面向網(wǎng)絡(luò)安全的高性能特征匹配技術(shù)研究.pdf

1、特征匹配技術(shù)，是計(jì)算機(jī)科學(xué)中一個(gè)重要的基礎(chǔ)研究領(lǐng)域。當(dāng)前已被廣泛應(yīng)用于各種網(wǎng)絡(luò)入侵檢測(cè)與防御，防病毒以及反垃圾郵件等安全系統(tǒng)中。然而，隨著網(wǎng)絡(luò)攻擊的隱蔽性越來越強(qiáng)、種類越來越多，安全系統(tǒng)中特征也越來越復(fù)雜，特征集的規(guī)模也變得越來越大，這對(duì)基于匹配技術(shù)的安全系統(tǒng)提出了巨大的挑戰(zhàn)。面向網(wǎng)絡(luò)安全的高性能特征匹配成了一個(gè)至關(guān)重要的研究領(lǐng)域。本文以安全系統(tǒng)中使用的特征為研究對(duì)象，針對(duì)網(wǎng)絡(luò)安全的應(yīng)用環(huán)境，提出了一系列高效的匹配算法。本文的主要貢獻(xiàn)包

2、括：
　　提出了一種基于數(shù)據(jù)感知的串匹配模型?，F(xiàn)有的一些經(jīng)典算法雖然已經(jīng)達(dá)到或接近了理論最優(yōu)值的上限，但在實(shí)際的應(yīng)用中，各種匹配算法的效率卻可能由于很多因素而出現(xiàn)不同程度的退化，特別是待處理數(shù)據(jù)的特性。基于數(shù)據(jù)感知的串匹配考慮到了網(wǎng)絡(luò)環(huán)境的局部性對(duì)算法性能的影響，因而使用一組而不是單一的算法來完成對(duì)輸入數(shù)據(jù)的處理。它通過在匹配過程中對(duì)輸入數(shù)據(jù)進(jìn)行實(shí)時(shí)分析的結(jié)果和算法自身的特性來動(dòng)態(tài)地選擇最合適的匹配算法。同時(shí)，還提出了一種基于遍歷

3、深度統(tǒng)計(jì)的決策方法和基于序貫概率比的決策優(yōu)化方法。這種方法的效率優(yōu)于單獨(dú)應(yīng)用任何一種單一匹配算法，并且可以抵御算法攻擊。
　　提出了一種基于轉(zhuǎn)換表共享的DFA內(nèi)存縮減方法。DFA是目前進(jìn)行正則表達(dá)式匹配最有效的方法之一，但是其高效性是建立在占用大量內(nèi)存空間來描述每一種“可能性”的基礎(chǔ)上。轉(zhuǎn)換表共享首先將DFA狀態(tài)按照是否擁有相同轉(zhuǎn)換目標(biāo)項(xiàng)進(jìn)行分組，然后讓每個(gè)組內(nèi)的所有狀態(tài)共享一個(gè)轉(zhuǎn)換表并去除所有的重復(fù)項(xiàng)。同時(shí)還提出了一個(gè)高效的狀態(tài)

4、分組算法，本算法與同類算法相比，具有更低的時(shí)間復(fù)雜度和空間復(fù)雜度，更加適合在特征集需要?jiǎng)討B(tài)變化的應(yīng)用中使用。
　　提出了一種基于猜測(cè)-驗(yàn)證的正則表達(dá)式匹配方法。DFA內(nèi)存縮減方法雖然可以消減掉DFA中90％以上的轉(zhuǎn)換邊，但卻無法徹底解決DFA的空間占用問題。因?yàn)镈FA的內(nèi)存是隨狀態(tài)數(shù)目呈平方級(jí)甚至指數(shù)級(jí)的增長，而冗余消除只是線性的縮減。基于猜測(cè)-驗(yàn)證的匹配方法首先使用DFA對(duì)正則表達(dá)式中的子特征進(jìn)行搜索，完成特征存在性的猜測(cè)；在猜

5、測(cè)到有可能匹配某個(gè)特征后，再使用NFA進(jìn)行驗(yàn)證。這種方法從網(wǎng)絡(luò)安全檢測(cè)的行為特點(diǎn)出發(fā)，既充分利用了DFA的高效性，減少了對(duì)相對(duì)較慢的驗(yàn)證過程的調(diào)用，又借助NFA避免了內(nèi)存消耗過于巨大。這種方法可以在大大減少內(nèi)存需求的情況下，實(shí)現(xiàn)大規(guī)模正則表達(dá)式的高速匹配。
　　綜合精確字符串和正則表達(dá)式的特點(diǎn)，提出了一種新的規(guī)則表示形式-字符串表達(dá)式并給出了對(duì)應(yīng)的匹配方法。字符串表達(dá)式可以描述多個(gè)精確字符串之間的邏輯關(guān)系與空間位置關(guān)系，從而滿足安