[发明专利]一种基于字符串的快速匹配识别方法和装置

说明书

本发明涉及计算机技术领域，提供了一种基于字符串的快速匹配识别方法和装置。其中方法包括确定字符串中存在动态变化的一个或者多个字符位，以及相应字符串中的静态字符位；根据所述字符串中的静态字符位的内容信息和所述一个或者多个动态字符位，更新字符串映射库。本发明将其中动态变化的字符位进行了标定，并可以通过在常规的字典树的数组中增设例如第257位，用于存储对应所述动态变化的字符位的下一级数组的链接信息，从而极大的简化了字典树的冗余程度。

【技术领域】

本发明涉及计算机技术领域，特别是涉及一种基于字符串的快速匹配识别方法和装置。

【背景技术】

深度包检测技术(Deep Packet Inspect，简写为：DPI)技术是一种基于应用层的流量检测和控制技术，当IP数据包、TCP或UDP数据流通过基于DPI技术的带宽管理系统时，该系统通过深入读取IP包载荷的内容来对OSI七层协议中的应用层信息进行重组，从而得到整个应用程序的内容，然后按照系统定义的管理策略对流量进行整形操作。

在DPI技术中，对网络数据报文做应用识别和恶意流量分析时，通常会搜集到报文负载前n个字节中某些字节的特征，例如：腾讯QQ的网络数据报文中就会在报文指定位置出包含QQ两个字节；然后生成特定的规则库，最后通过一个匹配引擎来将规则和数据包做匹配。然而，在实际操作过程中却会遇到，由于n个字节中存在某个字节不确定，无法通过自动机(Aho-Corasickautomation，简写为：AC)算法建立状态机来做匹配，所以一般会一条一条规则去遍历匹配是否命中。遍历规则在规则数量少的情况下可行，但在规则数量级上去之后，匹配的性能就会非常的低，匹配速率会相当的慢。这样会带来计算资源极大程度上的浪费，而现有技术中却没有针对此种情况的简洁、高效的解决手段。

专利权申请号为CN201210132834.9的专利文档公开了一种多模式字符串匹配方法和装置。该方法包括：将多个模式串，按其各自的字符组成顺序，沿树结构的根节点向下，将每个字符写入一个节点中，生成一个决策树结构；将待匹配的主串沿所述决策树向下进行匹配。本发明的技术方案，能够实现多模式字符串的精确匹配，同时根据子节点对应的哈希值查找该子节点，决策树的宽度改变并不会影响字符串匹配的CPU时间开销，该算法的时间开销只取决于决策树的平均深度，与模式串的数量无关。对于模式串较多的字符串匹配，该算法能大量降低CPU的时间开销，提高应用的响应速度。但是，该专利中不支持字符串中包含的未确定字符的匹配的情况。

专利权申请号：CN201310744154.7的专利文档公开了一种基于非确定有限自动机的字符串搜索方法，包括构造非确定有限自动机NFA并为非确定有限自动机设定状态变量；在所述非确定有限自动机中载入匹配表达式，并按照有向图运算符转换规则，将所述非确定有限自动机中的匹配表达式转换为有向图；根据所述状态变量中的状态位置，对进入所述非确定有限自动机的字符串中的字符开始匹配；若所述字符匹配成功则根据所述有向图中该位置所指向的最终位置更新所述状态变量，从所述更新的状态变量中的位置开始对下一字符进行匹配，直到获得符合所述匹配表达式的字符串或有字符匹配失败则匹配完成；当所述匹配完成时，并将所述状态变量置为开始位置。该专利是通过类似“((A*B|AC)D)”的逻辑运算符进行字符串匹配，该专利中的NFA算法是支持abc*cd，并且abc和cd中间不确定的字符*个数不限的情况，因此，相比较本发明所提出的应用场景，采用NFA算法虽然和一般的AC算法一样可以解决本发明所涉及的技术问题，但是，其各自因为AC算法自身实现过于固化和单板，以及NFA算法自身的适用灵活性过大，无法实现本发明所提出应用场合下的资源有效利用和计算性能的提高。

【发明内容】