網(wǎng)絡入侵系統(tǒng)是一種廣泛使用的工具來對抗來自網(wǎng)絡的惡意攻擊，為了檢測攻擊，它需要能夠快速檢測報文的負荷，查看有無惡意代碼，因此，快速的字符串匹配方法成為網(wǎng)絡入侵檢測系統(tǒng)的關鍵技術。
Bloom filter 由于需要的存儲相對較少，同時能達到的性能可以滿足線速的要求，成為人們關注的技術。然而由于bloom filter 存在一定誤檢的概率，因此可能還需要使用精確匹配的分析器，但是分析器可能成為提高性能的瓶頸。本文利用隨機Petri 網(wǎng)對基于bloom filter 的深度流搜索方法進行了性能建模，得到了基于bloom filter 的深度流搜索的性能情況，并據(jù)此分析了基于bloom filter 方法的缺點和改進方向。
關鍵詞：Bloom filter；深度流；引擎
Internet 開放的結構以及設計之初并沒有對安全做足夠的考慮，使得對網(wǎng)絡上惡意的攻
擊缺乏必要的約束，攻擊包括病毒、蠕蟲等各種各樣的方式，有很多研究關于如何在端系統(tǒng)，或者接入路由器，或者核心路由器部署新的功能來增加安全性。
NIDS 網(wǎng)絡入侵檢測系統(tǒng)成為越來越廣泛在使用的一種手段，它可以自動實時在線的檢
測網(wǎng)絡流量和報文中的負荷，從中找到惡意代碼，有效的保護網(wǎng)絡和端系統(tǒng)。
為了找到惡意的報文，網(wǎng)絡入侵檢測系統(tǒng)通常使用一組規(guī)則來匹配報文，規(guī)則的核心就
是需要匹配的特征字符串。所以多字符串匹配，在網(wǎng)絡入侵檢測系統(tǒng)也通常被稱作深度流搜索成為了關鍵技術和難點。
基于 bloom filter 的解決方案是一種開銷小，而且速度能夠滿足線速的方法。而S.
Dharmapurika 提出了一種基于bloom filter 的深度流搜索的方法[1]，更適合于硬件實現(xiàn)，能達到很好的性能。本文基于隨機Petri 網(wǎng)對該方法進行了詳細的建模，并給出了更精確的性能分析結果。