【安防知識(shí)網(wǎng)】某公司在IDS/IPS產(chǎn)品中成功地研制和實(shí)現(xiàn)了一種高效的自適應(yīng)模式匹配VAPM方法(Venus Adaptive Pattern Match)。該方法根據(jù)網(wǎng)絡(luò)攻擊指紋(模式)特征和協(xié)議變量特征自動(dòng)選擇一種能夠使其性能最高的模式匹配算法，從而使IDS/IPS性能達(dá)到最優(yōu)。

　　IDS/IPS作為網(wǎng)絡(luò)安全防護(hù)的重要手段，通常部署在關(guān)鍵網(wǎng)絡(luò)內(nèi)部或者網(wǎng)絡(luò)邊界入口處，實(shí)時(shí)捕獲網(wǎng)絡(luò)內(nèi)或進(jìn)出網(wǎng)絡(luò)的報(bào)文數(shù)據(jù)流并進(jìn)行綜合分析，發(fā)現(xiàn)可能的入侵行為并進(jìn)行實(shí)時(shí)響應(yīng)(報(bào)警或阻斷)。模式匹配算法作為一種快速搜索攻擊特征的方法，是實(shí)現(xiàn)基于攻擊特征誤用檢測(cè)的核心技術(shù)，其算法運(yùn)行效率直接影響到整個(gè)產(chǎn)品(系統(tǒng))的檢測(cè)性能。

　　在主流IDS/IPS產(chǎn)品基于攻擊特征的誤用檢測(cè)方法中，包括以下兩種類(lèi)型的模式匹配算法：

　　1) 基于有限狀態(tài)自動(dòng)機(jī)的字符串匹配方法。例如ACBM算法，它將AC算法中有限狀態(tài)機(jī)字符串匹配思想和BM算法中的文本比較窗口快速跳躍思想相結(jié)合。直接影響ACBM算法效率的因素有兩個(gè)，分別是基于BM算法的比較窗口前進(jìn)速度和有限狀態(tài)機(jī)樹(shù)的存儲(chǔ)空間。當(dāng)模式數(shù)量增多時(shí)，ACBM算法在理論上應(yīng)該速度下降平緩，但由于ACBM算法需要大量?jī)?nèi)存來(lái)存儲(chǔ)有限狀態(tài)機(jī)樹(shù)，所以使得該算法無(wú)法充分利用CPU緩存技術(shù)，導(dǎo)致算法實(shí)際運(yùn)行效率較差。

　　2) 直接快速掃描文本，通過(guò)文本子串特征篩選出可能的模式集合(或者排除掉不可能的模式)，然后對(duì)可能出現(xiàn)的模式進(jìn)行精確匹配。例如WM算法，它通過(guò)快速HASH表和寬字符BM跳躍思想實(shí)現(xiàn)快速多模式匹配。直接影響WM算法效率的因素有兩個(gè)，分別是HASH表檢索性能和BM跳躍思想中寬字符大小的選取，其中HASH表檢索性能受HASH表平衡度和子鏈搜索速度的直接影響。當(dāng)擁有共同前綴的模式數(shù)量越多，HASH表平衡度就越差，子鏈搜索速度也就越慢。當(dāng)實(shí)現(xiàn)BM跳躍時(shí)所選取的寬字符較大時(shí)，比較窗口前進(jìn)速度會(huì)較快，但所需的存儲(chǔ)空間就會(huì)成指數(shù)增長(zhǎng)，從而導(dǎo)致算法實(shí)際運(yùn)行效率較差。

　　通過(guò)對(duì)多種主流模式匹配算法進(jìn)行深入研究，發(fā)現(xiàn)各種模式匹配算法的搜索性能非常依賴于模式集合特征，并不存在一種在所有模式集合下都最優(yōu)的模式匹配算法。因此，若能夠根據(jù)模式的特點(diǎn)對(duì)模式匹配算法進(jìn)行自適應(yīng)選擇，則能夠明顯改善IDS/IPS產(chǎn)品中檢測(cè)引擎的性能。

　　目前，主流IDS/IPS產(chǎn)品中模式匹配算法的選用存在以下兩個(gè)問(wèn)題：

　　1) 匹配算法的選擇沒(méi)有考慮網(wǎng)絡(luò)攻擊特征;

　　2) 匹配算法種類(lèi)比較單一，沒(méi)有使安全產(chǎn)品的整體性能達(dá)到最優(yōu)。

　　在對(duì)模式匹配算法和網(wǎng)絡(luò)攻擊特征做大量分析、深入研究和全面測(cè)試的基礎(chǔ)上，VAPM方法利用多個(gè)模式匹配算法的特點(diǎn)和優(yōu)點(diǎn)，系統(tǒng)自動(dòng)選擇適合的模式匹配算法，在保證系統(tǒng)穩(wěn)定性的同時(shí)，使得所選擇的模式匹配算法效率最優(yōu)。該方法可以廣泛應(yīng)用于IDS/IPS等所有需要快速搜索模式(關(guān)鍵字)的網(wǎng)絡(luò)安全產(chǎn)品中。

　　VAPM方法包括兩個(gè)工作階段，即自適應(yīng)階段和模式匹配階段。其中，自適應(yīng)階段對(duì)模式的特征進(jìn)行統(tǒng)計(jì)分析，并根據(jù)分析結(jié)果選擇最優(yōu)的模式匹配算法;模式匹配階段通過(guò)統(tǒng)一調(diào)用接口為外部調(diào)用模塊提供快速模式匹配服務(wù)。

　　VAPM具有以下兩方面的優(yōu)點(diǎn)：

　　1) VAPM充分利用了多個(gè)模式匹配算法的性能優(yōu)勢(shì)、根據(jù)攻擊和協(xié)議變量特征靈活選擇合適的模式匹配算法、在匹配速度和存儲(chǔ)空間上達(dá)到最優(yōu)。

　　2)在VAPM中，模式特征分析、算法選擇和模式匹配算法庫(kù)具有高度的靈活性和可擴(kuò)展性強(qiáng)。

　　目前，VAPM方法已申請(qǐng)了國(guó)家專利，并成功應(yīng)用到啟明星辰的天闐IDS/IPS產(chǎn)品中，測(cè)試結(jié)果表明，采用VAPM方法使現(xiàn)有IDS/IPS引擎的內(nèi)存占用減少了19.7%，搜索速度提高了23.3%。這樣，具有VAPM功能的IDS/IPS系統(tǒng)能夠更好滿足用戶的安全和性能需求。近期，在賽迪評(píng)測(cè)(CCID)組織的“2006年度中國(guó)市場(chǎng)主流IDS產(chǎn)品測(cè)試”中，天闐NS2200的性能指標(biāo)達(dá)到了64字節(jié)小包2G線速的水平，取得中國(guó)市場(chǎng)最領(lǐng)先的地位。