一种解决入侵检测系统中海量报警的方法

摘要

本发明涉及网络入侵检测(NIDS)技术领域，具体涉及一种解决入侵检测系统中海量报警的方法。本发明要克服现有入侵检测系统存在的报警洪灾、误报率高和孤立报警的问题。本发明的方法分为两个阶段：(1)预处理阶段：将网卡设置为混杂模式，通过Libpcap进行循环抓包，Libpcap采用零拷贝技术把用户内存映射到内核中，抓取到的数据包通过链路层解码，协议层处理和流重组，进行规则匹配，产生一个告警事件，这个事件存储到一个hash链表中，使f(x)＝a[x]，用数组下表作索引以提高查找的效率。(2)统计阶段：根据链表的属性值，对产生的事件进行统计，即根据设定选项来决定是否报警。

主权项

1、一种解决入侵检测系统中海量报警的方法，分为下述两个阶段第一阶段：预处理阶段将网卡设置为混杂模式，通过Libpcap进行循环抓包，Libpcap采用零拷贝技术把用户内存映射到内核中，抓取到的数据包通过链路层解码，协议层处理和流重组，进行规则匹配，产生一个告警事件，这个事件存储到一个hash链表中，使f(x)＝a[x]，用数组下表作索引以提高查找的效率。第二阶段：统计阶段根据链表的属性值，对产生的事件进行统计，即根据设定选项来决定是否报警。