一种网络分组内容线速动态检测方法.pdfVIP

华南理工大学学报(自然科学版) JournalofSouthChina of V01．36No．9 第36卷第9期 UniversityTechnology Science 2008 2008年9月 (Natural Edition) September 一种网络分组内容线速动态检测方法水 徐克付 齐德昱 钱正平 向军 郑伟平 (华南理工大学计算机系统结构研究所，广东广州510640)． 摘要：针对高速网络内容检测中多模式匹配算法性能差和模式集不断动态变化的问 题，提出了一种松散耦合的双通道线速动态内容检测方法．该方法包含快速通道和慢速通 Bloom 道两部分，快速通道利用可动态查询的并行Countingfilter引擎过滤网络分组，过滤 出的嫌疑分组送慢速通道利用高效动态模式匹配算法一步准确鉴别和分析，从而避免对 正常分组的阻碍，达到线速检测．基于程序局部性原理，采用额定长度前缀的方法实现了 对长模式的可扩展性．分析与模拟试验表明，该检测方法具有较高的吞吐性能，可以实现 线速动态内容检测，同时减少了硬件资源开销，提高了可扩展性． 关键词：Bloom filter；计算机网络；深度分组检测；动态模式匹配 中图分类号：TP393 文献标识码：A 越来越多的网络安全应用程序除了对报文的协 模式匹配问题，这对网络安全设备在不停机的检测 议头进行分析外，通常还需要对报文内容进行检 条件下实现规则的升级与更新尤为重要．因此，研究 Packet 高速网络环境下线速动态深度分组检测算法具有特 测…，也称为深度分组检测(Deep Inspection)． 例如，网络入侵检测／保护系统(IDS／IPS)需要检测别重要的意义． 报文净荷是否含有恶意病毒、安全路由器转发分组 BF(BloomFilter)有三个重要的特性：(1)可以 执行动态查询；(2)查询速度快，模式的查询时间与 前需要确定分组是否含有网络蠕虫代码心j、Spare过 滤程序需要扫描报文中的垃圾邮件信息…等． 模式集的大小无关；(3)虽然模式集的存储空间与 这类应用程序一般根据预先定义的模式集对网 模式集大小呈线性增长关系，但是对模式集中的单 络分组任意位置的内容进行模式匹配pJ．然而模式 个模式，需要的存储空间与其长度无关．Dharma- 往往有成千上万条，数量巨大且长短不一、十分复 purikar等旧1提出了使用并行BF进行多模式匹配的 杂…．对通过网络安全设备的信息进行复杂的处 方法．虽然这种方法能够快速处理成千上万的模式， 理，信息的输出将会有很大的延迟，使网络传输速度 但由于模式长度从几十个字符到几千个字符变 降低，带宽严重损失，这种延迟量随处理复杂度的增 化¨J，因此此类方法对长模式要么处理能力有限， 长而急剧上升，一般是处理复杂度的非线性函数，因 缺乏可扩展性【4J，要么实现复杂，性能降低∞’6】．同 而模式匹配算法往往成为安全设备的性能瓶颈． 时，现有的基于BF的方法均为紧密耦合结构，BF 另外，网络环境不断变化，新的攻击层出不穷， 引擎检测到嫌疑分组时，必须等待精确分析的结果， 导致模式集也不断变化、不断更新，具有动态性HJ． 严重影响了检测速度．为此，文中提出了一种基于