http://www.cnblogs.com/hfww/archive/2012/05/11/2495245.html
Snort 2.9中的模式匹配有两种:单一模式匹配和多模式快速匹配。
单模式匹配
- Boyer-Moore算法(简称BM算法);
- 在mstring.c和mstring.h里,其中一个典型的接口如下:int mSearch(const char *, int, const char *, int, int *, int *);
- 查找http报文头中特定字段用到了此算法;
多模式匹配
- mpse.h中;
- Wu-Manber算法:mwmSearch,但在2.9中算法已不再使用;
- 基于NFA状态机的AC算法:bnfaSearch;
- 基于DFA状态机的AC算法:acsmSearch,acsmSearch2;
- SFKSearch是一种占较少内存的Snort算法,利用Trie树(一种树形结构,用 于保存大量的字符串)来储存模式集,用兄弟和孩子连接来表示整个模式集。匹 配时采用和前面相同的坏字符法,根据匹配结果沿着两个方向来进行匹配。直到 最后确定是否有匹配发生。KTrieSearch;
- 这种方法使用Intel的QuickAssist技术来加速Snort中模式匹配的速度。
/*
* Pattern Matching Methods
*/
//#define MPSE_MWM 1
#define MPSE_AC 2
//#define MPSE_KTBM 3
#define MPSE_LOWMEM 4 -------------- 利用Trie树
//#define MPSE_AUTO 5
#define MPSE_ACF 6
#define MPSE_ACS 7
#define MPSE_ACB 8
#define MPSE_ACSB 9
#define MPSE_AC_BNFA 10 ------------- 基于NFA状态机的AC算法
#define MPSE_AC_BNFA_Q 11 ----------- 基于NFA状态机的AC算法
#define MPSE_ACF_Q 12
#define MPSE_LOWMEM_Q 13 ---------- 利用Trie树
#ifdef INTEL_SOFT_CPM
#define MPSE_INTEL_CPM 14 ----------- intel硬件加速
#endif /* INTEL_SOFT_CPM */