一种面向入侵检测的快速多模式匹配算法.pdf

维普资讯 第28卷第 1期 计算机应用 Vo1．28No．1 2008年 1月 ComputerApplications Jan．2008 文章编号：1001—9081(2008)01—0082—03 一 种面向入侵检测的快速多模式匹配算法 高朝勤，陈元琰，李 梅 (广西师范大学计算机科学与信息工程学院，广西桂林541004) (chqgao@126．corn) 摘 要：随着网络速度和入侵检测规则的持续增长，模式匹配正在成为网络入侵检测系统的性能瓶颈。提 出了 一 种新的w Manber类型的模式匹配算法，通过将模式分组，对不同予模式组采用不同匹配方法，显著提高了模式匹 配的效率。对比实验表明，当模式组中含有长度小于3的模式时，新算-法J陛能比原算法平均提高了29％一44％。 关键词：多模式匹配；入侵检测系统；Wu—Manber算法；网络安全 中图分类号：TP393，08 文献标志码：A Fastmulti-p·atternmatchingalgorithm forintrusiondetection · GA0 Chao．qin．CHEN Yuan．yah．LIMei (CollegeofComputerScienceandInformationEngineering,CuangxiNormalUniversity,GuilinCuangxi541004，China) Abstract：With network speed and the numberofrules constantly increasing, pattern matching isbecoming the bottleneckinNetworkIntrusionDetectionSytsem (NIDS)，ThispaperproposedafastWu—Manber—likemulti—patternmatching algorithm forintrusiondetection，calledFWM．Bysubdividingthepatterngroupintotwosubgroupsanddealingwiththewto subgroupsindifferentmethods，theFWM algorithm enhancedhteefficiencyofpatternmatching．Experimental resultsshow that，whenpatternrgoupcontainsthepatternhtatislessthanthreebytes，theFWM algorihtmimprovesaverageperformance by29％ 一44％ comparedtotheoriginalNIDSpatternmatchingalgorihtm． Keywords：multi--patternmatching；intrusiondetectionsystem；Wu--Manberalgorihtm；networksceurity 网络入侵检测系统(NIDS)作为提高网络系统安全性的 Wu—Manber算法构造 3个表：SHIFT表存放大小为 曰的字符 重要技术之一，已经得到了广泛应用。’典型的NIDS是用一 块出现在文本中时模式窗口的跳跃距离；Hash表存放指向曰 系列的规则 (特征)来描述已知的攻击行为。一条规则包含 个后缀字符相同的模式列表的指针；PRE~X表存放模式前 了一个或多个用以识别某种攻击行为的模式串。许多 NIDS 缀的哈希值，用以过滤那些后缀相同但前缀不