文档介绍：摘要
目前，国内外很多的入侵检测系统都是基于误用的，主要采用模式匹
配技术，在协议分析方面，主要针对TCP/IP的较底层的协议进行分析，对
于应用层协议则没有进行分析，导致所捕获的每个数据包需要匹配规则的
数量庞大，引起性能不足。本论文研究与改进了基于协议分析树的入侵检
测技术，以提高入侵检测系统中数据包的检测效率为目的，为减少入侵检
测系统的误报率、漏报率，提高入侵检测系统的性能提供了更好的基础。
首先，在充分研究各种决策树算法的适用条件的基础上，采用信息增
益理论对协议描述文件进行分类，创建一棵协议分析树来实现对入侵检测
规则集的优化，从减少规则匹配区间的角度，大大减少了检测攻击的匹配
时间。同时应用层协议分析的实现，降低了基于误用的入侵检测系统的误
报率、漏报率，提高了系统性能。
其次，通过研究TCP/IP协议族，特别是它的应用层协议，并对各种入
侵检测系统入侵特征描述方法进行了分析比较，在此基础上，设计实现了
一种协议描述文件的方法，该方法利用BNF语法对TCP/IP协议族的每个协
议定义了一个或多个协议描述文件，来充分描述每个协议的特征。
最后，利用典型的网络入侵检测系统Snort实现了改进的利用决策树进
行协议分析的入侵检测系统。并利用它进行了三个实验，来与前人的研究
结果进行比较，结果表明，基于协议分析树的入侵检测系统在检测数据包
的效率方面有比较大的提高。
关键词 入侵检测；误用检测；协议分析；决策树；规则
I
Abstract
Most of NIDS (Network Intrusion Detection System) based on misuse
mainly adopt pattern-matched technique and analyse rock-bottom protocols of
TCP/IP about protocol analysis currently. But high layer protocols are not still
analysed. It makes too much rules to be matched when packets are captured
and leads to poor capability of NIDS. In order to improve the efficiency for
detecting packets, provide the base for decreasing the false positive and false
negative rate, improve the capability of NIDS，in this paper an idea about how
to research and improve the intrusion detection technique based on protocol
analysis is gived.
Firstly, researching the apply conditions of diversified arithmetics of
decision tree, the theory of information gain is used to class the files of
protocol description. A protocol analysis tree is seted up to optimize the set of
intrusion detection rules. Because it’s reduced the area of rule matching, the
matching time of detection attack is cut down obviously. At the same time, the
implement of application layer protocol analyse reduced the false positive and
false negative rate and improved the capability of NIDS.
Secondly, TCP/IP protocol group, especially each application layer
prot