Snort的高效规则匹配算法.pdf

2006 年9 月 计算机工耀 第32 梅篇18 期 Vol.32 地 18 Computer Eogioeeriog September 2006 文章偏号I 1000….3428(2伽)18-015轩-02 文献标识码IA 申回分羹号I TP393 ·由全技术· Soort 的高效规则匹配算法 谷脚棚，江柴嘴，越锦棉 (大连理工大学电信学院计算机系，大连 116023) 捕哥:对入侵检测系统制。的规则阪配算法进行了系统的分析，为了进→步提肖 Snort 的规则匹配效率，提出了在匹配过稳巾，对于条 件阪配处现函数应用参数链袋驱动的方法。从而避免戴复调用处璐画面数，充分利用参数之间的关系，并能动态地减少觉效规则的阪配。通 过两个实验来评估此方法的效凉，结果表明改进方案较明显地提商了 Sno川的枪测性能。 关镰词:基于网络的入侵检测系统;规则阪配;参数驱动 Efñcient Rule-matching Algorithms on Snort GU Xiaogang, JIANG Rongan , ZHAO Mingwei (Department of Computer, School of Electronic Inforrnatíon Engíneering ,Dalían University of TI巳chnology， Da1ian 116023) IAbstract) This paper systematica1ly ana1yzes the rule matching a1gorithm of Snort, an open source-code NIDS. ln order to increase 巳世ectively 也e rule matching spe时， an approach of parameter-list-driven is propoωd for the conditional checking subroutine during rule matching. The means can avoid repeatedly invoking the checking subroutines, can utilize relationship between parameters , and can significant1y reduce invalid rules in the running time. Finally, two experiments are done for eva1uating the e仔iciency of it.咀le result shows the approach can great1y improve the det巳cting perforrnance of Snort. (Key words) NIDS; Ru1e matching; Parameterωdriven 1Soort 入侵撞测系统 预处理，再利用规则树对数据报进行四配。如罔 1 所示，在 l1 规则树匹配过程中:根据模数据报的 IP 协议决定与哪个规则 Snort ] 作为一种网络入侵检测蕉统，在共享网络上提取 树进行匹配;然后与汉.TN 结点依次进行肌配，~与某个规则 原始的传输数据，分析捕获的数据报，匹配入侵行为的特征