基于正則表達式的深度包檢測研究.pdf

1、隨著專門針對應用層攻擊現(xiàn)象的增多，傳統(tǒng)的狀態(tài)檢測防火墻有效性越來越低。防火墻的功能重心從網(wǎng)絡層發(fā)展到了應用層，因而誕生了深度包檢測技術。深度包檢測技術不僅檢測網(wǎng)絡層和傳輸層數(shù)據(jù)包頭部，而且深入到應用層數(shù)據(jù)包的有效載荷所封裝的內容中，搜尋合法或非法的內容以決定是否允許數(shù)據(jù)包通過。 隨著深度包檢測技術的發(fā)展，傳統(tǒng)上用于過濾數(shù)據(jù)包內容的模式集合(包含模式的匹配串)逐漸被正則表達式集合所代替。例如Linux的應用協(xié)議分類器L7-filt

2、er，通過基于正則表達式的模式集合識別應用層的數(shù)據(jù)包；Snort、Bro等入侵檢測系統(tǒng)也已將正則表達式應用于它的規(guī)則集當中。 然而，雖然正則表達式在模式匹配時比字符串表現(xiàn)得更優(yōu)異，但在現(xiàn)有的網(wǎng)絡應用中，一個典型的模式集合往往由上百個正則表達式和數(shù)以萬計的狀態(tài)數(shù)組成，將模式集合構造成一個有限自動機，所需的內存可達幾百兆，甚至幾G，結果導致了基于正則表達式的深度包檢測的響應時間過長，極大地影響了檢測效率。目前，如何提高基于正則表達式

3、的深度包檢測技術的效率，在國內外都尚處于探索階段。本文所進行的研究正是在該背景下展開的。 本文首先在分析傳統(tǒng)防火墻工作原理的基礎上，介紹了采用深度包檢測技術的新一代智能防火墻。然后在詳細說明數(shù)據(jù)包過濾技術和入侵防護檢測技術的基礎上，闡述了深度包檢測技術的工作原理。通過對常見模式匹配算法的優(yōu)缺點的分析，本文提出了一種新的基于正則表達式的匹配算法。在深入分析了DFA(DFA)狀態(tài)數(shù)對算法性能影響的基礎上，本文進一步提出了構造最優(yōu)DF