基于DFA的高速协议分类引擎研究.pdfVIP

gOO$中国计算机网络安全应急年会信息内容安全分会 ·69· 基于DFA的高速协议分类引擎研究 杨毅夫L2，赵咏1’2，刘萍2，郭莉2 (I．中国科学院计算技术研究所，北京 100190：2．中国科学院．北京100049) 摘要： 协议分类就是标识网络上每个流所使用的应用层协议类别，它在入侵检测、Qos等领域有着广泛的应用。 使用基于NFA(q[j确定有限自动机)的匹配技术进行协议分类，对n条长度为m的规则，其状态转移的时问复杂度 是O(n*m2)。本文提}ij了基于DFA(确定自．限自动机)的协议分类方法，该方法把多条正则表达式转化成一个DFA， 其状态转移复杂度是O(1)。为了降低DFA的存储窄问和预处理时间，本文对协议进行了分组。实验表明，使用DFA 引擎町以提高L7．filter的速度，满足在线协议识别的需求。 关键词： 协议分类；正则表达式；有限自动机 ResearchofProtocolClassifierBasedon Engine DFA YANG Li2 Yi．ful”，ZHAO Yon91”，LIUPin92，GUO (I．InstituteofComputingTechnology,ChineseAcademyofScience,Beijing100190)、(2．Graduate Abstract：Protocolclassifieristomark ofeachtrafficonthenetworkandits usedinthe applicationlayerprotocol widely IDS， isaclassifierforLinux’S theclassifierUSeS rules．The Qos．etc．L7一filter Netfiiter,and engineregularexpressions笛classifierengine isbasedon itsstatetransitionis whentherearemrulesof nwe a basedonDFAwhose NFA,and O(n‘m21 length proposetechnique statetransitionis wealsodivideallrulesinto2 toreducethe and time．The o(1)．And groups space storage preprocessorexperiment resultsshowthatthe basedonDFAismuchfasterthanthatbasedonNFA．。 engine words：Protocol automata key classification；Regularexpression；Finite 1引言 随着Internet的飞速发展，如何对网络上每个流所使用的应用层协议进行分类对于网络管理员、研 究员以及服务提供商、用户都具有重要的意义，它是研究区分服务、入侵检测、Qos、流鼍监控等的前提 和基础。协议分类算法主要分为三类[1]；基于端口的协议分类算法[2]；基于负载的协议分类算法[3]； 基于测度的协议分类算法[4]。现有的系统大多使用基于负载的协议分类算法， L7一filter[http：／／17一filter．sourceforge．net／]就是其典型的例子。 行过滤等操作。L7一filter由协议分类引擎和特征协议库组成，其中特征协议库中的协议都是用正则表达 式描述的，因此