唐湘滟，程杰仁， 殷建平，龚德良

(1.海南大学信息科学技术学院,海南 海口 571101；2.国防科学技术大学计算机学院,湖南 长沙 410073；3.湘南学院,湖南 郴州 423000)

基于NP模式的报文检测方法*

唐湘滟1，程杰仁1， 殷建平2，龚德良3

(1.海南大学信息科学技术学院,海南 海口 571101；2.国防科学技术大学计算机学院,湖南 长沙 410073；3.湘南学院,湖南 郴州 423000)

针对现有网络入侵检测方法中存在的不足，引入否定模式(NP)匹配的策略，提出了基于NP模式的报文检测方法。该方法先从待测报文内容模式集合中找出NP模式，根据NP模式将待测数据流分段；然后通过模式匹配引擎对分段内容进行模式匹配。实验结果表明，该方法能降低误报率，减少报文匹配次数，提高检测效率。

否定模式；模式匹配；入侵检测；网络安全

1 引言

随着物联网、云计算、大数据等新兴技术的出现，对高速检测海量网络数据流的需求日益增加。模式匹配在入侵检测系统各个关键环节中起着非常重要的作用[1～3]，其分为单模式匹配和多模式匹配两类。模式匹配由最初的Boyer-Moore 算法[4]、KMP 算法[5]以及Commentz-Walter 算法[6]等发展到复杂、效率更高的多模式匹配[7～9]。由于单纯的软件实现方法已经不能满足数以千计的模式匹配的实际要求，FPGA[10]、ASIC[11]、TCAM等支持并行处理的专用硬件设备被大量应用，以提高模式匹配速度[12]，当然这也增加了相应模块的设计复杂性。尽管多模式匹配技术得到了广泛的应用，其匹配速度比单模式匹配的速度快得多，但是仍然需要依赖硬件和一些辅助的软件策略方式实现报文检测[13,14]，而且目前基于FPGA 等器件和Snort 规则集实现报文检测的方法，通常吞吐量不超过10 GBps[15]。……