[发明专利]一种面向实时网络数据流的高效事件匹配方法

说明书

技术领域

本发明涉及网络安全领域，更具体地，涉及一种面向实时网络数据流的高效事件匹配方法。

背景技术

随着计算机技术、互联网技术发展，网络资源共享技术成熟，网络安全问题已经日益成为国家、国防及国民经济中重要问题。事件匹配算法作为深度包检测中的重要关键技术，它主要通过扫描网络中数据包，识别出与特征规则集匹配的数据包，从而实现实时监测网络流量，检查和阻止网络功能，以保证日常网络安全目的。当前，实时网络数据流中事件匹配技术面临着如下一些新的挑战：(1)处理实时性。网络带宽和流量高速增长导致了网络系统中需处理数据流量需求增大，实时处理大流量的网络数据流要求网络数据流处理中事件匹配算法具有快速匹配能力。(2)数据复杂性。由于传统的精确字符串已无法精确描述当前的网络攻击特征，需要提供更加精确和复杂的规则描述方法，从而增加数据复杂性。(3)种类规模性。目前网络安全系统中需要关注的特征规则集增长迅速，己达到几千乃至上万种的规模，导致网络中数据种类呈现大规模性。总之，随着网络中特征规则集的快速增长，网络数据流呈现大流量性，复杂性和规模性特征。由于当前基于实时网络数据中事件匹配算法缺乏可伸缩性，无法适应当前的高速网络匹配需求，急需开展一种基于实时网络数据中高性事件匹配方法。

目前关于实时网络数据中事件匹配方法主面研究，主要开展了有确定型有限自动机(Deterministic Finite Automata，DFA)、非确定型有限自动机(Nondeterministic Finite Automata，NFA)和基于扩展有限自动机(eXtended Finite Automaton，XFA))等方面相关方法研究。但由于DFA具有大的存储空间和高的内存开销等缺点，NFA存在匹配速度慢等不足，因而限制它们广泛在实时网络数据流中的匹配应用。基于扩展有限自动机(eXtended Finite Automaton，XFA)方法，其作为当前在的实时网络数据流中使用最为广泛匹配方法，主要通过采用辅助变量替代额外DFA状态去记录部分匹配结果，并使用操作命令去检查匹配是否成功，从而消除DFA状态空间爆炸问题，达到显著减少DFA中存储空间目的，从而在一定程度上提升了其在实时网络数据流中匹配能力。但由于XFA存在冗余迁移边的问题，不仅消耗巨大存储空间，而且增加额外的存储器访问次数和匹配时间，从而限制了其广泛使用。

发明内容

本发明主要针对上述XFA方法在匹配实时网络数据流时存在高的内存消耗，大的储存空间和长的匹配时间等方面的问题，提出了一种面向实时网络数据流的高效事件匹配方法。该方法是通过在XFA的开始状态边上增加一些额外判断命令，生成HFA(高效自动机)，以减少XFA中不必要迁移路径和迁移状态，从而实现改善XFA在匹配实时网络数据流时存在问题，改进了当前实时网络数据流上基于自动机模式的事件检测方法，对现有的事件检测技术进行扩展，使其能够比较高效地在海量实时网络数据流上完成事件匹配工作，大大提高了事件在实时网络数据流中匹配能力。

为实现上述目的，本发明采用了如下技术方案：

一种面向实时网络数据流的高效事件匹配方法，包括以下步骤：

S1.按照给定的事件模式匹配表达式建立相应扩展自动机XFA，在XFA的开始状态边上通过增加判断指今，减少XFA中不必要迁移路径和迁移状态，生成相应的高效自动机HFA；

S2.在HFA中初始化所有辅助变量Bit1为0；

S3.根据当前开始状态值，含有辅助变量的判断命令和输入特征值选择下一步执行路径；

S4.根据当前状态值和输入特征值确定下一步转换状态；

S5.当匹配进程达到部分预设目标时，设置辅助变量Bit1为1去记录当前匹配状态；当匹配进程完全达到模式表达式全部预设目标时，将执行相应的匹配完成操作并更新相应的辅助变量Bit1为0，否则重复进行步骤S3，S4的操作，直到匹配工作结束；

S6.从匹配进程中读取相应的匹配结果。

在步骤S1中首先需要根据事件模式匹配表达式先建立相对应的XFA，然后再通过通过增加判断指今，减少XFA中不必要迁移路径和迁移状态，生成相应的HFA。

在步骤S2中，匹配开始前需要初始化辅助变量Bit1为0，以满足接下来路径选择和转换状态选择操作。

在步骤S3中，下一步执行路径的选择需要同时依据当前开始状态值，含有辅助变量判断命令和输入特征值三者值共同确定。

在步骤S4中，下一步转换状态的选择需要同时根据当前状态值和输入特征值两者值共同确定。