入侵检测系统中一种模式匹配算法的研究与改进
合集下载
Snort中BM模式匹配算法的研究与改进
－ － － ３ － ５ ４ ３ － － １ ３ ０ ８ ９ １
当 Ｐ中字符 。与 Ｔ中 对应字 符 ｂ失配 时 ， 同时共有 ３ 条 启发性规 则指导 Ｐ滑动 （ Ｔ为参 照 ） 以 到下一个适 当 的位置 ， 哪种规则 下滑动的距离最大 ， 便采 用哪一种 。
ａ Ｏ． ｔｒ） － ｄｌ２ｊ： ｅｔ （ ａ ）
０ ￥
－ － ６
１
２ ３
４
５ ６
７
的第一 步是 将 目标 串 Ｔ与模 式 串 Ｐ两 者的左 端对齐 ，
然后从 Ｐ的末字符 开始往 左对 比 Ｔ中相 对应 的字符 。
Ｈ Ｄ Ｂ Ｈ Ｂ Ｈ Ｂ Ｈ
１ １ １ １ ６ ５ ４ ３ ２ １ ６ ０
表 ２
规则一 ， 如果 ｂ没有被包含在 模
式 串 Ｐ中 ， 么 Ｔ中从 ｂ开始 ， 那 长度 等 于 ｓｔｎ Ｐ ＝ ｍ 的子 串是 不可 ｔ （） ｒ ｅ 能和 Ｐ匹配成功的。
规 则二 ， 如果 ｂ被包 含在 Ｐ中 ，
关键 词 ： 式 匹 配 Ｂ 算 法 入 侵 检 测 Ｓ ｏ 模 Байду номын сангаас ｎｄ
１ 引言
模 式匹配是 指在一个 目标文本 Ｔ中查找某个特定 的子串 ， 使得 这个子 串 与已知的模 式 串 Ｐ相等 。如 果 在 Ｔ中找到等于 Ｐ 的子 串， 则称匹配成功 ，
统（Ｄ ） Ｉ 的工 作 效 率。著 名 的轻 量 级 入 侵 检 测 系统 Ｓ ｓｎ ｏ ｄ采用的是 Ｂ 模 式 匹配算 法 ， Ｍ 该算 法被 称为 亚线 性 算法 ， 平均 匹配速度 比 同类型 的 Ｋ 其 ＭＰ算法还要 快 ３ —５倍 。本 文对 Ｂ 算 法进行 了改进 ， Ｍ 使之 更适合 与
当 Ｐ中字符 。与 Ｔ中 对应字 符 ｂ失配 时 ， 同时共有 ３ 条 启发性规 则指导 Ｐ滑动 （ Ｔ为参 照 ） 以 到下一个适 当 的位置 ， 哪种规则 下滑动的距离最大 ， 便采 用哪一种 。
ａ Ｏ． ｔｒ） － ｄｌ２ｊ： ｅｔ （ ａ ）
０ ￥
－ － ６
１
２ ３
４
５ ６
７
的第一 步是 将 目标 串 Ｔ与模 式 串 Ｐ两 者的左 端对齐 ，
然后从 Ｐ的末字符 开始往 左对 比 Ｔ中相 对应 的字符 。
Ｈ Ｄ Ｂ Ｈ Ｂ Ｈ Ｂ Ｈ
１ １ １ １ ６ ５ ４ ３ ２ １ ６ ０
表 ２
规则一 ， 如果 ｂ没有被包含在 模
式 串 Ｐ中 ， 么 Ｔ中从 ｂ开始 ， 那 长度 等 于 ｓｔｎ Ｐ ＝ ｍ 的子 串是 不可 ｔ （） ｒ ｅ 能和 Ｐ匹配成功的。
规 则二 ， 如果 ｂ被包 含在 Ｐ中 ，
关键 词 ： 式 匹 配 Ｂ 算 法 入 侵 检 测 Ｓ ｏ 模 Байду номын сангаас ｎｄ
１ 引言
模 式匹配是 指在一个 目标文本 Ｔ中查找某个特定 的子串 ， 使得 这个子 串 与已知的模 式 串 Ｐ相等 。如 果 在 Ｔ中找到等于 Ｐ 的子 串， 则称匹配成功 ，
统（Ｄ ） Ｉ 的工 作 效 率。著 名 的轻 量 级 入 侵 检 测 系统 Ｓ ｓｎ ｏ ｄ采用的是 Ｂ 模 式 匹配算 法 ， Ｍ 该算 法被 称为 亚线 性 算法 ， 平均 匹配速度 比 同类型 的 Ｋ 其 ＭＰ算法还要 快 ３ —５倍 。本 文对 Ｂ 算 法进行 了改进 ， Ｍ 使之 更适合 与
入侵检测系统中模式匹配算法研究
法 。该 算 与 文本 串 失 败 的当
文本
ｑ
ｄ ｅ ｂ
ｄ
ｂ
ｄ
ｄ
第
趟
ｂ ｄ
ｄ
ｂ ｄ ｂ ｄ ｄ ｄ
ｂ ｄ ｄ
按 Ｂ 的 Ｍ
不 出现 ，
筇 ． 趟 ｊ 趟
趟
一 璧 ｜ 童 Ⅲ
字 符 是 否 与 模 式 串 Ｐ［］ 等 ，若 相 等 ，则 将 Ｐ［ １相 １ ］
定义一 个 从字母 到 正 整数 的映 射 ：
ｄｔ ｉ． ｓ ｎ ， ＂ ， ： ｝
ＢＭ 算 法 采 用 “ 跃 式 ” 查 找 策 略 ，多数 情 况 跳
下不 需 要 对文 本 进 行一 次 完 整 的扫描 。假设 在 执行
正文 中 自位 置 ｉ “ 前 ” 的一 段 与模 式 的 自右至 起 返
入侵检测 系统 中模式 ｐ ］ ｃｉ ｍ 算法研 究
李 君 秋 ，王 法 能
（ 大连 装备制 造职 业技 术学 院 ， 宁 大连 １ ６ ） 辽 １０ １ １
霜
摘 要 ：分析 了Ｂ ，Ｋ Ｐ Ｍ模 式匹配算法 ，在此算法的基础上提 出 了一种改进的模 式 匹配算法 （Ｂ ） Ｆ Ｍ ，Ｂ Ｆ Ｍ ，该算 法的思想是对 Ｂ Ｍ
根 据 滑 动 距 离 函 数 ｄ ｓ 则 模 式 串 向右 滑 动 ５个 字 ｉｔ 符 ：第 二 趟 从 文 本 串 的第 ９个 字 符 自右 向左 比较 ， ３ ，Ｔ［１ ＝ ［１ ７ ｇ Ｐ ３，根 据滑 动 距离 … ｉｔ ｓ
该算 法 的关键 是求 ｎ ｘ ｅ ｔ函数 的修正 值 ：
ｋ Ｉ ＝Ｐ ＼Ｐ
ｌ “也
１
２３Ｂ ． Ｍ算法
入侵检测系统中的模式匹配算法研究
方 向。 关 键 词 ： 侵 检 测 ； 式 匹 配 ； ＭＰ算 法 ； Ｍ 算 法 ； Ｃ算 法 ； 端 分段 匹 配算 法 入 模 Ｋ Ｂ Ａ 两
中图 分 类 号 ：Ｐ ０ Ｔ３１
文 献 标 识 码 ： Ａ
文 章 编 号 ：６ ３ １８ （０ ０ ０ — １９ ０ １７ — ９ ０ ２ １ ）２ ０ ５ — ４
常快 ， 实际 比较次数只有 目标 串长度 的 ２ ％～ ０ ０ ３％。
符 不 匹 配 ， 将模 式 串右 滑 距 离 ｄ ， 则 ）执行 由 Ｐ ｍ与
＋ ） ｄ 起始 的 自右 至左 的匹配检 查 。 Ｍ 算法采 用两 Ｂ 条规则 计算 模 式 串右移 的距离 ： 后 缀 移动 和 坏字 好 符 移动 。 （ ） 后缀 移动 ， １好 分两种 情况 。
收 稿 日期 ： ０ ９ ０ — ０ ２ ０ — ９ ３
发 ． ｏｅ 和 Ｍｏｒ 提 出一种 新 的快速 字符 串匹 配算 Ｂ ｙｒ ｏｅ
法一 Ｂ 算 法 ［ ｌ Ｍ 。 ． ６
Ｂ 算法 基 本思 想是 ：开始 时 将 目标 串 与模 Ｍ
式 串 Ｐ左对 齐 ， 自右 至左 逐个 字符 进行 比较（ 即首先
１ 单 模 式 匹 配 算 法
（） １ 模式 匹 配 。在 给定 长度 为 凡的 目标 串 中
查找 长度 为 ｍ 的模 式 Ｐ首 次 或多 次 出现 的过程 ，
，
ｍ ｘｋｌｋｊ且 Ｐ … ： ａ｛ｌ ＜ ， ＜ ２
ｎ ｘ￣＝ ｅｔ］ ０
一
∥‘ 。 ‘ ） 一
集 合非 空 其 他情况 ｊ ｏ时 ＝
等传统 安 全保护 措施后 的新 一代 安 全保 障技术 。模
式 匹配算法 是基 于特 征匹 配 的入 侵检 测 系统 中的核 心算 法 。据 统计 ， 现在 大约 ９ ％的入 侵 检 测都 是 特 ５ 征 匹配 的人 侵检 测 。 由此 可见 ， 式 匹 配算 法 性 能 模 的优劣 直接 影响 到入侵 检测 系统 的效 率 。在此介 绍 几 种用 于入侵 检 测 的经 典模 式 匹 配算 法 ． 在 此基 并 础 上提 出一种 入 进算 法 ． 后 给 出人 侵 检测 系 统 中 最 模 式匹 配算法 的选 择策 略 。
中图 分 类 号 ：Ｐ ０ Ｔ３１
文 献 标 识 码 ： Ａ
文 章 编 号 ：６ ３ １８ （０ ０ ０ — １９ ０ １７ — ９ ０ ２ １ ）２ ０ ５ — ４
常快 ， 实际 比较次数只有 目标 串长度 的 ２ ％～ ０ ０ ３％。
符 不 匹 配 ， 将模 式 串右 滑 距 离 ｄ ， 则 ）执行 由 Ｐ ｍ与
＋ ） ｄ 起始 的 自右 至左 的匹配检 查 。 Ｍ 算法采 用两 Ｂ 条规则 计算 模 式 串右移 的距离 ： 后 缀 移动 和 坏字 好 符 移动 。 （ ） 后缀 移动 ， １好 分两种 情况 。
收 稿 日期 ： ０ ９ ０ — ０ ２ ０ — ９ ３
发 ． ｏｅ 和 Ｍｏｒ 提 出一种 新 的快速 字符 串匹 配算 Ｂ ｙｒ ｏｅ
法一 Ｂ 算 法 ［ ｌ Ｍ 。 ． ６
Ｂ 算法 基 本思 想是 ：开始 时 将 目标 串 与模 Ｍ
式 串 Ｐ左对 齐 ， 自右 至左 逐个 字符 进行 比较（ 即首先
１ 单 模 式 匹 配 算 法
（） １ 模式 匹 配 。在 给定 长度 为 凡的 目标 串 中
查找 长度 为 ｍ 的模 式 Ｐ首 次 或多 次 出现 的过程 ，
，
ｍ ｘｋｌｋｊ且 Ｐ … ： ａ｛ｌ ＜ ， ＜ ２
ｎ ｘ￣＝ ｅｔ］ ０
一
∥‘ 。 ‘ ） 一
集 合非 空 其 他情况 ｊ ｏ时 ＝
等传统 安 全保护 措施后 的新 一代 安 全保 障技术 。模
式 匹配算法 是基 于特 征匹 配 的入 侵检 测 系统 中的核 心算 法 。据 统计 ， 现在 大约 ９ ％的入 侵 检 测都 是 特 ５ 征 匹配 的人 侵检 测 。 由此 可见 ， 式 匹 配算 法 性 能 模 的优劣 直接 影响 到入侵 检测 系统 的效 率 。在此介 绍 几 种用 于入侵 检 测 的经 典模 式 匹 配算 法 ． 在 此基 并 础 上提 出一种 入 进算 法 ． 后 给 出人 侵 检测 系 统 中 最 模 式匹 配算法 的选 择策 略 。
入侵检测模式匹配算法研究
络数据分析 、 匹配 ． 判断网络中是否有 入侵企图。ｆ 定所有入侵行为和手
系统 一般不单独采川 Ｋ ｕｈ ＰａｔＭｏｒ 算法 ．而是配 合其他算法 ｎ ｔ— ｒｔ ｒｉ — ｓ
共同实现。
段（ 及其变种 ） 都能够表达 为一种模式或特 征 ， 那么所有 已知的入侵方 法 都可 以用模式匹配 的方法 发现 。一般 意义上的模式 匹配算法非 常多 ， 本 文只研究 与入侵检测直接 相关 的算法 ，主要有 Ｂｕ ｒ 算法 ， ｎ ｔ ｒｔ Ｆ ｃ ｅｏｅ Ｋｕ — ｈ
ＰａｔＭｏｒ 算法 ，ｏｅ— ｏｅ ｒｔ — ｒｓ ｉ Ｂ ｙｒ Ｍｏｒ 算法 、ｈ — ｏ ｉｋ算法 、ｅ— ｉ ｏｅ— Ａ ｏ Ｃ ｍｓ ｃ ｓ Ｉｗ ｓ Ｂ ｙｒ ｅ Ｍｏｒ— ｒｐｏ 算法 ，ｈ — ｏ ｉｋ Ｂ ｙｒ Ｍｏｒ 算法 。 ｏｅ Ｈｏｓｏｌ Ａ ｏ Ｃ ｍｓ — ｏｅ— ｏ ｅ ｃ
Ｂ ｙｒＭｏｅ 算法先将 Ｐ Ｔ左端对齐 ．然后按 照从右 向左的模式从 ｏｅ— ｏｒ ， 摸式 串最右一个字符开始扫描 。在不匹配的情况下 （ 或者整个字符串完
全匹配 ） ， 它用两个预处理 函数决定右移的长度 。 这两个 函数分别 叫做好
后缀移 动函数 （ 叫匹配移动 ） 也 和坏字符移动 函数 （ 叫出现移动 ） 也 。
法、 ｏｅ＇ ｏｅ 算法 、 ｈ — ｏａｉｋ算法 、ｅ－ ｉ ｏｅ— ｏｒ— ｏ ｐｏ 算法和 Ａ ｏ Ｂ ｙｒＭｏ ｒ Ａ ｏ Ｃ ｒｓ ｃ Ｓ ｔｗｓ Ｂ ｙｒ Ｍ ｏｅ Ｈ ｍ ｏｌ ｅ ｈ—
Ｃ ｒｓ ｃ ｏ ａｉｋ
—
Ｂ ｙｒＭ ｏｅ算法。 ｏｅ— ｏ ｒ
文献标识码 ： Ａ
２３ 系 统应 用 －
１ Ｂ ｕ ｏｃ ｒｔ Ｆ ｒｅ算法 ｅ
系统 一般不单独采川 Ｋ ｕｈ ＰａｔＭｏｒ 算法 ．而是配 合其他算法 ｎ ｔ— ｒｔ ｒｉ — ｓ
共同实现。
段（ 及其变种 ） 都能够表达 为一种模式或特 征 ， 那么所有 已知的入侵方 法 都可 以用模式匹配 的方法 发现 。一般 意义上的模式 匹配算法非 常多 ， 本 文只研究 与入侵检测直接 相关 的算法 ，主要有 Ｂｕ ｒ 算法 ， ｎ ｔ ｒｔ Ｆ ｃ ｅｏｅ Ｋｕ — ｈ
ＰａｔＭｏｒ 算法 ，ｏｅ— ｏｅ ｒｔ — ｒｓ ｉ Ｂ ｙｒ Ｍｏｒ 算法 、ｈ — ｏ ｉｋ算法 、ｅ— ｉ ｏｅ— Ａ ｏ Ｃ ｍｓ ｃ ｓ Ｉｗ ｓ Ｂ ｙｒ ｅ Ｍｏｒ— ｒｐｏ 算法 ，ｈ — ｏ ｉｋ Ｂ ｙｒ Ｍｏｒ 算法 。 ｏｅ Ｈｏｓｏｌ Ａ ｏ Ｃ ｍｓ — ｏｅ— ｏ ｅ ｃ
Ｂ ｙｒＭｏｅ 算法先将 Ｐ Ｔ左端对齐 ．然后按 照从右 向左的模式从 ｏｅ— ｏｒ ， 摸式 串最右一个字符开始扫描 。在不匹配的情况下 （ 或者整个字符串完
全匹配 ） ， 它用两个预处理 函数决定右移的长度 。 这两个 函数分别 叫做好
后缀移 动函数 （ 叫匹配移动 ） 也 和坏字符移动 函数 （ 叫出现移动 ） 也 。
法、 ｏｅ＇ ｏｅ 算法 、 ｈ — ｏａｉｋ算法 、ｅ－ ｉ ｏｅ— ｏｒ— ｏ ｐｏ 算法和 Ａ ｏ Ｂ ｙｒＭｏ ｒ Ａ ｏ Ｃ ｒｓ ｃ Ｓ ｔｗｓ Ｂ ｙｒ Ｍ ｏｅ Ｈ ｍ ｏｌ ｅ ｈ—
Ｃ ｒｓ ｃ ｏ ａｉｋ
—
Ｂ ｙｒＭ ｏｅ算法。 ｏｅ— ｏ ｒ
文献标识码 ： Ａ
２３ 系 统应 用 －
１ Ｂ ｕ ｏｃ ｒｔ Ｆ ｒｅ算法 ｅ
入侵检测系统模式匹配算法研究【文献综述】
毕业设计文献综述计算机科学与技术入侵检测系统模式匹配算法研究一、前言部分计算机网络的发展使人们的工作、学习和生活更加高效和便利，但借助于网络的入侵行为的数量和破坏性也不断增加。
近年来，网络安全事件呈爆炸性增长，安全问题日益突出。
根据CERT／CC的统计，1994年安全事件为2 340件，而2003年这一数字己达到137529件(此项统计截至于2003年) [1] .网络安全是指利用网络管理和控制技术，保证网络系统的硬件，软件及其系统中的数据不被偶然的或者恶意的原因破坏，更改，泄漏，保持系统连续可靠正常地运行，网络服务不中断。
网络安全从其本质上来讲就是网络上的信息安全。
它涉及到网络上信息的保密性，完整性，可用性，真实性和可控性的相关技术和理论。
网络安全应该具有保密性、完整性、可用性、可控性和正确性五个方面的特征[2]。
面对日益加剧的网络安全威胁，传统的静态安全技术如认证机制、加密和防火墙等已经难以胜任。
为此，我们需要尽可能找到更好的措施以保护系统免受入侵者的攻击。
要求事先设置规则。
对于实时攻击或异常行为不能实时反应。
无法自动调整策略设置以阻断正在进行的攻击。
因而出现了入侵检测系统[3]。
入侵检测系统(Intrusion Detection System ，IDS)可以弥补防火墙技术的不足，对网络或操作系统上的可疑行为作出策略反应，及时切断资料入侵源，记录并通过各种途径通知网络管理员，以求最大幅度地保障系统安全。
它是防火墙的合理补充，可以帮助系统对付网络攻击，扩展系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应)，从而提高信息安全基础结构的完整性，被认为是防火墙之后的第2道安全闸门。
它能在不影响网络性能的情况下监测网络，从而提供对内部攻击、外部攻击和误操作的实时保护[4]。
入侵检测作为一种重要的动态安全技术，能够提供对计算机系统和网络的外部攻击、内部攻击及误操作的全面检测，其主要功能是监视并分析用户和系统的行为、审计系统构造和弱点、评估重要系统图、安全事件报告数据和数据文件的完整性、识别己知攻击的行为模式、异常行为模式的统计分析、操作系统的审计跟踪管理和识别用户违反安全策略的行为。
ID3算法在入侵检测系统中的研究与改进
ｔｅ ｅｔ ｎ ． Ｔ ｔ ｉ ｆｕｔ， ａ ｊ ｒｖ ｄ ｄｃｓ ｎ ｒｅ ｌｏｉｈ ｗａ ｐｏｏｅ ｈ ｂ ｓ ｏ ｅ ｏ ｈｓ ａ ｌ ｎ ｍｐｏ ｅ ｅｉｉ ｔｅ ａｇ ｒｔｍ ｏ ｓ ｒｐｓｄ． Ｔ ｏｇ ｉ ｒｖ ｄ ｎ ｏｍａ ｉｎ ａｎ， ｓｌ ｔ ｇ ｈ ｂ ｓ ｄｖｓｏ ｈ ｕ ｈ ｍｐｏ ｅ ｉｆｒ ｔ ｇ ｉ ｏ ｅ ｃ ｉ ｔｅ ｅｔ ｉｉ ｎ ｅ ｎ ｉ ａ ｔｉｕｅ ， ｔ ｅ ａａ ｏｌｃｅ ｗａ ｃａｓｆ ｄ ｔｅ ｔｅ ｅｉｏ ｔｅ ｗｉｈ ｅｓ ｒ ｎｈ ｓ ｎ ｌｗｅ ｈｉｈ ｗａ ｃｅ ｔ ｄ Ｔｈ ａｇ ｒ ｈ ｔ ｒ ｔ ｓ ｈ ｄ ｔ ｃ ｌ ｔｄ ｂ ｅ ｓ ｌｓｉｉ ， ｈｎ ｈ ｄｃｓ ｎ ｒｅ ｔ ｌｓ ｂａ ｃｅ ａｄ ｏ ｒ ｅｇ ｔ ｅ ｉ ｓ ｒａ ｅ ． ｅ ｌｏｉ ｍ， ｃｍｂ ｉｇ ｔ ｏ ｉｎ ｎ
本 总数 。其 中对于给 定子 集的期 望信 息为 ：
或程 序足够 的 “ 正常 的”和 “ 常的” 审计数 据 ， 异 然后应
用一个 分类 算法 训练分 类器 ， 使之 可 以标识 或预测 属于正
常类 型或异 常类 型的新 的未 见过 的特征 。决策 树算 法是 比 较常用 的有效 分 类方法 ，而 Ｉ ３ Ｄ 算法是 决策树 的核 心算法 。
ｗｉ ｐ ｔｅｎ ｔ ａ ｔｒ ｍａ ｃ ｈ ｔｈ， ｗａ ｕｅ ｔ ｄ ｔｃ ｉｔｕｆｎ ． Ｅ ｐ ｒ ｎ ａ ｒｓｌ ｓｏ ｄ ｈ ｅ ｆｃ ｉｅｅｓ ｆ ｈ ａｇ ｒ ｈ ｓ ｓｄ ｏ ｅ ｅｔ ｎｒｓ ｓ ｏ ｘ ｅｉ ｔ ｆ ｅｕｔ ｈｗｅ ｔｅ ｆ ｅｔｖ ｎｓ ｏ ｔ ｅ ｌｏｉ ｍ， ｆ ｌ ａａ ｍ ａ ｅ ｎ ｏ ｓｉｎ ｍｅ ｓ ｔ ａｓ ｅ ｌｒ ｒ ｔ ａ ｄ ｍｉ ｏ ｓ
本 总数 。其 中对于给 定子 集的期 望信 息为 ：
或程 序足够 的 “ 正常 的”和 “ 常的” 审计数 据 ， 异 然后应
用一个 分类 算法 训练分 类器 ， 使之 可 以标识 或预测 属于正
常类 型或异 常类 型的新 的未 见过 的特征 。决策 树算 法是 比 较常用 的有效 分 类方法 ，而 Ｉ ３ Ｄ 算法是 决策树 的核 心算法 。
ｗｉ ｐ ｔｅｎ ｔ ａ ｔｒ ｍａ ｃ ｈ ｔｈ， ｗａ ｕｅ ｔ ｄ ｔｃ ｉｔｕｆｎ ． Ｅ ｐ ｒ ｎ ａ ｒｓｌ ｓｏ ｄ ｈ ｅ ｆｃ ｉｅｅｓ ｆ ｈ ａｇ ｒ ｈ ｓ ｓｄ ｏ ｅ ｅｔ ｎｒｓ ｓ ｏ ｘ ｅｉ ｔ ｆ ｅｕｔ ｈｗｅ ｔｅ ｆ ｅｔｖ ｎｓ ｏ ｔ ｅ ｌｏｉ ｍ， ｆ ｌ ａａ ｍ ａ ｅ ｎ ｏ ｓｉｎ ｍｅ ｓ ｔ ａｓ ｅ ｌｒ ｒ ｔ ａ ｄ ｍｉ ｏ ｓ
一种改进的入侵检测模式匹配算法
ｄ ｔｃ ｉ ｎ ｔ ｃ ｎ ｌ ｇ ａ ｅ ｏ ｎ ｉ ｏ ｔ ｎ ｏ ｏ ｅ ｔ ｏ ｅｗｏ ｋ ｓ ｃ ｒｔ ｅｅ ｔ ｅ ｈ ｏ ｏ ｙ ｈ ｓ ｂ ｃ ｍｅ ａ ｍｐ ｒａ ｔ ｃ ｍｐ ｎ ｎ ｆ ｎ ｔ ｒ ｅ ｕ ｉ ｏ ｙ．Ｔ ｉ ｐ ｐ ｒ ｉ ｔ ｄ ｃ ｓ ｔ ｅ ｂ ｓｃ ｆ ｉ ｔ ｓｏ ｈ ｓ ａ ｅ ｎ ｒ ｕ ｅ ｈ ａ ｉ ｓ ｏ ｎ ｒ ｉｎ ｏ ｕ ｄ ｔｃ ｉ ｎ ａ ｄ ｉ ｔ ｉ ｎ ｄ ｔｃ ｉ ｎ ｏ ｈ ｅｅ ｔ ｎ ｎ ｒ ｏ ｅｅ ｔ ｎ ｔ ｅ ＢＭ ｌ ｏ ｉ ｍ ｏ ａ ｔｒ ｔｈ ｎ ｎ ｌ ｓｓ ｎ ｎ ｔ ｉ ｂ ｓｓ ｈ ｍｐ ｏ ｅ ｏ ｕｓ ｏ ａｇ ｒ ｈ ｆ ｒ ｐ ｔ ｎ ｍａｃ ｉ ｇ ａ ａｙ ｉ，ａ ｄ ｏ ｈ ｓ ａ ｉ，ｔ ｅ ｉ ｒ ｖ ｄ ＧＢＭ ｔ ｅ ｐ ｏ ｏ ｅ ｌｏ ｉ ｍ ｆｅ ｔ ｅｙ ｉ ｒ ｖ ｓ ｈ ｆ ｃｅ ｃ ｆ ａｔ ｒ ｔｈ ｎ ． ｒ ｐ ｓ ｄａ ｇ ｒ ｈ ｅ ｃ ｉ ｌ ｔ ｖ ｍｐ ｏ ｅ ｅ ｅ ｉｎ ｙ ｏ ｔ ｎ ｍａｃ ｉ ｇ ｔ ｉ ｐ ｅ
Ｋｅ ｙ ｗｏｒ ：ｎｔｕ ｉ ｎ ｅｔｃ ｉｎ； ｔｅ ａｃ ｎｇ ｄｓ ｉ ｒ ｓｏ ｄ ｅ ｔｏ ｐａｔ ｒ ｍ ｔｈｉ ；ＢＭ ｌ ｒｔ ；Ｓ ｒ ｎ ａｇｏ ｉｈｍ ｎｏ ｔ
引 言
随着 网络 的越来 越普 及，网络 攻击 、非 法访 问等 事件 的数 量飞 速增 长，网络 安全 形势 日益 严峻 ，网络 安 全逐 渐成 为Ｉｔ ｎｔ ｎｅ ｅ及各项 网络 服务 和应 用进一 步发 展 的关键 问题 …． 《 ＮＣ Ｒ ／Ｃ２０ 年 网络安 全 ｒ 据 Ｃ Ｅ ＴＣ ０ ９ Ｔ作报 告 》记载 ： ０ ９ ５ １ ２ ０ 年 月 ９日晚 间 ，中 国 部 分 省 区 市 发 生 了 大 面 积 网 络 异 常 ，导 致 很 多互 联 网用 户 的 网络 中 断 或 业 务 受 到 影 响 Ｉ．据美 国 《 融 时报 》报 道 ， ２ ］ 金 现在 平 均每２ 秒就 发生一 次计 算机 网络 人 ０
模式匹配算法的研究与改进
地提 高 了系统 的检测 性 能。
【 键词】 模 式 匹配算法 ，Ｂ 算法 ，Ｂ 关 Ｍ ＭＨ 算 法
中图 分 类 号 ：Ｔ ３ １ Ｐ ９ 文 献 标 识 码 ：Ａ
ＡＢ Ｔ Ｓ ＲＡＣＴ Ｗ ｉｈ ｔ ｅｒ ｐ ｄ ｄ ｖ ｌ ｐ ｅ ｔｏ ｈ ｅ ｗｏ ｋ，ｈ ｎ ｉ ｅ ｓ ｃ ｒｔ ｕ ｓ ｉｎ ｉ ｏ ｔ ｔ ｎ ｉ ｇ ｄ ｙ ｂ ａ ｉ ｔ ｕ ｉ ｎ ｄ ｔ ｃ ｉｎ ｔ ｈ ａ ｉ ｅ ｅｏ ｍ ｎ ｆ ｅ ｎ ｔ ｒ ｔ ｅｏ ｌ ｅ ｕ ｉ ｑ ｅ ｔｏ ｕ ｓａ ｄ ｎ ａ ｙ ｄ ｙ， ｒ ｓｏ ｅ ｅ ｔｏ ｔ ｎ ｙ ｓ ｎ ｔ ｃ ｎ ｑ ｅ ｎ ｗａ ａ ｓ ｂ ｃ ｍｅ ｈ ｏ ｕ ｉｈ ｔ ｅ ｓ ｃｅ ｙ ｐ ｙ ｌ ｓ ｔｅ ｔｏ ｏ ｅ ｈ ｉ ｕ ｏ ｄ ｙ ｅ ｏ ｓ ｔ ｅ ｆ ｃ ｓ ｗｈ ｃ ｈ ｏ ｉｔ ａ ｓｃ ｏ ｅ ａ ｔ ｎ ｉ ｎ ｔ ．Ｐ ｔ ｅ ｎ ｍａ ｃ ｉ ｇ ａ ｇ ｒ ｍ ｓａ ｅ ｖ ｒ ｐ ｒａ ｔ ａ ｔ ｒ ｔｈ ｎ ｌ ｏ ｉｈ ｒ ｅ ｙ ｉ ｏ ｔ ｎ ｍ
目前基 于 规则 人侵 检测 系统 常用 的算 法 。Ｂ 算 法 和 Ｍ ＫＭＰ算 法 的不 同是 对模 式 串 的扫 描方 式 由 自左 至 右
变 成 自右至左 ， 一个 是 考 虑 正文 中可 能 出现 的字 符 另 在模式 中的位 置 。这样 做 的好 处是 当正 文 中出现模 式
ｆ ｒ ｔ ｅｒ ｌ — ａ ｅ ｔ ｕ ｉ ｎ ｄ ｔ ｃ ｉｎ ｓ ｓ ｅ Ｉ ｉｅ ｔ ｌ ｅ ｃ ｓｔ ｅ ａ ｃ ｒ ｃ ｎ ｅ ｌｔ ｅｐ ｒｏ ｍａ ｃ ｆ ｈ ｙ ｔ ｍ ． ｅｐ ｐ ｒ ｏ ｈ ｕ ｅ ｂ ｓ ｄ ｉ ｒ ｓｏ ｅ ｅ ｔｏ ｙ ｔ ｍ． ｔ ｒ ｃ ｌ ｉ ｕ ｎ ｅ ｈ ｃ ｕ ａ ｙａ ｄ ｒ ａ －ｉ ｅ ｆ ｒ ｎ ｅｏ ｅ ｓ ｓ ｅ ｎ ｄ ｙ ｎｆ ｍ ｔ Ｔｈ ａ ｅ
【 键词】 模 式 匹配算法 ，Ｂ 算法 ，Ｂ 关 Ｍ ＭＨ 算 法
中图 分 类 号 ：Ｔ ３ １ Ｐ ９ 文 献 标 识 码 ：Ａ
ＡＢ Ｔ Ｓ ＲＡＣＴ Ｗ ｉｈ ｔ ｅｒ ｐ ｄ ｄ ｖ ｌ ｐ ｅ ｔｏ ｈ ｅ ｗｏ ｋ，ｈ ｎ ｉ ｅ ｓ ｃ ｒｔ ｕ ｓ ｉｎ ｉ ｏ ｔ ｔ ｎ ｉ ｇ ｄ ｙ ｂ ａ ｉ ｔ ｕ ｉ ｎ ｄ ｔ ｃ ｉｎ ｔ ｈ ａ ｉ ｅ ｅｏ ｍ ｎ ｆ ｅ ｎ ｔ ｒ ｔ ｅｏ ｌ ｅ ｕ ｉ ｑ ｅ ｔｏ ｕ ｓａ ｄ ｎ ａ ｙ ｄ ｙ， ｒ ｓｏ ｅ ｅ ｔｏ ｔ ｎ ｙ ｓ ｎ ｔ ｃ ｎ ｑ ｅ ｎ ｗａ ａ ｓ ｂ ｃ ｍｅ ｈ ｏ ｕ ｉｈ ｔ ｅ ｓ ｃｅ ｙ ｐ ｙ ｌ ｓ ｔｅ ｔｏ ｏ ｅ ｈ ｉ ｕ ｏ ｄ ｙ ｅ ｏ ｓ ｔ ｅ ｆ ｃ ｓ ｗｈ ｃ ｈ ｏ ｉｔ ａ ｓｃ ｏ ｅ ａ ｔ ｎ ｉ ｎ ｔ ．Ｐ ｔ ｅ ｎ ｍａ ｃ ｉ ｇ ａ ｇ ｒ ｍ ｓａ ｅ ｖ ｒ ｐ ｒａ ｔ ａ ｔ ｒ ｔｈ ｎ ｌ ｏ ｉｈ ｒ ｅ ｙ ｉ ｏ ｔ ｎ ｍ
目前基 于 规则 人侵 检测 系统 常用 的算 法 。Ｂ 算 法 和 Ｍ ＫＭＰ算 法 的不 同是 对模 式 串 的扫 描方 式 由 自左 至 右
变 成 自右至左 ， 一个 是 考 虑 正文 中可 能 出现 的字 符 另 在模式 中的位 置 。这样 做 的好 处是 当正 文 中出现模 式
ｆ ｒ ｔ ｅｒ ｌ — ａ ｅ ｔ ｕ ｉ ｎ ｄ ｔ ｃ ｉｎ ｓ ｓ ｅ Ｉ ｉｅ ｔ ｌ ｅ ｃ ｓｔ ｅ ａ ｃ ｒ ｃ ｎ ｅ ｌｔ ｅｐ ｒｏ ｍａ ｃ ｆ ｈ ｙ ｔ ｍ ． ｅｐ ｐ ｒ ｏ ｈ ｕ ｅ ｂ ｓ ｄ ｉ ｒ ｓｏ ｅ ｅ ｔｏ ｙ ｔ ｍ． ｔ ｒ ｃ ｌ ｉ ｕ ｎ ｅ ｈ ｃ ｕ ａ ｙａ ｄ ｒ ａ －ｉ ｅ ｆ ｒ ｎ ｅｏ ｅ ｓ ｓ ｅ ｎ ｄ ｙ ｎｆ ｍ ｔ Ｔｈ ａ ｅ
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
由于 计 算 机 网 络 自身 存 在 的 局 限 性 和信 息 系统 的脆 弱 性 ， 得 计 算 机 网 络 系 统 上 的 硬 件 资 源 ， 信 资源 ， 件 及ห้องสมุดไป่ตู้信 息 资 源 等 因 使 通 软 为各 种 原 因而 遭 到 破坏 、 改 、 露 或功 能失 效 ， 得 信 息 系 统处 于异 常状 态 ， 至 引起 系 统 的崩 溃 瘫 痪 ， 成 巨 大 的 经 济 损 失 。 在 更 泄 使 甚 造 这样 的形 式 下 ， 以保 护 网 络 中 的信 息免 受 各 种攻 击 为 目的 的 网 络安 全 变 得 越 来 越 重 要 ， 安 全 方 面 的 考 虑 提 高 到 了越 来 越 重 要 的 对 地位 上 。
朱 余 俊。强
（ 合肥 工 业 大 学 计 算 机 与 信 息 学 院 ， 徽 合 肥 ２ ０ ０ ） 安 ３ ６ １
摘 要 ： 基 于入 侵 检 测 系统 来说 ． 式 匹配 算 法是 基 于特 征 匹 配 的入 侵 检 测 系统 中的核 心 算 法 ， 是 当前 入 侵 检 测 设 备 中普 遍 应 用 对 模 也
Ｒｅ ｓ ｈ ｎ ｎ ｍ ｐ ｏ ｉ ｇ ｏ ｔｅ ｎ Ｍ ａ ｃ ｉ ｇ Ａｌ ｏ ｉ ｍ ｎ ｒ ｓｏ ｔ ｃ ｉ ｎ Ｓ ｓｅ ａ ｃ ｉｇａ ｄ Ｉ ｒ ｖｎ ｆ Ｐａ ｔ ｒ ｔｈ ｎ ｇ ｒｔ ｈ ｉ Ｉ ｔ ｕ ｉｎ Ｄｅｅ ｔｏ ｙ ｔｍ ｎ
Ｚ ＨＵ ｎ ａ ｇ Ｊ ． Ｑｉ ｕ ＹＵ ｎ （ｃ ｏ ｌ ｆ ｏ ｐ ｔ ＆ Ｉｆｒ ｔ ｎ Ｈｅ ｉ ｉｅ ｉ ｆ ｅｈ ｏ ｇ ， ｆ ３ ６ １ Ｃ ｉ ａ Ｓ ｈ ｏ ｍ ｕｅ ｏＣ ｒ ｎｏｍａ ｏ ， ｆ ｖ ｒ ｔ ｏ ｃ ｎ ｌ ｙ Ｈｅ ｉ ０ ０ ， ｈｎ ） ｉ ｅ Ｕｎ ｓ ｙ Ｔ ｏ ｅ２ Ａ ｓ ａ ｔ Ｆ ｒ ｈ ｔ ｓ ｎＤｅ ｃ ｏ ｙｔ （ ） ｐ ｔ ｍ ａｃ ｉｇａ ｏｉ ｍ ａ ｄｏ ａ ｒ ｍ ｔｈ ｇｉｔ ｓ ｎ ｄ ｔｃ ｏ ｓ ｍ ｂ ｔ ｃ ： ｏ ｅＩ ｒ ｉ ｔ ｔ ｎ Ｓ ｓ ｍ Ｉ ， ａ ｅ ｍ ｔ ｎ ｇ ｒ ｈ ｉ ｂ ｓ ｎ ｆ ｔ ｅ ａｃ ｎ ｒ ｉ ｅｅｔ ｎ ｓ ｔ ｉ ｒ ｔ ｎ ｕｏ ｅｉ ｅ ＤＳ ｔ ｈ ｌ ｔ ｓ ｅ ｅｕ ｉ ｎｕｏ ｉ ｙｅ ｎ
的 算 法 。 它的 效 率 直接 影 响 到 入 侵 检 测 系统 的 准确 性 和 实 时性 ， 章 通 过 对 模 式 匹配 算 法 的 改 进 ， 出 了一 种 改进 的 算 法 ， 匹配 文 提 在
文 本 中 重复 字 符 串较 多 时 ， 算 法 可 以加 快 入 侵检 测 系统 的检 测 速 度 ， 高现 有 入 侵 检 测 系统 的检 测 能力 。 该 提 关 键 词 ： Ｍ 算 法 ； 侵 检 测 系统 （ＤＳ ； 式 匹配 Ｂ 入 Ｉ ）模 中 图分 类 号 ： Ｐ ９ Ｔ ３３ 文 献 标 识码 ： Ａ 文 章编 号 ： ０ ９ ３ ４ （０ ０ ０ — １ １ ０ １ ０ — ０ ４ ２ １ ）５ １ ０ — ３
ｉｔｕ ｉｎ ｄ ｔ ｃ ｏ ｓ ｍ ｅｅ ｔ ｎ ｃ ｐ ｂｌ ． ｎｒｓ ｅｅｔ ｎ ｓ ｔ ｏ ｉ ｙ ｅ ｄ ｔｃ ｏ ａ ａ ｉ ｔ ｉ ｉ ｙ
Ｋ ｙ ｗ ｒ ｓ Ｂ ａ ｏ ｔｍ；ｎｒ ｓ ｎ ｄ ｔｃ ｏ ｓ ｍ（ ） ｐ ｔ ｒ ｔ ｎ ｅ ｏ ｄ ： Ｍ ｇ ｒｈ ｉｔ ｉ ｅｅｔ ｎ ｓ ｔ Ｉ ； ａ ｅ ｍａ ｈ ｇ ｌ ｉ ｕｏ ｉ ｙ ｅ ＤＳ ｔｎ ｃ ｉ
Ｖｏ ．， ． ， ｅ ｒ ｒ ０ ０ Ｐ ． １ —１ ０ １ Ｎｏ ５ Ｆ ｂ ｕａ ｙ ２ １ ， Ｐ １ ０１ １ ３ ６
Ｔ ｌ ８— ５ － ６ ０ ６ ５ ９ ９ ４ ｅ： ６ ５ ５ ９ ９ ３ ＋ １ ６ ０６
入侵 检 测 系统 中一 种模 式 匹配算 法 的研 究 与 改进
Ｉ ＳＳＮ １ ０ － ０ ４ ０ ９ ３ ４
Ｅ ｍａｌ ｉｆ ＠ｃ ｃ ． ｅ．ａ — ｉ ｎ ｏ ｃ ｃｎ ｔ ： ｃ
ｈ ｔ ／ｗｗｗ． ｚ ．ｅ ．ａ ｔｐ： ／ ｄｎ ｓｎ ｔｃ
Ｃ ｍｐ ｔ Ｋ ｏ ｌ ｇ ｎ ｅ ｈ ｏ ｇ ｏ ｕ ｒ ｎ ｗｅ ｅａ ｄ Ｔ ｃ ｎ ｌ ｙ电脑 知 识 与技术 ｅ ｄ ｏ
ｔ ｏ ｅ ａｇｏ ｔ ｍ ，ｂ ｓ ｈ ｕｒｅ ｔｉ ｒ ｉ ｎ ｄ ｔ ｃ ｏｎ ｅ ｉ ｅ ｔｗ ｉ ｌ ｓ ｄ ａｇｏ ｉ ｈｅ ｃ ｒ ｌ ｒ ｈ ｉ ｕｔａ ｏ ｔ ｅ ｃ ｒ ｎ ｎｔｕｓｏ ｅ ｅ ｔ ｑｕｐｍ ｎ ｄｅｙ ｕ ｅ ｌ ｉ ｌ ｒｔ ｓ ｔ ｆｉｉｎｃ ｄ ｒ ｃｌ ｆｅ ｔ ｈｅ ａ ｃ ｒ ｃ ｆ ｈｍ ．Ｉｓｅ ｃｅ ｙ ｉｅ ｔｙ ａ ｃｓｔ ｃ ｕ ａ ｙ ｏ ｉｔｕ ｉ ｔｃ ｏｎ ｓ ｓｅ ｓａ ｅ —ｔ ｅ ｈ ｅ ａ ｔ ｌ ｈ ｏｕ ｈ ｍ ｐｒ ｅ ａｔｒ ｍ ｔｈ ｎ ｇ ｉｈ ｓｐ ｏ ｏｓｄ ｎ ｍ ｐｒ ｖｅ ａｇｏ ｔ ｍ ，ｒ － ｎ ｒ ｓｏｎ ｄｅｅ ｔ ｙ ｔｍ ｎｄ ｒ ａ ｉ ，ｔ ｒ ｃｅ ｔ ｒ ｇ ｉ ｉ ｌ ｍ ｉ ｏｖ ｄ ｐ ｔｅｎ ａ ｃ ｇ ａ ｏｒｔ ｍ ｉ ｒ ｐ ｅ ａ ｉ ｉ ｌ ｏ ｄ ｌ ｒ ｈ ｉ ｅ ｐｅ ｔ ｄ ｉ ｈｅ ｍ ａｃ ｉ ｅ ｔｉ ｓｍ ｏ ｅ，ｔ ｇ ｉｔ ａ ｓ ｅ ｈｅｉ ｒ ｓｏｎ ｄｅｅ ｔｏ ｙ ｔ ｍ ｅ ｄ ｔｃ ｏ ｒ ｔ，ｕ ｒ ｄ ｅ ｅ ｉｔｎ ａｅ ｎ ｔ ｔｈ ｎｇ ｔｘｔｓｒｎｇ ｒ ｈｅａ ｏｒ ｈｍ ｃ ｎ ｐｅ ｄ ｕｐ ｔ ｎｔｕ ｉ ｔｃｉ ｎ ｓｓｅ ｔ ｅ ｅ ｔ ｎ ａｅ ｐｇ ａ ｅ ｔ ｘｓ ｇ ｌ ｈ ｉ ｈ ｉ