网络内容检测中多模式匹配算法研究

至！ Ｑ
Ｑ：
Ｃｉ ｗ ｅ ｎｏｅａ ｏ ｃ ｈａ ｅ Ｔ ｈ ｌｉ ｎ Ｐｄ ｔ ｎＮ ｃｏｇｓ ｄ ｒｕｓ
信 息 技 术
网络 内容检 测 中多模 式匹配 算法研究
吴蓉 晖 龙 晓 刚 刘 云
（ 湖南大学 计算机 与通信 学院， 南 长沙 ４ ０ ８ ） 湖 １０ ２
摘 要： 多模 式 匹配 的效 率是 网络 内容检 测的主 要技 术之 一 。 文在 分析现 有模 式 匹配方 法的基 础上— — 主要是 Ｂ 算法和 Ａ 本 Ｍ Ｃ算 法 ， 出了分级 的 多模 式 匹配算 法（ＭＡ ， 算法适 合 网络数据 包中模 式数量 大 、 度 小的特 点。实验表 明该 算法 能有效 减 少访 问外 提 Ｈ ）该 长 存 的次数 ， 能 明显优 于其 它算 法 ， 性 这样 可 以有效保 证 网络信 息 安全 。
关键 词 ： 网络 安全 ； 内容 检测 ； 多模 式 匹配
பைடு நூலகம்
和 ｍ分别 为文本 串和模 式 串 的长度 ，为文 本 访 问外存 的情 况 ，所以它们都不适合于实 时网 ｒ 中出现 的模 式串总数 目。Ｂ Ｍ算 法在一般 情况 络数据包中多模式 的匹配 。基于 以上原 因提出 Ｈ Ａ） 此算法包 括两 下不需要检测文本 串中的每一个字符 ，这一点 了分级多模式匹配算法 （ Ｍ 。 存英 文字符 串中尤为 突出日 。 个 阶段 ： 线外预处理 阶段 和线上匹配阶段。 线外 在实际应 用中 Ｂ Ｍ算法是最有效 的模式 匹 阶段 为线 上 阶段 构造 了两 张小 表 ： Ｈ凹 Ｈ 和 ２ 。 配算 法。与其它经典算法相 比较 ，Ｍ算法 能提 Ｈ Ｂ ＭＡ算法 能有效 地减少外 存 的访 问次数 和不 供最好 的平均匹配速度 。一些模式 匹配算法对 以内存空 间为代 价的串匹配。 为 了构造 Ｈ 和 Ｈ 表 ， 出了一个频繁字 ’ 提 每一个模式 重复应用 Ｂ Ｍ算法来 解决多模式 匹 Ｆ 和一 ｓ Ｃｓ。 配问题 。然 而这些 算法原本是为单模式 匹配设 符搜 索算 法（ｃ ） 个集 群平 衡策 略（Ｂ ） 计 的。 因为不同的模式长度 、 模式集范围 以及 内 Ｆ Ｓ Ｃ 是用 来从 模式 集 Ｐ中找 出频 繁字 符集 合 存存 储能 力 ， Ｍ方 法不 适合 网络 中数 据包 的 Ｆ用它 来建 立第 一层 表 ： 用 Ｆ Ｃ Ｓ 立 Ｂ ， Ｈ； 和 Ｂ建 第 二层 表 ： ｔ Ｈ 作为两个过滤 器来避 免 Ｈ。Ｈ 和 ｚ 检查 。表 １ 显示了这些不 同Ｈ 。 不 必要 的外存 访问和模式匹配 。第二层匹配仅 表 １计算机 中单模式 匹配与网络数 据 课题 。 包 中多模 式 匹配比较 仅在第一层得到一个 匹配之后才进行 。 Ｍ Ｈ Ａ仅 而入侵 检测技 术便 是 为保证 计 算机 系统 仅将 Ｐ中的一些选定模 式与包 中的可疑子串进 单模 式 匹配 多 模式 匹配 行 比较 ，而不 是将包 中的所有子 串与所有模 式 的安全而设计与配置的一种能够及时发现并报 进行 比较 。实 验表明 ， Ｍ Ｈ Ａ能有效地改善 匹配 告系统中未授 权或异常现象的技术 ，是一种用 模 式长 度 比较长 多数 非 常短 于检测计 算机 网络 中违 反安 全策 略行 为 的技 的性 能 。 模 式数 目 一个 数 百个 术 。在检测机制 中最重要 的组成 部分是多模式 ２ Ｃ 算法 ．Ｆ Ｓ １ 匹配算法 ，它能有效地进行精确 的模式 匹配并 定义 为 Ｐ的子集 ，在 Ｐ 中的所 有模式 ｃ 存储 需 求 小 大 包含一个 字符 Ｃ 即 Ｐ＝ｐ ∈ Ｐ∈ 】 ， ｃ｛Ｉ Ｐ和 ｉ Ｐ。显而 。 ｃ 且能够适应 网络 中数 据量 的不断增 长。 然而 ， 传 １ ｏ Ｃ ｒｓ ｋ Ａ 算 法 ． Ａｈ－ ｏａｉ （ Ｃ） ２ ｃ 易见 ，假如一个字符在不 同的模式 中较其 它字 统 的模式匹配算法对 于数据包 的检测是 不切实 它将被作为 Ｆ中的—个元素 ， 这 际的ｍ 。因为在庞大 的模 式库 中， 一个有效 的检 多模式 匹配是从文本 串 ｓ ｉ ｔｎ ｒ ｇ【１ 中一 符出现的频繁 ， ¨ ｎ］ 。 ， 所有这些 模式 样 则出现 了小集合 Ｆ 基于这一推论 ， Ｃ 算 Ｐ … 。 用Ｆ Ｓ 测机制必须 同时搜索整个模式集 ， 而不是重复 次查找 多个模式 串 Ｐ ， ， ； 执行 单模式匹配。包的处理过程不仅受到计算 串形 成模式 串集合 ｛｝ 中 ｑ为模 式 串的数 法 来查找 Ｐ中的频繁字符集 ， 为 Ｆ帆 口１ Ｐ ，其 设 ＝ ， Ｆ 是代表模式集 Ｐ中模式的最小字符集 ， 中 ￡ 其 时间的影响 ，更重要的是受到访问外部存储器 日， ｌ ， 式匹配蜕化为单模式 匹配 。 ｑ 时 多模 ＝ 多模 式匹 配 的经典 算法 是基 于有 限 自动 是一个频 繁代码 ， 口为字符集 。 Ｃ 算 法如下所 ＦＳ 次数的影响 。 众所周知 ， 近年来处理器速度 的性 Ｓ ｅｅｍｉｉｔ ｉ ｔ ｓ ｅ ｕｏ ｔ ｉ ｎｅ ａ 能提高超过存储器速度的性能提高 。 如 ， 例 一个 机 ＤＦ Ａ ｆｄ ｔｒ ｎｓｃ ｆ ｉ ｔｔ ａ ｔｍａａ） 刀 。 输入 ： 一个模式 集 Ｐ 。 外部存 储器 访问 时间 是 网络处 理器 系统 Ｉｔ 的算法 该算法在 匹配前对模式 串集合进 行预 ｎｌ ｅ １ ， ＩＰｘ０ Ｘ ２０ 检测反 应时 间的 １０２０ 。因此 ， 处理 ， ５—５ 倍 转换成 树型有限 自动机 。 然后 只需对 文本 输出： 一个频繁代码集 Ｆ ０ １Ｉｉｉｌｚ： ． ｔ ｉｅ ｎ ａ ． 个快 速的多模式 匹配算 法应减少外部存储器 串进行 一次扫描就可找 出所有模式 串，其 时间 ２Ｆｏｒ ｅ ｃ ａｔｒ ｏ Ｏ ｉｌｔｄ ． ａ ｈ ｐ ｔｅｎ Ｐ ｆＰ， ＜Ｐ ｏ 的访 问次数 。 复杂度是 Ｏｎ ｆ。这些基 于 Ｄ Ｓ １ Ｆ Ａ的算 法主要 是 通 过软 件或硬件来实现 的。 ３Ｔｒｎｓｅ ｈ ｒｔＩ ｏ ｅ ｆＰ． ｎｏ ａ ． ａ ｆｒｔｅ ｆ ｓ ｐＩ ｃ ｄ ｓｏ ｉ ｔ ｉ 一１ １４￣ 的模式 匹配 Ｌ － － 根 据需要 匹配 的模式 串数 目可 以把模 式 Ａｈ — ｏａｉｋＡＣ算 法是 一个 基于 自动 机 ｖｃｏ ｂ ｓｔｎ ＝ｌ ｆｊ∈ ｐ；ｔｅｗｓ ｏ Ｃ ｒｓ （ １ ｃ ｅｔｒ Ｍ ｙ ｅｔ ｇ ｍｊ ｉ ｉ ｉ ｈｒ ｉ ｏ ｅ 匹配 问题划分为两类 ： 单模式匹配 和多模 式匹 的算法 ， 它提供 了最 好的最坏情况下 的计算 时 ｍ Ｓｒａ ０ｊｌ ； ￣ ｏ ｌｊ 口Ｉ ｌ＇ ＜ 配 。两者之间的不同在于单模式 匹配算法是在 间复杂度［ ５ 过用一个简单 的数 据结构 ， １ 。通 存储 Ｉ Ｐ ｉ ａｓ ｇｅ ｃｄ ａｔｒ， ｔ １ｉ ｊ ｆ ，ｓ ｉ ｌ－ ｏｅｐ ｔ ｎ ｅ “ ｆ ＝ ｎ ｅ ｓ １ ｓ 其 ｐ－ 口ｌ ， 文本 中通 过一次 搜索 仅仅 匹配 一个 给定 的模 状态转移 矩阵的存储 空间需 求是 Ｏ （ ｘ ） － ４． ａ Ｍ， ｒ ａ ｈ Ｒｅ ｄ Ｆｏ ｅ ｃ ｍ ｌ ｅ ｔｅ ｌｍｅ ｔ ＿ ｔ ｈ ｅｅ ｎｓ ｓ 是 口是字 符集 ， 表 ｌ 口ｌ 式 ，而多模式匹配算法则要在整个文本 中搜索 中 ｓ 自动机 的状态 数 目， ｉ ｉ ｋ ｏ ｌ ． ｋ Ｉ ： ｋ ＋ ０ 个模式集给 出的所有模式 。 示字符 集 中的字符 的数 目。用一 个压缩 结构 ， ｏ ｔｘＲ：－， ｍ￣ ｒａ１ｋ ＜口 ｌ ｆｍａｒ ｒ ｒ ５ ｈｌ ｏ ０ ｉｌ ｌ ０ ． ｉ ｒ ． ＜口 Ｗ ｅ ． ｄ １ ｏｅ Ｍ ｏ （ Ｍ） ． Ｂ ｙｒ ｏｒ Ｂ 算法 １ － ｅ Ｔ ｃ 等改进 了 Ａ 算 法ｆｃ ｃ， ｕｋ Ｃ Ａ —） 降低 了Ａ Ｃ算法 ６Ｆｉｄ ｆｅ ｕ ｎ ｃ ｍｍｏ － ｏ ｅ ， ｅ ｅ ． ｎ ａ ｒ ｑ ｅ ｔ ｏ ｎ ｃ ｄ ｆ ｗｈ ｒ 单 模式匹配是在 长度 为 ｎ 的文本 串 ｙｙ ． 内存需求 的 ２ ＝［． ０ ％ 。然而 ， Ｃ Ｃ算法的数据结构 Ａ — 不能放在片上 的缓 冲中。 虽然 ， Ｃ算 ｒｆｍａ｛Ｉ ， ｌ Ｉ Ａ ｆ ＝ ｘｒ Ｖｉ０ ｉ 口 ｝ ＜ ； ｎ１ 寻找—个或多个长度 为 ｍ的模式 串 ｘｘ 仍然很大 ， －］ 中， － 法有最好 的最 隋况 下的计算 时 间复杂度 ， 但 ７ ｄ ｉ ｃｄ ｔ Ｆ Ｆ ； ． ｄ ｔ ｓ ｏｅ ｉ ｏ － ｕｃ Ａ ｈ ｎ ｑ 『Ｉ ］ ０ｌ 。 卜１ ８ ｏ ＜口 Ｉ ｏ ． ｒ０ｉｌ Ｆ ｄ 经 典 的单模 式 匹 配算 法 有 ：ｎｔ Ｍ ｒ ｓ 是对 外部存储器访问的反应时 间仍然是处理过 Ｋ ｕ ｏｉ ｈ ｒ ９ｒ＝ ．ｒ， ， ；ｔｅｗｉｅｒ－ ．ｉｒ． ｎｆｒ 一 ｉ ｌ ｏｈ ｒ ｓ ， ＞ ￣０； Ｐ ｔ ｍｔ ＫＭＰ） （ 算法 ，ｏｅ－ ｏｅＢ 算法 ， ａｐ 程 的主要 影响因素而不是计算时间 。 Ｂ ｙｒＭｏ ｒ（ Ｍ） Ｋ ｒ— 另外 ， 即使 １ ．ｅ ｕｒ ； ０ｒ ｔ ｎ Ｒ ｂｎＫ ） ａｉ Ｒ 算法 。在 Ｋ 算法 中 ， （ ＭＰ 模式在 文本 仅仅 只有 一个模 式改变 了，Ｃ算法必须重建失 Ａ 用一个 『