基于網(wǎng)絡(luò)處理器的多模式串匹配算法研究.pdf

1、隨著計算機網(wǎng)絡(luò)的迅速普及以及人們對網(wǎng)絡(luò)越來越強的的依賴性，網(wǎng)絡(luò)安全問題日益突出并引起廣泛關(guān)注。入侵檢測是網(wǎng)絡(luò)安全系統(tǒng)的一個重要組成部分，其目的是通過監(jiān)視和分析網(wǎng)絡(luò)流量來發(fā)現(xiàn)可疑的攻擊行為，進而采取有效的防護措施。目前入侵檢測最常采用的方法是先根據(jù)各種入侵行為的特點建立一個入侵行為特征(數(shù)據(jù)流中出現(xiàn)的特征字符串)庫，并為每一種入侵行為關(guān)聯(lián)一個安全措施，運行時通過在收到的數(shù)據(jù)包中檢查是否存在這些特征字符串來判斷是否存在入侵行為。在數(shù)據(jù)包中查

2、找入侵特征串使用的是模式串匹配技術(shù)，研究表明模式串匹配是入侵檢測系統(tǒng)中耗時最多的操作。隨著網(wǎng)絡(luò)速度及網(wǎng)絡(luò)流量的激增，模式串匹配已成為決定入侵檢測系統(tǒng)性能的主要因素。 模式串匹配是一個已經(jīng)研究了很久的的問題，其應(yīng)用十分廣泛，也已經(jīng)有很多算法被提出。根據(jù)應(yīng)用的特點選擇合適的模式串匹配算法、進行適應(yīng)性改造并在特定平臺上高效實現(xiàn)是模式串匹配應(yīng)用研究的一個重要方面。隨著網(wǎng)絡(luò)速度及流量的增長，入侵檢測面臨的壓力越來越大。目前基于通用處理器實

3、現(xiàn)的模式串匹配只能達到100Mbps左右的速度，距離10Gbps的網(wǎng)絡(luò)速度還很遠，如何提高模式串匹配的速度是目前亟待解決的難題。網(wǎng)絡(luò)處理器的出現(xiàn)為以較低的代價實現(xiàn)高速模式串匹配帶來了新的解決方案，但目前基于網(wǎng)絡(luò)處理器的模式串匹配研究開展得還不多。 本文研究適合于入侵檢測的模式串匹配算法以及算法在網(wǎng)絡(luò)處理器上的高效實現(xiàn)。在對目前使用最廣泛的Snort入侵特征庫的統(tǒng)計特性進行分析的基礎(chǔ)上，本文選擇FNP算法作為主要的模式串匹配算法并

4、做了適應(yīng)性改變，在具有相同前綴的模式串?dāng)?shù)量超過一定閾值時將FNP算法和AC算法相結(jié)合以改善FNP算法在最壞情況下的性能。本文選擇IntelIXP2800網(wǎng)絡(luò)處理器作為算法實現(xiàn)的平臺，仔細研究了IXP2800的軟硬件體系結(jié)構(gòu)，充分利用其多核多線程的特點對算法進行了并行化。在IntelDevWorkbench仿真平臺上對FNP-AC算法的測試表明，算法具有很好的擴放性，在10k規(guī)模的模式串集合上可達到6Gbps的吞吐量，且具有近乎線性的加速