基于bloom filter的深度流搜索的性能建模

網(wǎng)絡(luò)入侵系統(tǒng)是一種廣泛使用的工具來對(duì)抗來自網(wǎng)絡(luò)的惡意攻擊，為了檢測攻擊，它需要能夠快速檢測報(bào)文的負(fù)荷，查看有無惡意代碼，因此，快速的字符串匹配方法成為網(wǎng)絡(luò)入侵檢測系統(tǒng)的關(guān)鍵技術(shù)。
Bloom filter 由于需要的存儲(chǔ)相對(duì)較少，同時(shí)能達(dá)到的性能可以滿足線速的要求，成為人們關(guān)注的技術(shù)。然而由于bloom filter 存在一定誤檢的概率，因此可能還需要使用精確匹配的分析器，但是分析器可能成為提高性能的瓶頸。本文利用隨機(jī)Petri 網(wǎng)對(duì)基于bloom filter 的深度流搜索方法進(jìn)行了性能建模，得到了基于bloom filter 的深度流搜索的性能情況，并據(jù)此分析了基于bloom filter 方法的缺點(diǎn)和改進(jìn)方向。
關(guān)鍵詞：Bloom filter；深度流；引擎
Internet 開放的結(jié)構(gòu)以及設(shè)計(jì)之初并沒有對(duì)安全做足夠的考慮，使得對(duì)網(wǎng)絡(luò)上惡意的攻
擊缺乏必要的約束，攻擊包括病毒、蠕蟲等各種各樣的方式，有很多研究關(guān)于如何在端系統(tǒng)，或者接入路由器，或者核心路由器部署新的功能來增加安全性。
NIDS 網(wǎng)絡(luò)入侵檢測系統(tǒng)成為越來越廣泛在使用的一種手段，它可以自動(dòng)實(shí)時(shí)在線的檢
測網(wǎng)絡(luò)流量和報(bào)文中的負(fù)荷，從中找到惡意代碼，有效的保護(hù)網(wǎng)絡(luò)和端系統(tǒng)。
為了找到惡意的報(bào)文，網(wǎng)絡(luò)入侵檢測系統(tǒng)通常使用一組規(guī)則來匹配報(bào)文，規(guī)則的核心就
是需要匹配的特征字符串。所以多字符串匹配，在網(wǎng)絡(luò)入侵檢測系統(tǒng)也通常被稱作深度流搜索成為了關(guān)鍵技術(shù)和難點(diǎn)。
基于 bloom filter 的解決方案是一種開銷小，而且速度能夠滿足線速的方法。而S.
Dharmapurika 提出了一種基于bloom filter 的深度流搜索的方法[1]，更適合于硬件實(shí)現(xiàn)，能達(dá)到很好的性能。本文基于隨機(jī)Petri 網(wǎng)對(duì)該方法進(jìn)行了詳細(xì)的建模，并給出了更精確的性能分析結(jié)果。