Snort入侵检测中模式匹配算法的研究和改进

刘凯

摘要：入侵检测系统Snort是一种常用的入侵检测软件，该文其分析系统的检测引擎及其采用的模式匹配算法尤其是BM算法进行了深入的分析和讨论，在分析的基础中对BM算法进行改进，使用一种新的模式匹配算法，以减少匹配时间，提高匹配效率，达到提高算法的平均性能和较少资源消耗的目的。

关键词：入侵检测；模式匹配；算法

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）34-8117-02

入侵检测系统（Intrusion detection system，简称“IDS”）[1]是一种对网络传输进行即时监控，在发现可以传输数据时发出警报或者采取主动反应措施的网络安全设备。

1 入侵检测系统Snort

Snort[2]入侵检测是一个基于Libpcap的轻量级入侵检测系统软件，是从著名的tcpdump软件发展而来的。它是个基于Libpcap包的网络监视软件，是一个十分有效的网络入侵监测系统。Snort入侵检测系统基本由四部分组成：嗅探器，预处理器，检测引擎，日志报警[3]。如图1所示。

其中检测引擎， 是 Snort 的核心部件， 主要功能是规则分析和特征检测。当数据包从预处理器送过来后， 检测引擎依据预先设置的规则检查数据包，使用某种模式匹配算法 一旦发现数据包中的内容和某条规则相匹配， 就通知报警模块。

2 单模式匹配算法研究与改进

为了提高入侵检测系统的准确率，减少误报率，在实际的入侵检测系统中一般大都采用精确的模式串匹配算法。模式匹配问题分为单模式匹配算法和多模式匹配算法[4]。该文主要对单模式匹配算法（BM）进行研究和改进。

2.1 单模式匹配算法（BM）