一种入侵检测系统快速模式匹配算法.pdfVIP

第 19卷第 1期 湖 南 工 程 学 院 学 报 Vb1．19．N0．1 2009年 3月 JournalofHunanInstituteofEngineering Mar．2008 一 种 入 侵 检 测 系 统 快 速 模 式 匹 配 算 法 寻大勇 (湖南工程学院 电气信息学院，湘潭 411101) 摘 要：模式匹配是应用于入侵检测系统中的的主要技术之一，匹配算法的好坏直接影响入侵检测系 统的效率，本文在分析BM及其改进算法的基础上，提出了一种快速的BME算法．该算法结合了BMH 算法和BMHS算法的优点，有效地减少了比较次数，加快了匹配速度．试验测试结果表明该算法能够有 效提高网络入侵检测系统的效率． 关键词：入侵检测；模式匹配；BM 算法 中图分类号：TP309 文献标识码：A 文章编号：1671—119X(2009)01—0052一O3 下对BM 算法的主要改进算法做简单分析． 0 引 言 1．1 BM 算法 1977年，R．S．Boyer和 J．S．Moore提出了一种 人侵检测系统_l1]指的是用来对各种入侵行为进 更高效的模式匹配算法，该算法后来被称为 BM算 行识别检测的系统，包括检测外界非法入侵者的恶 法．BM算法的关键是找出那些不必要的比较，从而 意攻击或试探，以及内部合法用户的超级使用权限 加快了查找速度，提高了查找效率．BM算法在匹配 的非法行为．系统对收集到的有关系统、网络、数据 过程中，从模式串的最右端，即Pattern[m--13开始 及用户活动的状态和行为等信息通过技术手段进行 比较，当发现被 比较的两个字符不相等后，模式向右 分析．模式匹配_2]是其中主要的用于实时的入侵检 移动X个位置．当被比较的字符相同时，再比较左边 测的技术． 的字符．如果成功比较的次数等于模式的长度，就表 模式匹配就是将收集到的信息与已知的网络入 示已找到一个匹配的模式．X值为2个预先定义的 侵和系统特定的模版进行比较，从而发现违背安全 偏移函数 skip和 shift的最大值，使模式向右移动 策略的行为．随着网络流量和速度的不断增加，快速 尽可能远的距离． 性成为衡量检测引擎性能的重要指标．如何提高入 1．2 BMH算法 侵检测引擎的速度一直以来都是研究的热点问题． 1980年，R．N．Horspool提出了改进与简化的 模式匹配技术的一大优点是只需收集相关的的数据 BM算法，称为BMH算法．BMH算法的关键在于 集合，显著减少系统负担，检测准确率和效率都比较 确定当比较失败后模式的右移量．假设正文中的 高．其中的关键问题是模式匹配算法的效率． Text[k~与模式中的PatternEm--11对齐，Text[i~ 与Pattern-[j]对齐．如果正文中引起比较失败的字 1 模式匹配算法 符TextVi]不在模式中出现，那么右移量可确定为 m；如果引起 比较失败的字符 TextEi]在模式中出 模式匹配是指在正文TextE0…n一1]中查找模 现，例如 “pain”中的 “n”与 “Spain”中的 “i”对齐时，右 式