layer7-filter实现简析

Godbach

回复 18# 独孤九贱


   

嗯, 不过我问的是说用pcre来做有什么优势,因为我想pcre做也应该有这些问题吧????

嗯，我的理解，如果就仅仅使用 pcre 是同样存在这个的问题，只是变换了规则的呈现方式而已。
但是，如果再结合着引擎的话，可能就会有很大的方便了。比如 snort 中使用了 pcre，同时把 snort 一直到内核，这样的引擎，应该比 layer7 高效一些。

独孤九贱

回复  独孤九贱


   
嗯，我的理解，如果就仅仅使用 pcre 是同样存在这个的问题，只是变换了规则的呈 ...
Godbach 发表于 2011-03-07 10:59

那是额外的东东了，超出了两个正式表达式实现的范筹了。snort引入了更多的检测项，性能更高应该是理所当然的了。只是要完全移值，好累哟，佩服你们呀！！

Godbach

那是额外的东东了，超出了两个正式表达式实现的范筹了。snort引入了更多的检测项，性能更高应该是理所 ...
独孤九贱 发表于 2011-03-07 11:15

还可以了，主要是一些内存分配函数的处理，以及框架的裁剪。其余的大部分都是 snort 自己实现的

platinum

内核层做L7的过滤
dreamice 发表于 2011-03-05 11:32

现在有了 userspace 版，据说可以把多线程用起来

dreamice

回复  shank941


   
嗯，把 snort 移植到内核确实是可以实现的，难度不是特别大。
Godbach 发表于 2011-03-07 10:53

    Godbach 做过这方面的？可否详细写个帖子讲讲

Godbach

Godbach做过这方面的？可否详细写个帖子讲讲
dreamice 发表于 2011-03-07 12:46

多少做过一些，过去有一段时间了。最近比较忙，没时间整理啊。

你有什么问题，大家可以一起交流啊

peimichael

先Mark一下，貌似以后会用到。不知道CU有帖子收藏功能么？

Godbach

回复 27# peimichael
帖子的最上面有：

[打印] [收藏] [本帖文本页] [推荐此主题给朋友]

peimichael

回复 28# Godbach


    找到了，谢谢。眼睛不太好使了

tuibo

对于加密类型的应用，正则不好使了，有的倒是可以侦测，有的协议同时支持加密不加密类型，用不加密的去侦察。 不过对于只支持加密的应用，识别就难了，snort也不顶用