入侵检测中模式匹配算法的性能分析

模式匹配算法在入侵检测中有着广泛的应用,它直接影响到入侵检测系统的实时性能。论文主要研究了Boyer-Moore算法,Modified Wu—Manber算法,Exclusion—Based算法和Aho—Corasick算法。通过实验对上述四种算法在混合攻击和特定攻击的条件下进行了性能测试,根据实验结果,得出了不同算法的应用范围,为今后入侵检测系统开发者选择模式匹配算法提供了有价值的参考。     

入侵检测中一种新的多模式匹配算法

基于模式匹配的检测方法是目前入侵检测系统的一种重要方法,因此作为模式匹配方法核心的字符串匹配算法直接影响入侵检测系统的性能和效率。在AC算法和WuManber算法的研究基础上,提出了一种新的多模式匹配算法——ACWM。该算法能够增加字符跳转距离,比较稳定地减少匹配过程中字符比较的次数,提高匹配的速度和效率。     

入侵检测多模式匹配算法

基于模式匹配的入侵检测是目前最重要的一种入侵检测方法,面字符串匹配效率是该方法的核心,直接影响检测效率。该文在充分分析BM算法、AC算法及AC_BM算法的基础上提出了一种新的更好搜索步长的多模式匹配算法NMSA,并具体分析了该算法的效率,通过实验数据对比,再次证明NMSA算法具有更好的搜索步长、更好的效率。     

一种面向入侵检测的BM模式匹配改进算法

在分析了目前常用的模式匹配算法的基础上,提出了一种改进的BM算法。实验结果表明改进的模式匹配算法能减少比较次数,有效地提高了匹配速度。     

一种面向入侵检测的快速多模式匹配算法

随着网络速度和入侵检测规则的持续增长,模式匹配正在成为网络入侵检测系统的性能瓶颈。提出了一种新的Wu-Manber类型的模式匹配算法,通过将模式分组,对不同子模式组采用不同匹配方法,显著提高了模式匹配的效率。对比实验表明,当模式组中含有长度小于3的模式时,新算法性能比原算法平均提高了29%~44%。     

一种新的入侵检测模式匹配算法

网络的发展和数据流量增长对入侵检测系统(IDS)提出了更高的要求:必须能够实时快速地从这些数据流中发现并阻止威胁。已知的一些著名算法,如Knuth-Morris-Pratt(KMP)算法和Boyer-Moore(BM)算法,在单模式的情况下,匹配效率很高,但是在多模式和长模式的情况下,并不能显著地提高匹配效率。一些改进算法也有同样的问题。针对IDS应用环境,提出一种新的模式匹配(NPM)算法,并给出了该算法的框架以及基于哈希表和红黑树(RB-Tree)的两种不同实现。NPM算法基于异或操作和哈希函数。实验表明,该算法能有效地提高扫描速度,特别是对于大模式库和长模式两种场合。在这样的场合下,BM算法的效率是比较低效的。     

一种面向入侵检测系统的模式匹配算法的改进

分析引擎是入侵检测系统的核心部分,一个好的模式匹配算法直接决定了入侵检测系统分析引擎的效率。本文对几种经典的模式匹配算法如:BM算法,BMH算法以及BMHS算法等经典算法进行了研究和分析,比较了几种算法的优劣。最后在BMHS算法的基础上提出一种改进的算法,该算法可以有效提高入侵检测系统的检测速度。     

入侵检测系统中的快速多模式匹配算法

网络入侵检测系统常常依赖于精确的模式匹配技术,依赖于算法的选择、实现以及使用频率。这种模式匹配技术可能成为入侵检测系统的瓶颈,为了跟上快速增长的网络速度和网络流量,Snort(开放源代码的网络入侵检测系统)中采用了快速多模式匹配算法,本文描述了Snort中一种引入注目的快速多模式匹配算法及其对系统性能的改进。     

面向入侵检测的模式匹配算法研究

在入侵检测系统的实现中,关键部分是检测引擎的实现。而在检测引擎的实现中,关键的是数据分析模块。对于基于规则的入侵检测来说,模式匹配算法非常重要,它直接影响到系统的准确性和实时性能。论文主要研究了BruteForce算法,Boyer-Moore算法,Aho-Corasick算法,Set-wiseBoyer-Moore-Horspool算法,Aho-Corasick_Boyer-Moore算法。     

计算机网络入侵检测系统的多模式匹配算法

为了使网络入侵检测系统能够在高速网络环境中有效的开展工作,实现计算机网络入侵检测系统的多模式匹配算法优化设计.首先,对网络入侵检测的算法与原理进行全面分析.其次,对网络入侵检测系统多模式匹配算法的优化思想进行描述,描述多模式匹配算法,对算法进行实现,使模式匹配算法效率得到提高,以此提高系统检测能力.通过测试结果表示,优...     

一种入侵检测系统的模式匹配算法*

提出了一种基于后缀树自动机的模式匹配算法,匹配中应用后缀启发机制进行启发跳跃,忽略不必要的比较。实验表明,该方法与传统模式匹配方法相比能有效地加快模式匹配的速度,提高入侵检测效率。     

短规则有效的快速多模式匹配算法

随着网络技术快速发展,多模式匹配算法所处理的模式集合数目呈爆炸式增长且模式长度不统一,传统的多模式匹配算法已无法有效适应新的模式集合：不同的模式集合,同一算法呈现的性能差异明显。针对模式长度不等且分布不均匀的模式集合,提出一种改进WM的多模式匹配算法（MWM）,将模式集合分为长短两个集合并构造各自的长短SHIFT表,辅助WM算法原有SHIFT表验证匹配效果,匹配过程由单一线程完成。该算法不仅减少了模式验证次数,而且提高了算法的平均跳转距离。实验结果表明,所提出的多模式匹配算法（MWM）在模式长度不等且分布不均匀的模式集合下表现出更优的性能,随着模式集合的数目增多,性能提升越明显。在模式集合数目达到100 000时,相比WM算法,该算法性能提升达到了40%。     

支持模式串动态更新的多模式匹配Karp-Rabin算法

多模式匹配算法是网络监测和内容过滤系统的核心算法,但是现有的多模式匹配算法无法实现高并发下动态更新模式串的功能。通过改进Karp-Rabin 算法,实现了多模式字符串匹配技术,实验表明多模式Karp-Rabin算法具有良好的性能。随后在多模式Karp-Rabin 算法的基础上进一步改进,使其在高并发情况下能够支持模式串动态增删功能。实验表明该算法在单个线程不断更新的条件下,随着扫描线程个数的增加,搜索速度能够保持线性增长。     

A parameterized multilevel pattern matching architecture on FPGAs for network intrusion detection and prevention

Pattern matching is one of the most performance-critical components for the content inspection based applications of network security, such as network intrusion detection and prevention. To keep up with the increasing speed network, this component needs to be accelerated by well designed custom coprocessor. This paper presents a parameterized multilevel pattern matching architecture (MPM) which is used on FPGAs. To achieve less chip area, the architecture is designed based on the idea of selected character decoding (SCD) and multilevel method which are analyzed in detail. This paper also proposes an MPM generator that can generate RTL-level codes of MPM by giving a pattern set and predefined parameters. With the generator, the efficient MPM architecture can be generated and embedded to a total hardware solution. The third contribution is a mathematical model and formula to estimate the chip area for each MPM before it is generated, which is useful for choosing the proper type of FPGAs. One example MPM architecture is implemented by giving 1785 patterns of Snort on Xilinx Virtex 2 Pro FPGA. The results show that this MPM can achieve 4.3 Gbps throughput with 5 stages of pipelines and 0.22 slices per character, about one half chip area of the most area-efficient architecture in literature. Other results are given to show that MPM is also efficient for general random pattern sets. The performance of MPM can be scalable near linearly, potential for more than 100 Gbps throughput. Supported by the National Natural Science Foundation of China (Grant No. 60803002), and the Excellent Young Scholars Research Fund of Beijing Institute of Technology     

网络入侵检测系统模式匹配算法研究

模式匹配算法是网络入侵检测中的关键所在,它直接影响到网络入侵检测系统的实时检测性能.引入4种模式匹配算法,分析其工作原理,通过实验对上述4种算法进行了性能测试.根据实验结果,得出了不同算法的应用范围,为今后入侵检测系统开发者选择模式匹配算法提供了有价值的参考.     

Web入侵检测系统高效多模式匹配算法*

针对Web入侵检测系统中存在的攻击模式误匹配与效率问题,提出了一种高效的多模式匹配算法MPMA。MPMA通过构建比较树,并在比较树的每个节点中记录下次比较的字符位置以提高比较效率,并利用（模式,偏移）信息对来搜索可能符合的匹配模式。详细的实验以及与现有算法的比较表明,提出的MPMA不仅适合于Web入侵检测系统,同时在时间、空间和匹配率性能上具有更高的效率。     

基于网络协议解析的入侵检测系统的研究

传统的基于模式匹配的入侵检测系统没有充分利用网络协议的规则,存在计算量大、准确率低等缺点。本文在网络协议分析的基础上,提出了基于网络协议解析的新的入侵检测系统模型。该系统能大大减少数据运算匹配量,为基于协议解析的入侵检测方法提供了一个更加广阔的发展平台。     

字符串模式匹配算法的改进

字符串模式匹配算法是入侵检测系统中的一种重要算法.通过对两种著名的匹配算法KMP和BM算法以及现有的各种改进算法的分析,提出一种简单实用、易于理解的字符串匹配改进算法.该算法通过每次匹配失败时特殊位置上字符的启发来获得字符串向后移动的可能距离,这个距离由定义的一个统一函数求出,取其中的最大值作为字符串向后移动的实际距离.实验结果表明,该算法能减少模式匹配中字符的比较次数和尝试次数,提高模式匹配的效率.