一种快速模式匹配算法及其在IDS中的应用.pdf

2009年第3期 中图分类号：哪 09 文献标识码：A 文章编号：1009—2552(20o9)o3—0o3O一03 一 种快速模式匹配算法及其在 IDS中的应用 周文秋，吕 岳 (华东师范大学计算机科学与技术系，上海 20o24O) 摘 要：模式匹配算法是基于规则的入侵检测系统的核心。对 sn0rt的模式匹配原理及其基础 BM 算法做 了描述，在此基础上提出了一种效率更高的2C— BM算法，通过每次比较两个字符，并在 失配时参考两个 shiff值来跳转，实现 了更好的向右跳跃性。分析 了算法的时间复杂度，基于 sn0rt进行了算法验证与测试。新算法极大地提高了匹配效率。 关键词：模式匹配；入侵检测；BM A lIastalg0rithm fbrpatternmatchinganditsapplicati0ninIDS ZH0UWen—qiu，LV Yue ( t0fC0IIlplIterScience，EaStC血aNonIlal Ⅷ随t)r， an ai2OO240，C1Ii衄) Abs打act：Pattemmatchingalg0rithm isthecoreofd1erule_baLsedintmsi0ndetectionsystem(Ⅱ}S)．111is paperdeSc曲esthematchingprinciple0fsnortaJ1ditsfolundationBMalg0ritl瑚．Am0reemcienta1g砸t}un 2C BM isthen pmposed，inwhich h charactersare c0mpared everytiHle，and two shiftvaluesaTe — referencedwhenalTlisⅡlatchingh印pened．Then廿1etimecomplexityanalysisandexpeIiⅡlentresultsof廿1e alg0ri山mare舀venout．ThenewaIg0dthmimpr0vedthematchingemcieney eatly． 】(reyⅥ阳drds：pattem Imtching； intⅢsi0ndetection；BM 入侵检测系统(IDs)的实现涉及协议分析、特征 1 算法描述 匹配、专家系统等多个方面，其中目前获得最广泛应 在 snonL。中，其模式匹配算法如下：sn0n以其 用的是特征匹配，即提取各种攻击的特征构成规则 规则集 构造一个二维链表结 构：Rule‰ eN0de 库，再将其与网络包匹配以发现可能的攻击。模式 (RTN)和 Opti0n1keNode(OTN)．RTN存储每条规则 匹配算法(pattemmatchingaIg0 1m)是实现 IDs的核 心算法，同时也是最耗费计算资源的处理步骤。在 都有的公共属性，比如 目的地址、源地址、协议类型 高速网络中，它一直是 IDs性能提高的一个瓶颈。 (TCP，uDP，IcMP)等。在每个 RTN下有若干 oTN， 著名的开源 IDS软件 sn0n，其模式匹配的基础 存储每条规则的具体选项，如TCPn ，ICMPcodes， 是BM算法…。将 BM算法应用到多模式串匹配领 帅es，PacketContent等。