下载文档原格式
嘲２．２ＮｌＤＳ旺垮２．２．２基于主机的入侵检测系统基于主机的入侵检测系统的信息来源为操作系统事件同志、管理工具审计汜录和应用程序审计记录。
它通过监视系统运行情况（文件的打歼和访问、文件权限的改变、用户的登录和特权服务的访问等）、审计系统Ｒ志文件（ｓｖｓｌｏ譬）和应用程序（关系数据库、Ｗｅｂ服务器１日志来检测入侵来检测入侵。
ＨＩＤＳ可以检测到用户滥用权限、创建后门帐户、修改重要数据和改变安全配置等行为，同时还可以定期对系统关键文件进行检查，计算其校验值来确信其完整性。
ＨＤｓ检测发生在主机上的活动，处理的都是操作系统事件或应用程序事件而不是网络包，所以高速网络对它没有影响。
同时它使用的是操作系统提供的信息，经过加密的数据包在到达操作系统后，都已经被解密，所以ＨＤＳ能很好地处理包加密的问题。
并且，肿Ｓ还可以综合多个数据源进行进一步的分析，利用数据挖掘技术来发现入侵。
【１１１但是，ＨｍＳ也有依赖特定的操作系统、影响系统性能、配置和维护困难等缺陷。
ＨｍＳ的典型结构如图２．３所示：９华东师范大学硕士研究生毕业论文图２．３ＨｍＳ网络２．３入侵检测技术入侵检测技术可以分为两大类：异常检测（ａＩｌｏｍａｌｙｄｅｔｅｃｔｉｏｎ）和误用检测（ｍｉｓｕｓｅｄｅｔｅｃｔｉｏｎ）。
异常检测则提取正常模式下审计数据的数学特征，检查事件数据中是否存在与之相违背的异常模式。
误用检测搜索审计事件数据，查看其中是否存在预先定义好的误用模式。
为了提高准确性，入侵睑测又引入了数据挖掘、人工智能、遗传算法等技术。
但是，入侵检测技术还没有达到尽善尽美的程度，该领域的许多问题还有待解决。
２．３．１异常检测异常检测是基于这样的原理，即认为入侵是系统中的异常行为。
它没有各种入侵的相关知识，但是有被检测系统、用户乃至应用程序正常行为的知识。
它为系统和用户建立正常的使用模式，这些模式通常使用一组系统的度量来定义。
所谓度量，是指系统和用户行为在特定方面的衡量标准。
局域网网络入侵检测系统的设计与实现
局域网网络入侵检测系统是一种用于监测网络攻击和安全威胁的软件系统，其主要任务是检测网络流量中的可疑行为，并通过警报、记录和报警通知等方式向管理员报告攻击事件。
系统设计思路：
1. 确定监测网络范围：确定需要监测的设备和网络范围，一般包括网络设备如路由器、交换机、服务器、PC机等。
2. 选择入侵检测系统：选择一种适合自己网络环境的入侵检测系统，如Snort、Suricata、Bro等开源软件，或购买商业入侵检测软件。
3. 配置入侵检测系统：对入侵检测系统进行相应的配置，使其能够准确地监测网络流量中的可疑行为。
4. 设置规则：制定适当的规则，确定哪些行为被认为是入侵行为，并设置对应的警报和报警通知方式。
5. 日志记录：入侵检测系统应具备日志记录功能，以便查看和分析历史攻击事件。
6. 安全性保障：应保障入侵检测系统的安全性，使用较为安全的网络通信协议，避免信息泄露和数据篡改。
7. 持续优化：入侵检测系统需要不断进行优化，使其能够应对不断变化的网络安全威胁。
实现方法：
1. 下载和安装入侵检测系统：从官方网站下载入侵检测系统，
并安装在网络设备上。
2. 配置入侵检测系统：对入侵检测系统进行网络设置和规则配置。
3. 启动入侵检测系统：开启入侵检测系统，并实时监测网络流量。
4. 分析并处理警报：对检测到的可疑行为进行监测和分析，并
进行报警处理。
5. 记录和分析历史攻击事件：对入侵检测系统的日志进行分析，总结和分析历史攻击事件，形成完善的安全防护体系。
注：以上方法仅供参考，实际设计和实现过程中要根据自身网
络环境进行调整和优化。
甘肃政法学院入侵检测课程设计题目 snort入侵检测系统学院专业 2011 级班学号：姓名：指导教师：成绩：_________________完成时间： 2013年 12月Snort入侵检测系统一、课程设计目的（1）通过实验深入理解入侵检测系统的原理和工作方式。
（2）熟悉入侵检测工具snort在Windows操作系统中的安装和配置方法二．课程设计的原理入侵检测系统(Intrusion Detection System，简称IDS)是一种从计算机网络或计算机系统中的若干关键点收集入侵者攻击时所留下的痕迹，如异常网络数据包与试图登录的失败记录等信息，通过分析发现是否有来自于外部或内部的违反安全策略的行为或被攻击的迹象。
全国的很多企业或团体都很重视自己内部保密文件的泄露与盗取，但网络传输方式有的就存在着漏洞，很多的黑客就是通过一个企业或团体的所拥有的网站通过这些漏洞来拿到这个企业的服务器，竟而获得它的内部保密文件，但是安全部门也通过电脑审计功能或其它的各种方式来对于入侵公司的“人员”获得他们入侵的记录，做出相应的法律措施，来保证每一个企业或团体的文件安全。
随着网络技术的快速发展，网络入侵行为也越来越严重，本论文主要讨论snort入侵检测系统。
Snort是一个免费的IDS(入侵监测系统)软件。
它的一些源代码是从著名tcpdump软件发展而来的。
它是一个基于libpcap包的网络监控软件，可以作为一个十分有效的网络入侵监测系统。
Snort首先根据远端的ip地址建立目录,然后将检测到的包以tcpdump的二进制格式记录或者以自身的解码形式存储到这些目录中.这样一来,你就可以使用snort来监测或过滤你所需要的包.三、入侵检测系统的起源和发展随着网络的普及，每个人都通过不同的方式来访问网络，尤其是在B/S模式的网络结构中，比如很多的公司机密资料、广大人群的购物交易、安全部门为人们了解国家所发布的文章都是通过网络来传输，有很多的“不良分子”在利益的驱使下，通过攻击web的漏洞，来获取的自己所要的东西，已达到自己不可告人的目的。
基于Snort校园网入侵检测系统研究与应用【摘要】本文分析了Snort的系统结构，校园网环境下的部署过程，通过规则设置检测访问敏感站点及阻止跨站攻击，并对Snort在匹配速度上的缺陷提出了改进的方案。
【关键词】IDS；Snort；校园网；网络安全1.入侵检测系统简介网络硬件和软件资源的增加，给网络用户带来了便利的同时，也给网络增加了安全的压力，并且日益危胁到网络设备、网络用户的正常工作甚至隐私，据CNCERT数据显示，2013年9月境内感染网络病毒的终端数为226万[1]。
路由器、交换机、防火墙中使用了端口保护、ACL、VPN等技术，作为常用的应对手段，这些技术的缺陷比较明显：以被动的形式过滤通过设备的数据，而不是主动检测出潜在的恶意行为、系统入侵；主要过滤局域网或网段内部与外部通信时发生的数据包，缺乏有效机制实现对网络内部的恶意行为进行检测、建立日志、追查来源、网络取证。
因此，入侵检测系统（Intrusion Detection System，IDS）作为收集网络内数据包，发现潜在渗透、攻击行为，进行预警和日志记录的设备，它和防火墙主动检测和定点过滤、内部和外部相结合共同来提高网络安全。
IDS通过分布在网络中各处的数据收集点采集数据包，利用设定的判断规则，对数据包进行分析，检测出符合规则定义的恶意行为，提交预警报告，它可以连接在网络设备的镜像端口上，不对网络带宽产生影响。
IDS按照保护对象不同，分为基于主机和基于网络的两种，分别以收集主机日志信息和网络数据通信流量为来源；按照检测分类可以分为误用检测和异常检测，误用检测通过比对收集的数据和设定规则发现违规的行为，异常检测通过数据源和建立的数学模型的差异发现问题。
2. Snort原理和结构Snort是一种以源代码形式发布的轻型的IDS，它可以添加定制的误用判断规则来提高检测特性。
目前，在校园网中各种网络安全事故频繁发生，网络安全隐患日益突出，已经成为高校教育信息化发展进程中的一个瓶颈，对正常的网络教育构成了严重的安全威胁[2]，在校园网中采用Snort可以在不降低带宽、影响教学和行政工作的前提下，对可能发生的网络安全事件提前预警。
1.信息与计算科学系课程设计报告基于SNORT的入侵检测系统的分析绪论1.1 研究目的与意义随着网络技术的飞速发展，其应用领域也在不断的扩展，网络技术的应用已将从传统的小型业务系统逐渐扩展到大型的关键业务系统中，比如说金融业务系统、电子商务系统等等第。
然而，随着网络技术的迅速发展，网络安全问题也日益突出。
比如说金融系统、政府信息系统等受到外界的攻击与破坏，信息容易被窃取和修改等网络安全问题越来越严重。
所以说网络安全问题已经成为各国政府、企业以及广大网络用户关心的问题之一。
任何试图破坏网络活动正常化的问题都可以称为网络安全问题。
过去保护网络安全做常用、最传统的方法就是防火墙，但是防护墙只是一种被动防御性的网络安全工具，随着科学技术的不断发展，网络日趋复杂化，传统防火墙是不足以满足如今复杂多变的网络安全问题，在这种情况下，逐渐产生了入侵检测系统，入侵检测系统不仅能够为网络安全提供及时的入侵检测以及采取响应的防护手段，它还可以识别针对计算机或网络资源的恶意企图和行为，并对此做出反应，它提供了对系统受到内部攻击、外部攻击和误操作的实时保护，能够帮助系统对付网络攻击。
入侵检测系统能很好的弥补防火墙的不足，是防火墙的合理完善。
入侵检测系统具有以下几个特点：1）从系统的不同环节收集各种信息2）分析收集到的信息并试图寻找入侵信息活动的特征3）自动对检测到的行为做出响应4）记录并报告检测结果入侵检测系统的主要功能有1）监测并分析用户和系统的活动2）核查系统配置及其漏洞3）评估系统重要资源和数据文件是否完整4）识别己知的入侵行为5）统计分析不正常行为6）根据操作系统的管理日志，识别违反安全策略的用户活动入侵检测技术是一种积极主动地安全防护技术，其核心在于它的检测引擎，如何实现高效快速的检测，是入侵检测技术的一个重要研究重点。
目前入侵检测技术主要分为两大类，分别是基于异常的入侵检测和基于规则的入侵检测。
由于目前的攻击主要是针对网络的攻击，因此检测入侵和攻击的最主要的方法是捕获和分析网络数据包，使用相应的软件来提取入侵者所发出的攻击包的特征，然后将这些特征攻击包和入侵检测系统的特征库进行对比匹配，如果在特征库中检测到相应的攻击包，就会发出入侵报警。
基于Snort的入侵检测系统用Snort,Apache,MySQL,PHP及ACID构建高级IDS第一章入侵检测系统及Snort介绍在当今的企业应用环境中，安全是所有网络面临的大问题。
黑客和入侵者已成功的入侵了一些大公司的网络及。
目前已经存在一些保护网络架构及通信安全的方法，例如防火墙、虚拟专用网（VPN）、数据加密等。
入侵检测是最近几年出现的相对较新的网络安全技术。
利用入侵检测技术，我们可以从已知的攻击类型中发现是否有人正在试图攻击你的网络或者主机。
利用入侵监测系统收集的信息，我们可以加固自己的系统，及用作其他合法用途。
目前市场中也有很多弱点检测工具，包括商品化的和开放源码形式的，可以用来评估网络中存在的不同类型的安全漏洞。
一个全面的安全系统包括很多种工具：●防火墙：用来阻止进入及走出网络的信息流。
防火墙在商业化产品和开放源码产品中都有很多。
最著名的商业化防火墙产品有Checkpoint (.checkpoint.), Cisco (.cisco.)及Netscreen(.netscreen.)。
最著名的开放源码防火墙是Netfilter/Iptables()。
●入侵检测系统（IDS）：用来发现是否有人正在侵入或者试图侵入你的网络。
最著名的IDS是Snort,可以在下载。
●弱点评估工具：用来发现并堵住网络中的安全漏洞。
弱点评估工具收集的信息可以指导我们设置恰当的防火墙规则，以挡住恶意的互联网用户。
现在有许多弱点评估工具，比如Nmap(/)和Nessus(/).以上这些工具可以配合使用，交互信息。
一些产品将这些功能捆绑在一起，形成一个完整的系统。
Snort是一个开放源码的网络入侵检测系统（NIDS）,可以免费得到。
NIDS 是用来检测网络上的信息流的入侵检测系统（IDS）。
IDS也包括安装在特定的主机上并检测攻击目标是主机的行为的系统。
IDS迄今为止还是一门相当新的技术，而Snort在IDS中处于领先的地位。
实验报告课程名称网络信息安全实验名称实验三入侵检测系统实验1.使用 snort –W显示网卡接口可以看出，我电脑上的无线网卡的编号为5 2.测试Snort的嗅探器模式使用snort -vde在输出包头信息的同时显示包的数据信息，还要显示数据链路层的信息3.测试Snort的数据包记录器功能如果要把所有的包记录到硬盘上，需要指定一个日志目录，snort就会自动记录数据包：snort -dev -l ../log其中./log目录必须存在，否则snort就会报告错误信息并退出。
当snort在这种模式数据链路层、Tcp/IP报头及应用层信息写入当前目录log(log目录已建立)目录下的snort.log.1638321536文件中，而且这是二进制文件。
为什么不直接记录成方便阅读的ASCII格式呢？因为系统本生记录的格式就是二进制的，如果再转换成我们能识别的ASCII 格式无疑会加重系统负荷，所以Snort在做IDS使用时理应采用二进制格式记录。
记录的日志文件如下如果想查看二进制日志文件snort.log.1638321536，就得使用“r”参数snort –dv -r ../log/snort.log.16383215364.测试Snort作为网络入侵检测系统的功能snort –i 5 -dev –c ../etc/snort.conf –l ../log/其中snort.conf是规则集文件。
snort会对每个包和规则集进行匹配，发现这样的包就采取相应的行动。
最好不要使用-v选项。
因为使用这个选项，使snort向屏幕上输出一些信息，会大大降低snort的处理速度，从而在向显示器输出的过程中丢弃一些包。
此外，在绝大多数情况下，也没有必要记录数据链路层的包头，所以-e选项也可以不用这里-i 5 表示系统里面的第5块网卡，我最开始已经查看过我电脑里无线网卡的编号为5。
snort有6种报警机制：full、fast、socket、syslog、smb(winpopup)和none。
基于Ｓｎｏｒｔ．Ｗｉｒｅｌｅｓｓ算法的Ｗｌａｎ入侵检测及接入系统设计与实现
王海峰舒明磊吕家亮陈静（山东省计算中心，山东济南，２５００１４）摘要：由于无线传输的固有特性及ＩＥＥＥ８０２．１１标准的安全漏洞，无线网络很容易受到攻击，
传统ＷＬＡＮ接入点（Ａ＿Ｐ）在无线网络安全性方面具有很大的局限性，相关研究却大多局限于算法分析。本文针对无线攻击的特殊性，设计并实现了分布式的具有入侵检测和防御功能的无线局域网安全探测系统。该系统工作在Ｂ／Ｓ模式，探测器硬件基于ＩｎｔｅｌＰＸＡ２５５处理器开发，软件基于Ｌｉｎｕｘ下ｓｎｏｒｔ．ｗｉｒｅｌｅｓｓ开发，可以实现ＷＬＡＮ接入、安全检测、地理定位及阻断非法设备功能。管理服务器应用软件包括ＭＹＳＱＬ、ａｐａｃｈｅ，ｔｏｍｃａｔ、ＪＡ、，Ａ、ｐｈｐ软件．上层控制台统一管理服务器和所有探测器。测试结果表明，该安全探测器的无线接入功能在传输速率和传输距离方面达到甚至高于商业ＡＰ产品，并对无线网络入侵能进行有效的监控和防御．由探测器组成的分布式系统可为无线局域网的接入和使用安全提供强有力的支持和保障，并为无线局域网的入侵检测提供出新的解决方案．关键词：无线局域网；安全探测器；Ｂ／Ｓ模式；入侵检测；Ｓｎｏｒｔ－ｗｉｒｅｌｅｓｓ
１．引言
近年来，针对无线局域网的攻击时有报道，有些造成的经济损失高达几十亿美元。由此可见，无线局域网安全问题成为制约ＷＬＡＮ向大众化发展的阻碍，无线局域网安全和管理问题急待解决。目前国外已有一些ＷＬＡＮ安全管理解决方案、ＡＣ控制器等产品，但价格比较昂贵，国内对ＷＬＡＮ安全问题还主要集中在理论检测模型、加密算法的研究上，没有相关产品能系统全面地对实际的网络进行检测管理。一些开源的入侵检测工具如ｓｎｏｒｔ．ｗｉｒｅｌｅｓｓ等主要对安全检测模型框架进行搭建，实质性的无线安全检测分析很少，并没有给用户提供很好的可操作性和对网络的安全管理。然而这些理论的研究和模型为我们提供了良好的基础平台，进一步的完善将会在实际工作中得到应用。从无线局域网安全检测方法来看，国内主要采用特征检测和异常检测两种方法。特征检测方法基于入侵特征库，采用模式匹配的方法进行安全检测，要求特征库必须及时更新，由此导致系统升级能力有限，难以扩展。异常检测是基于数据包的统计分析，可以不依赖于攻击特征，立足于受检测的目标发现入侵行为。而本系统提出采用基于协议分析和异常检测相结合的方法能够更详细分析网络的安全参刻１ｌ。
分布式系统采用三层式架构（如下图１所示）：即采用无线安全探测器及接入点（ＡＰ）、管理服务器、管理控制台【３】。用户可通过合理放置多个安全探测器及接入点（ＡＶ），实现ＷＬＡＮ接入并对整个建筑物无线网络安全的监测及实现无线与无线之间通信。管理服务器集中管理探测器，收集整理安全探测器及接入点（ＡＰ）的警讯和数据，建立专家系统信息库，分析网络的安全状况，提供警讯给上层。
联系作者：王海峰，邮箱：ｌｆｆｗａｎ９７８７２３＠ｍａｉｌ．ｓｄｕ．ｅｄｕ．ｅｎ；ｗａｎｇｈｆ＠ｋｅｙｌａｂ．ｎｅｔ基于ｓｎｏｍｗｉｆｅｋ％算法的Ｗｌａｎ入侵检铡及接入系统设计与实现管理控制台整合所有探测器的网络信息、替讯内容，利用ＧＩＳ显示网络分布囝、设各定位、警报文字及图表、日志文件等。国内网络安全产品大多数是基于有线网络．仅有的几个无线网络安全产品叉均基于网络控制器．采用集中式的系统结构，不能全面的检测安全漏洞，难以进行系统的扩展。另辨，目前无线接入产品不具备入侵检测功能，因此本安全探测系统两方面有机集成在一起也是本文的创新点之一。基于以上分析，本项目提出开技具有入侵检测防御功能的ＷＬＡＮ安全探测器，主要实现无线与无线之间通信、以及无线与有线之间的桥接功能．同时检测无线阿络攻击、定位攻击源、阻断网络中的非法设备，维护网络的安全，避免由此造成企业不必要的损失。
一一；；：手ｉ可－≮弋量’≮飞量…筑。漓～鼍，。≮熏
图１具有入侵检测防御功能的ＷＬＡＮ接入系统架构２．安全探测器设计２１硬件设计安全探测器硬件设计方案采用ＩｎｔｅｌＸｓｃａｌｅＰＸＡ２５５处理器（频率４００ＭＨｚ），内存
１２８ＭＮＯＲＦＬＡＳＨ“Ｍ．系统接口包括：ＲＳ２３２串口，Ｒ１４５以太网口，ＵＳＢ主口均为１个；ＰＣＭＣＩＡ接口２个。安全探测器硬件结构图如图２所示，实物如图３所示。围中主要模块功能如下：（１）ＰＣＭＣＩＡ无线网卡模块：该模块支持两块可外接天线的无线网卡同时工作，利用其中一块无线阿卡实现无线局域网中的８０２ｌｌｂ无线数据通信，并自适应网络传输速率，加装天线后空间有效覆盖范围可达到１０００米。将无线网卡设置在射频监听模式，利用网卡驱动程序把该区域网的所有无线数据包都接收下来，交于探测器数据分析模块处理。同时利用另一块无线网卡实现ＡＰ的基本功能，也即实现无线与无线之间通信，以及无线与有线之何的桥接功能。同时ＡＰ要实现无线站点（ＳＴＡ）的ＭＡＣ地址过滤功能，也即要实现把检测部分检测到的非法ＭＡＣ地址剔除出去，禁止其连接进整个局域网中，并阻断非法设备，利用可外接天线的无线网卡发送ｄｉｓａｓｓｏｃｉａｔｅ封包，断开无线网卡和ＡＰ的认识机制，也可使ＡＰ过度负载．中断其无线信号。
震菇＿世蕊第２２部分信息安全技术图２无线安全探测器及接＾点（ＡＰ）硬件结构图圈３安全探测器实物照片（２）ＦＬＡＳＨ存储模块；６４ＭＮｏｆｆｉ站ｈ用于存储Ｌｉｎｕｘ操作系统及ｓｈｏｔ，－ｗｉｒｅｌｅｓｓ应用程序。（３）以太网通信模块：利用ＰＪ４５接ｒｌ连接以太网，将探测器分析获得的报警信息上传给上层服务器进行分析统计。（４）ＵＳＢ模块：利用ＵＳＢ主控制口可外接８０２１１９无线网卡模块，扩展实现８０２
１Ｉｇ
网络的安全探测功能。
（５）技术指标；工作频率：４００ＭＨｚ；支持标准：ＩＥＥＥ８０２ｌｌｂ．ＩＥＥＥ８０２３１０ＢＡＳＥ－ＴＥｔ｝ｌｅｍａ
无线工作频段：２４ＧＨｚ～２４８３５ＧＨｚ
支持传输速率：ｌ、２、５５、１１Ｍｂ／ｓ
扩频技术：ＤＳＳＳ工作电压：５Ｖ安全：ＷＥＰ数据加密６４／１２８位
２．２安全探测器软件设计安全探测器软件基于Ｌｉｎｕｘ系统开发．实现ＷＬＡＮ接入、安全检测、定位、阻断非法设备功能川．上层采用ＭＹＳＱＬ＋ａｐａｅｈｅ＋ｔｏｍｃａｔ＋ＪＡＶＡ＋ｐｈｐ软件．实现管理服务器和控制台的设计。系统软件设计结构图如图４所示。
匿４系统软件设计结构图
掣～基于Ｓｎｏｒｔ．Ｗｉｒｅｌｅｓｓ算法的Ｗｌａｎ入侵检测及接入系统设计与实现１２８１
２＿２．１安全探测器算法及实现
基于ｓｎｏｒｔ．ｗｉｒｅｌｅｓｓ软件，进行安全检测模块的添加修改，然后将其移植到安全探测器上运行。（１）无线数据采集原理及实现无线网络的捕包程序与传统有线网络的捕包程序不同，必须将无线网卡设为射频监听模式，而不是混杂模式，才能够捕到含有物理层头和８０２．１１ＭＡＣ子层的数据包，否则捕获到的数据包是以以太网头封装的数据帧。根据ＭＡＣ帧头可将ＭＡＣ帧分为管理帧、控制帧、数据帧如图５所示。根据检测需求的不同将不同的数据帧发送到不同的分析器。如果为数据包还可根据协议类型字段ｔ）ｒｐｅ分为ＩＰ，ＡＲＰ，ＲＡＲＰ数据包，例如ｔｙｐｅ＝０ｘ００８０为一个ＩＰ数据包，ｔｙｐｅ＝０ｘ０８０６为一个ＡＲＰ包。这样通过分析检测类型需求何种类型的数据包即将该种类型的数据包发送到该分析器即可【５】，【６】，【７’Ｊ。因此该系统无线数据的采集，主要通过将无线网卡设置在射频监听模式，利用网卡驱动程序把该区域网的所有无线数据包都接收下来，交于探测器软件系统ｓｎｏｒｔ．ｗｉｒｅｌｅｓｓ处理。在ｓｎｏｒｔ．ｗｉｒｅｌｅｓｓ中，可利用ｌｉｂｐｃａｐ捕包函数库进行数据采集，为了加快捕包速度，我们扩展并采用套接字捕包模式。
：貔螂乏ｗｊａ岫誊Ｏ℃抽－巷农雠
‘Ｏ℃∞●２０１自ｍ
‘Ｏ鼬尊舢翦１２０惝４０ｅ／．啦
图５．８０２．１１ＭＡＣ帧格式博。（２）安全检测和分析利用ｓｎｏｒｔ．ｗｉｒｅｌｅｓｓ现有的安全检测框架和模型，扩展相关的安全检测模块，通过协议分析与异常检测相结合的方法，检测网络中存在的不安全因素和攻击，实现安全的检测，并将有用信息和警报通过以太网提交给上层服务器处理。主要针对ＷＬＡＮ中的几种典型安全漏洞进行检测：（１１、ＷａｒＤｒｉｖｉｎｇ攻击：ＷａｒＤｒｉｖｉｎｇ的攻击软件ＮｅｔＳｔｕｍｂｌｅｒ在检测到ＡＰ后，会发送一个数据包，这个数据包具有几个特征：数据包的ＬＬＣ的ＯＩＤ值为ＯＸ００６０ｌｄ、ＰＩＤ值为Ｏｘ０００１，数据负载为５８Ｂ，并且对不同版本的ＮｅｔＳｔｕｍｂｌｅｒ，包含了一些特殊的字符串版本的ＮｅｔＳｔｕｍｂｌｅｒ，包含了一些特殊的字符串．如“Ｆｌｕｒｂｌｅｇｒｏｎｋｂｌｏｏｐｉｔ，ｂｎｉｐＦｒｔｍｄｌｅｔｒｕｎｅ”（Ｖｅｒｓｉｏｎ３．２．０），‘＇ＡｌｌＹｏｕｒ８０２．１１ａｒｅｂｅｌｏｎｇｔｏｕｓ”（Ｖｅｒｓｉｏｎ３．２．３１，空白（Ｖｅｒｓｉｏｎ３．３．０）。而且Ｗａｒｄｒｉｖｉｎｇ入侵会在无线网络的信道上不停地发送轮询请求帧，这样基于其攻击特征与协议分析相结合，可检测出该种攻击。对于数据帧，８０２．１１ＭＡＣ帧头后面的８字节是ＬＬＣ帧头数据结构，如表ｌ所示。
表１ＬＬＣ层帧结构
