【安防知識網(wǎng)】某公司在IDS/IPS產(chǎn)品中成功地研制和實現(xiàn)了一種高效的自適應(yīng)模式匹配VAPM方法(Venus Adaptive Pattern Match)。該方法根據(jù)網(wǎng)絡(luò)攻擊指紋(模式)特征和協(xié)議變量特征自動選擇一種能夠使其性能最高的模式匹配算法，從而使IDS/IPS性能達到最優(yōu)。
IDS/IPS作為網(wǎng)絡(luò)安全防護的重要手段，通常部署在關(guān)鍵網(wǎng)絡(luò)內(nèi)部或者網(wǎng)絡(luò)邊界入口處，實時捕獲網(wǎng)絡(luò)內(nèi)或進出網(wǎng)絡(luò)的報文數(shù)據(jù)流并進行綜合分析，發(fā)現(xiàn)可能的入侵行為并進行實時響應(yīng)(報警或阻斷)。模式匹配算法作為一種快速搜索攻擊特征的方法，是實現(xiàn)基于攻擊特征誤用檢測的核心技術(shù)，其算法運行效率直接影響到整個產(chǎn)品(系統(tǒng))的檢測性能。
在主流IDS/IPS產(chǎn)品基于攻擊特征的誤用檢測方法中，包括以下兩種類型的模式匹配算法：
1) 基于有限狀態(tài)自動機的字符串匹配方法。例如ACBM算法，它將AC算法中有限狀態(tài)機字符串匹配思想和BM算法中的文本比較窗口快速跳躍思想相結(jié)合。直接影響ACBM算法效率的因素有兩個，分別是基于BM算法的比較窗口前進速度和有限狀態(tài)機樹的存儲空間。當(dāng)模式數(shù)量增多時，ACBM算法在理論上應(yīng)該速度下降平緩，但由于ACBM算法需要大量內(nèi)存來存儲有限狀態(tài)機樹，所以使得該算法無法充分利用CPU緩存技術(shù)，導(dǎo)致算法實際運行效率較差。
2) 直接快速掃描文本，通過文本子串特征篩選出可能的模式集合(或者排除掉不可能的模式)，然后對可能出現(xiàn)的模式進行精確匹配。例如WM算法，它通過快速HASH表和寬字符BM跳躍思想實現(xiàn)快速多模式匹配。直接影響WM算法效率的因素有兩個，分別是HASH表檢索性能和BM跳躍思想中寬字符大小的選取，其中HASH表檢索性能受HASH表平衡度和子鏈搜索速度的直接影響。當(dāng)擁有共同前綴的模式數(shù)量越多，HASH表平衡度就越差，子鏈搜索速度也就越慢。當(dāng)實現(xiàn)BM跳躍時所選取的寬字符較大時，比較窗口前進速度會較快，但所需的存儲空間就會成指數(shù)增長，從而導(dǎo)致算法實際運行效率較差。
通過對多種主流模式匹配算法進行深入研究，發(fā)現(xiàn)各種模式匹配算法的搜索性能非常依賴于模式集合特征，并不存在一種在所有模式集合下都最優(yōu)的模式匹配算法。因此，若能夠根據(jù)模式的特點對模式匹配算法進行自適應(yīng)選擇，則能夠明顯改善IDS/IPS產(chǎn)品中檢測引擎的性能。
目前，主流IDS/IPS產(chǎn)品中模式匹配算法的選用存在以下兩個問題：
1) 匹配算法的選擇沒有考慮網(wǎng)絡(luò)攻擊特征;
2) 匹配算法種類比較單一，沒有使安全產(chǎn)品的整體性能達到最優(yōu)。
在對模式匹配算法和網(wǎng)絡(luò)攻擊特征做大量分析、深入研究和全面測試的基礎(chǔ)上，VAPM方法利用多個模式匹配算法的特點和優(yōu)點，系統(tǒng)自動選擇適合的模式匹配算法，在保證系統(tǒng)穩(wěn)定性的同時，使得所選擇的模式匹配算法效率最優(yōu)。該方法可以廣泛應(yīng)用于IDS/IPS等所有需要快速搜索模式(關(guān)鍵字)的網(wǎng)絡(luò)安全產(chǎn)品中。
VAPM方法包括兩個工作階段，即自適應(yīng)階段和模式匹配階段。其中，自適應(yīng)階段對模式的特征進行統(tǒng)計分析，并根據(jù)分析結(jié)果選擇最優(yōu)的模式匹配算法;模式匹配階段通過統(tǒng)一調(diào)用接口為外部調(diào)用模塊提供快速模式匹配服務(wù)。
VAPM具有以下兩方面的優(yōu)點：
1) VAPM充分利用了多個模式匹配算法的性能優(yōu)勢、根據(jù)攻擊和協(xié)議變量特征靈活選擇合適的模式匹配算法、在匹配速度和存儲空間上達到最優(yōu)。
2)在VAPM中，模式特征分析、算法選擇和模式匹配算法庫具有高度的靈活性和可擴展性強。
目前，VAPM方法已申請了國家專利，并成功應(yīng)用到啟明星辰的天闐IDS/IPS產(chǎn)品中，測試結(jié)果表明，采用VAPM方法使現(xiàn)有IDS/IPS引擎的內(nèi)存占用減少了19.7%，搜索速度提高了23.3%。這樣，具有VAPM功能的IDS/IPS系統(tǒng)能夠更好滿足用戶的安全和性能需求。近期，在賽迪評測(CCID)組織的“2006年度中國市場主流IDS產(chǎn)品測試”中，天闐NS2200的性能指標(biāo)達到了64字節(jié)小包2G線速的水平，取得中國市場最領(lǐng)先的地位。
a&s傳媒是全球知名展覽公司法蘭克福展覽集團旗下的專業(yè)媒體平臺，自1994年品牌成立以來，一直專注于安全&自動化產(chǎn)業(yè)前沿產(chǎn)品、技術(shù)及市場趨勢的專業(yè)媒體傳播和品牌服務(wù)。從安全管理到產(chǎn)業(yè)數(shù)字化，a&s傳媒擁有首屈一指的國際行業(yè)展覽會資源以及豐富的媒體經(jīng)驗，提供媒體、活動、展會等整合營銷服務(wù)。
粵公網(wǎng)安備 44030402000264號
