68、网络入侵检测与防御系统的多级模式匹配架构

网络入侵检测与防御系统的多级模式匹配架构

1. 引言

随着网络应用的发展，网络安全对于抵御大量系统攻击、蠕虫、病毒等变得越来越重要。为保护计算机和网络免受这些攻击，网络安全应用需要对数据包的有效负载进行更高效的检查。网络入侵检测与防御系统（NIDS/NIPS）不仅适用于数据包头部检查，还适用于数据包有效负载扫描。

目前广泛使用的NIDS/NIPS是基于误用检测的，它们会扫描每个传入字节以查找可能表示入侵的模式。然而，实际中有数千种不同格式的模式，基于软件的系统很难跟上千兆位线路速率。例如，Snort系统在正常流量条件下只能处理高达100Mbps的链路速率，最坏情况下的性能甚至更低。软件解决方案无法满足现代网络应用的需求。

同时，对Snort的实验结果表明，高达80%的总处理量是由于模式匹配，这是计算量最大的部分，也是性能瓶颈。因此，寻求基于硬件的解决方案，特别是使用FPGA进行模式匹配，是提高相关系统千兆速率性能的更好方法。

除了NIDS/NIPS，其他基于有效负载检查的系统也需要模式匹配架构，包括垃圾邮件过滤器、内容过滤器、防病毒系统、统一威胁管理（UTM）等。FPGA具有灵活性、可重构性和高频率的特点，可以利用其内部逻辑和片上内存进行快速模式匹配。本文设计了一种高度可参数化的模式匹配架构，即多级模式匹配（MPM）架构。

2. 相关工作

模式匹配在网络安全中并不是一个新问题。传统方法是优化算法以提高效率，2001年开始出现基于硬件设计的新方法。相关工作可分为两类：基于FPGA的和基于ASIC（专用集成电路）的。

这两类的区别在于存储模式集的方法。ASIC设计将模式集以适当的格式（如DFA模型）存