計算機網絡入侵檢測系統的多模式匹配算法研究

何志剛

（蘭州石化職業技術學院，甘肅 蘭州 730060）

目前得益于信息網絡技術的發展，網絡在現代社會生產、管理中的功能凸顯，并產生巨大影響。但是計算機網絡技術的變革使網絡安全問題表現得更加突出，頻發的安全事件已經產生巨大的損失。而實際上，現行的入侵檢測系統在運行期間存在問題，包括效率低下、資源消耗量大的問題，必須要尋找一種更有效的解決對策。

1.網絡入侵檢測技術要求

現階段網絡入侵檢測技術已經成為保障計算機網絡安全性的關鍵，該技術的關鍵，就是識別網絡安全的潛在風險隱患并及時排除，最終達到提高整個網絡的安全性[1]。在這個過程中，入侵檢測系統可以對整個系統的運行數據進行監控，在了解不同信息進入的渠道后，并逐一識別網絡數據包，在了解數據包與規則模板之間的耦合度后，可以直接確定其中的異常數據資料。因此對于計算機網絡而言，網絡入侵檢測技術數據第二個保護層，能夠對各種網絡行為進行監測，具有滿意的安全性。

事件產生器能夠對多種復雜的網絡運行情況作出有效檢測，并識別其中的異常網絡安全數據，識別網絡入侵中的各種異常特征情況；該模塊依托自動更新功能，可以根據網絡環境隨時錄入新的異常行為。最后在規則模塊下能夠對相關異常行為做出最終判斷。就目前實際情況來看，該技術下應該采用合理的方法掌握計算機網絡資料的排除與過濾，并對不安全因素進行匹配。

2.多模式匹配算法的應用

2.1 算法定義

在多模式匹配算法中，多匹配問題可以定義某個給定M長度的幾何，其中模式包括k個，即D={pat1，pat2,…patk}，其中D與M之間呈現出線性管理，在特定時間范圍內檢測出正在匹配的模式，記錄匹配的起始位置。其中需要注意的是，當模式集合中的D中k模式長度均相等，則有在這種情況下，多模式匹配算法就能精準識別出其中的異常數據信息，在對比后可以判斷其中的異常數據狀態，發現異常資料。

在該模式下，針對給定任意字符串的X、Y兩個字符串之間的距離用（X，Y）表示后，經串C轉變為轉為串Y的編輯操作中，常見的操作過程分為以下幾種：

（1）串X中的符號插入；

（2）串X中的字符刪除；

（3）串X中的符號替換。

2.2 技術實現路徑

在多模式匹配算法中，實現路徑為：經隨機數生成器獲取256位數字，此時所獲得數字可能是1或者0，在這個過程中，輸入方式的差異會造成輸入種子不同，所以可以獲得對應隨機數字串。

在應用過程中需要注意的是，在運用多模式匹配算法期間，若匹配效果的要求較高且整個計算過程并未違背語法要求的情況下，此時多維度匹配算法之后模式發生變化，其余基本無明顯變化[2]。除此之外，在信息匹配的基礎上，符號之間的關聯性已經成為影響數據識別結果的重要因素，而結合數據之間的記憶匹配特性，所以可以從符號的關聯性入手，并利用條件概率等科學算法來深入評估符號之間的關系，最終有效提取其中的關鍵資料。而因為匹配模式的影響，在數據信息識別中的多模式匹配可以通過記憶匹配的方法識別不同信息數據之間的關聯，此時因為匹配符號的依賴性會影響最終信息讀取效果，且隨著依賴性的提升，則對應的匹配熵值更小，此時與極限熵無限制接近，這個關系會影響最終的匹配結果

2.3 應用實例

從現階段多模式匹配算法的技術應用現狀來看，AC算法（有限自動機的多模式匹配算法）因為具有更強的行為檢測與評估能力而得到廣泛推廣，該方法能夠對網絡安全數據做預處理，通過設置不同的函數，依托輸出函數、失效函數等對文本信息實現匹配，最終快速識別文本對應信息并完成分類。

AC算法的基本思路為：在計算全部深度為1狀態下的函數后，可逐步計算深度為2的狀態，以此類推，直至所有狀態計算完畢，可以獲得連續的失效函數值，該函數值能反映出計算機網絡的實施狀態。

AC算法的解決過程為：通過計算特性狀態下的失效函數值，在將所有狀態深度設定為1之后，此時狀態s的失效函數表達方式為 ()0=sf；之后通過計算d＜1 狀態下的f值，經遞歸迭代計算后，獲得“d=1 ”的f值。

而結合入侵檢測系統的功能要求，能否真正地實現系統安全保護則是系統能否獲得網絡系統變化信息，尤其是在發現事故現象后制定對應的安全策略。而考慮到網絡的復雜性，并且未來網絡資源的數據量有顯著增加，對入侵檢測的數據處理提出了更高的要求。在運用AC算法時，應該有效抵御網絡中的不安全因素，在AC技術中可以針對網絡安全狀態進行評估，經迭代計算后可以對特定狀態識別，對系統的運行狀態進行判斷，在進一步分析其中的數據處理過程后可發現，多模式匹配算法能夠對其中的數據處理過程作出有效評估，且加工環節無違背語法的情況，在技術上具有可行性。

3.仿真實例分析

3.1 仿真驗證的要求

計算機網絡安全的角度來看，正確率是相關人員重點關注的要求，所以必須要確保多模式匹配算法可以正確識別計算機網絡所面臨的危險事件；而速度以及資源判斷則是在保障準確率之后需要評估的內容。

3.2 仿真實驗

而在考慮到多模式匹配算法的性能要求后，在本次仿真期間分別選擇多模式匹配算法中的AC算法、AC-BM算法以及AC-SUDNAY算法進行仿真實驗分析，通過設置不同的模式數量，驗證三種技術的先進性，詳細資料如表1所示。

表1 不同算法的時間表

從表1的相關數據中可以發現，三種技術在匹配時間性能上存在明顯差異，其中AC-BM算法以及AC-SUDNAY算法作為AC算法的改進版本，算法效果要顯著優于AC算法，并且隨著模式長度的增加AC算法所需要消耗的時間更多；另外兩種算法也呈現出相同的變化趨勢，但是變化匹配時間逐漸趨于穩定，且兩種算法比較，AC-SUDNAY算法明顯優于AC-BM算法。

在研究算法執行過程的相關數據后，啟動資源管理器或者對應的內存消耗查看工具，在執行算法時通過記錄不同算法所占用的內存比例，最終結果顯示，兩種改進算法在資源消耗性能上與AC算法之間存在差異，而隨著模式長度的增加，可以發現不同算法的內存消耗增長速度有明顯增加，尤其是ACSUDNAY算法所消耗的內存占比明顯大于AC-BM算法[3]。

3.3 網絡入侵敏感性分析

為了更好地評估不同方法在檢測計算機網絡入侵檢測中的價值，本次研究中通過NPCR入侵檢測的方法測試技術的應用效果。其中本文仿真分析中的密文以此為C1、C2，針對處于位置i的后，則對應的密文表達方法為C1（i）、C2（i），在對數組D（i）作定義后，當C1（i）=C2（i）D（i）=0的情況下，則C1（i）、C2（i）決定了該數值；若不滿足該標準，則可以認為D（i）=1，此時可采用公式（1）作定義。

在確定上述數據處理要求后，采用256×256的灰度做算法測試。從最終的算法來看，該算法的NRCR為0.995-0.999之間，證明算法的敏感度滿意。

4.結語

多模式匹配算法在計算機網絡入侵系統檢測中的效果顯著，符合網絡安全管理要求，具有推廣價值。因此為了能夠充分發揮該技術的優勢，本文認為需要正視未來網絡資源變化情況，進一步完善多模式匹配算法的運用路徑，最終全面增強計算機網絡入侵檢測系統功能，滿足未來條件下的網絡安全管理要求，值得關注。