多核平台入侵检测系统负载均衡算法设计与实现*

负载均衡是基于多核平台实现高速入侵检测系统的关键技术之一。基于真实流量统计分析发现的流阈值与流数目、流字节数之间变化的规律,提出只调整较大流的动态分流算法HCLF,并实现了原型系统。实验测试表明,与静态哈希算法和新流调整算法相比,HCLF算法在负载均衡度、系统丢包率方面具有显著的优越性,改善了多核平台高速入侵检测系统对突发流量和应用环境的适应性。     

基于概要数据结构可溯源的异常检测方法

提出一种基于sketch概要数据结构的异常检测方法.该方法实时记录网络数据流信息到sketch数据结构,然后每隔一定周期进行异常检测.采用EWMA(exponentially weighted moving average)预测模型预测每一周期的预测值,计算观测值与预测值之间的差异sketch,然后基于差异sketch采用均值均方差模型建立网络流量变化参考.该方法能够检测DDoS、扫描等攻击行为,并能追溯异常的IP地址.通过模拟实验验证,该方法占用很少的计算和存储资源,能够检测骨干网络流量中的异常IP地址.     

面向并行入侵检测的主动式负载均衡算法

针对网络流量中有些流数目少但其所占的流量比重很大,以及高速网络流量存在极强的突发性,本文提出了一种基于缓冲区队列管理的主动式入侵检测负载均衡（ALBIDS）算法。该算法由静态HASH分流与动态调整两部分组成,模拟实验表明：在真实网络流量trace下,与静态HASH算法和最小队列长度动态调整负载均衡算法相比较,本算法负载均衡度好、流破坏率小、丢包率小,具有很高的应用价值。     

基于较大流调整的安全分流算法

针对真实网络trace较大流数目少但其所占流量比重却很大的现象,提出只调整较大流的分流算法HAMF。模拟实验以真实网络trace为输入,验证表明该算法位流均衡性较好、流破坏率低、丢包率极低,符合安全处理要求。与SHI算法相比,各方面性能均有提高,但算法在可容忍的范围内复杂性有所增加。     

基于网络流量特性分析的高速入侵检测分流算法*

通过分析高速网络流量的宏流特性和Hash突发性,提出了基于自适应宏流的HASLF分流算法。模拟验证表明该算法具有流破坏率低、负载均衡度小、丢包率极小的特点,符合高速入侵检测的分流要求,具有较高的应用价值。