检测中数据包的预处理的时间占用了整个特征匹配大约70.docVIP

网络数据包深度检测中，比较包头和载荷是一个复杂又耗时的工作，有研究证明在深度包检测中数据包的预处理的时间占用了整个特征匹配大约70%的时间[1]，随着网络的迅速发展网络威胁事件的数目逐渐上升，选用一个好的合适的匹配算法可以有效的减少对数据包有效载荷的匹配时间。在深度包检测中有三种最常用的匹配算法：Aho_Corasick[2]，Boyer_Moore[3]和Wu_Manber[4]。AC算法主要使用的有限自动机原理（DFN），对字符串的匹配的效率较高，但是随着特征数目的增加，状态表的扩增，需要很大的内存来维护状态机，这些状态表在一定程度上可作优化，文献[8]提出了一种优化策略，这里不做详述。Boyer_Moore作为单模式匹配的经典算法，在只有一个特征的情况下算法的性能优越。Wu_Manber算法是在BM基础上的演化而来的多模式匹配算法，与AC算法相比要求很少的储存空间来存储和维护中间表。 Network packet detection depth, a comparison between Baotou and the load is a complex and time-consuming work, studies have shown in deep packet inspection packet preprocessing time takes up the whole feature matching of approximately 70% of the time [1], with the rapid development of Internet network threat event number rises gradually, choose a good appropriate matching algorithm can effectively reduce the payload of the packet matching time. In the deep packet inspection in three of the most commonly used matching algorithm: Aho_Corasick[2], Boyer_Moore[3] and Wu_Manber[4]. AC algorithm using finite automata ( DFN ), for string matching efficiency is high, but with the increase of the number of features, the state table of amplification, needs a lot of memory to maintain the state machine, the state table to a certain extent, can be used for optimization of [8], put forward an optimization strategy,donot explain in detail. Boyer_Moore as a single pattern matching algorithm classic, in only one feature of the situation algorithm has superiority capability. The Wu_Manber algorithm is based on the BM evolved multiple pattern matching algorithm, compared with the AC algorithm requires less storage space in order to store and maintain the intermediate table. 作为多模式匹配算法，Wu_Manber可以在只扫描一次待匹配文本的前提下判断出模式串集合中的所有模式串是否出现。在诸多模式匹配算法中的选用中主要需要考虑的是模式串的最小长度，模式串的总长度，除此之外还有字母表的大小等因素。基于过滤思想的WM算法，它与经典的单模式字符串匹配算法Boyer_Moore的思想相结合，算法的执行过程中，首先先对整个模式串集进行预处理，预处理阶段主要涉及到三个表的建立，分别为SHIFT表、HASH表和前缀PREFIX表。匹配过程中主要通过坏字符来增加每次非匹配字符的窗口滑动的偏移量，即每次考察的都是一个块，而非逐个字符。同时使用散列函数将所有可能的块都散列到一个有限长度的表上，通过比较尾字符块的shift值和h