合報文；（2）R： 保留未用；（3）D： “ 不分片” 位， 置為1， 則IP 層不將數據報分片， 只有為0 時才允許分片；（4）F： “ 更多分片” 位， 為1 表示后面還有數據報的更多分片， 為0 則表示這是數據報的最后一個分片；（5）Fragment Offset ： 分片偏移， 指出該分片數據在原始數據報文（ 未分片前） 相對于起點的位置， 實際位置為偏移值乘以8， 如為0 則表示這是分片后的第一個信息包， 放在組合后分組的最前面。

　　IP 重組的函數中定義了每一個分片的結構為：

　　STruct IpFrag

　　{

　　dint offset ； //IP 分片的偏移值

　　int end ： // 分片的最后字節

　　int len ； // 分片的長度

　　u char mff ； // 更多的分片標志

　　unsigned char *ptr ； // 指向分片包中的數據

　　struct IpFrag *ipf next ；//鏈接的下一個分片

　　}；

　　些分片形成一個單向鏈表， 表示一個尚未組裝完的分片隊列， 它屬于一個IP 報文， 而分片鏈表的頭指針放在IpHeader 結構中：

　　struct IpHeader

　　{

　　struct IpFrag ； // 第一個IP 分片

　　int len ； // 報文長度

　　struct timer list timer ； // 定時器

　　u_char Proto ； // 協議類型

　　u_short Ip_ttl ； // 生存時間

　　u_short id ； //IP 標識

　　struct in addr Ip-Src ，Ip_Dst ； //IP 報文的源， 目的

　　IP 地址

　　struct IpHeader *next ； // 下一個IP 報文

　　} ；

　　IpHeader 描述還未收到全部分片報文結構， 多個Ip-Header 構成的鏈表形成一個重裝鏈表， 等待其他分片到達后重裝。

　　3.2 數據檢測分析模塊

　　檢測分析模塊對預處理模塊提交的數據， 運用匹配算法和規則庫中的規則進行比較分析， 從而判斷是否有入侵行為。檢測分析模塊是檢測引擎的核心， 它將從數據采集模塊傳來的數據順著規則鏈表與入侵規則進行比較， 如果匹配成功， 則說明檢測到了入侵， 同時產生報警。其流程如圖8 所示。

　　圖8 數據檢測分析模塊流程圖