基于bloom filter的深度流搜索的性能建模

网络入侵系统是一种广泛使用的工具来对抗来自网络的恶意攻击，为了检测攻击，它需要能够快速检测报文的负荷，查看有无恶意代码，因此，快速的字符串匹配方法成为网络入侵检测系统的关键技术。
Bloom filter 由于需要的存储相对较少，同时能达到的性能可以满足线速的要求，成为人们关注的技术。然而由于bloom filter 存在一定误检的概率，因此可能还需要使用精确匹配的分析器，但是分析器可能成为提高性能的瓶颈。本文利用随机Petri 网对基于bloom filter 的深度流搜索方法进行了性能建模，得到了基于bloom filter 的深度流搜索的性能情况，并据此分析了基于bloom filter 方法的缺点和改进方向。
关键词：Bloom filter；深度流；引擎
Internet 开放的结构以及设计之初并没有对安全做足够的考虑，使得对网络上恶意的攻
击缺乏必要的约束，攻击包括病毒、蠕虫等各种各样的方式，有很多研究关于如何在端系统，或者接入路由器，或者核心路由器部署新的功能来增加安全性。
NIDS 网络入侵检测系统成为越来越广泛在使用的一种手段，它可以自动实时在线的检
测网络流量和报文中的负荷，从中找到恶意代码，有效的保护网络和端系统。
为了找到恶意的报文，网络入侵检测系统通常使用一组规则来匹配报文，规则的核心就
是需要匹配的特征字符串。所以多字符串匹配，在网络入侵检测系统也通常被称作深度流搜索成为了关键技术和难点。
基于 bloom filter 的解决方案是一种开销小，而且速度能够满足线速的方法。而S.
Dharmapurika 提出了一种基于bloom filter 的深度流搜索的方法[1]，更适合于硬件实现，能达到很好的性能。本文基于随机Petri 网对该方法进行了详细的建模，并给出了更精确的性能分析结果。