免费注册 查看新帖 |

Chinaunix

  平台 论坛 博客 文库
123
最近访问板块 发新帖
楼主: lujian19861986

多条iptables规则,netfilter的连接跟踪(ip_conntack)加速应用程序的识别 [复制链接]

论坛徽章:
0
发表于 2011-10-27 09:16 |显示全部楼层
回复  独孤九贱


    独孤九贱兄,识别过程求详解
lujian19861986 发表于 2011-10-26 10:53


哈哈,你代码都贴出来了,还用我详解吗?

AC多模匹备,可以加速那些针对特征码的应用程序的识别,类似地正则表达式也可以这样做(只是要面临内存空间的暴炸问题,google有一篇关于此的论文,你找找,将L7性参提升6000多倍吧)。不过这两种匹备算法对一些应用程序都存在缺陷,可能P-code+VM(类似bpf)是很好的解决方法,不过也面临all in one的问题,你需要了争MPF/BPF+算法。我想这些东东最终都需要结合应用程序特征的检测,提炼出自己的描述语言及检测引擎来,这个工作真不容易,祝你好运。

一家之言,仅供参考。

评分

参与人数 1可用积分 +6 收起 理由
Godbach + 6 感谢分享

查看全部评分

论坛徽章:
36
IT运维版块每日发帖之星
日期:2016-04-10 06:20:00IT运维版块每日发帖之星
日期:2016-04-16 06:20:0015-16赛季CBA联赛之广东
日期:2016-04-16 19:59:32IT运维版块每日发帖之星
日期:2016-04-18 06:20:00IT运维版块每日发帖之星
日期:2016-04-19 06:20:00每日论坛发贴之星
日期:2016-04-19 06:20:00IT运维版块每日发帖之星
日期:2016-04-25 06:20:00IT运维版块每日发帖之星
日期:2016-05-06 06:20:00IT运维版块每日发帖之星
日期:2016-05-08 06:20:00IT运维版块每日发帖之星
日期:2016-05-13 06:20:00IT运维版块每日发帖之星
日期:2016-05-28 06:20:00每日论坛发贴之星
日期:2016-05-28 06:20:00
发表于 2011-10-27 10:03 |显示全部楼层
回复 21# 独孤九贱
九贱兄是专家。

论坛徽章:
0
发表于 2011-10-27 10:17 |显示全部楼层
回复  独孤九贱
九贱兄是专家。
Godbach 发表于 2011-10-27 10:03


哈哈,哥德兄,你不是在绕弯骂我吧

最近我也在思考这个问题,想抽像出一个检测引擎出来。

论坛徽章:
36
IT运维版块每日发帖之星
日期:2016-04-10 06:20:00IT运维版块每日发帖之星
日期:2016-04-16 06:20:0015-16赛季CBA联赛之广东
日期:2016-04-16 19:59:32IT运维版块每日发帖之星
日期:2016-04-18 06:20:00IT运维版块每日发帖之星
日期:2016-04-19 06:20:00每日论坛发贴之星
日期:2016-04-19 06:20:00IT运维版块每日发帖之星
日期:2016-04-25 06:20:00IT运维版块每日发帖之星
日期:2016-05-06 06:20:00IT运维版块每日发帖之星
日期:2016-05-08 06:20:00IT运维版块每日发帖之星
日期:2016-05-13 06:20:00IT运维版块每日发帖之星
日期:2016-05-28 06:20:00每日论坛发贴之星
日期:2016-05-28 06:20:00
发表于 2011-10-27 10:34 |显示全部楼层
回复 23# 独孤九贱

怎么会啊。

我是知道你最近在研究一些 P2P 的识别,肯定有很多牛叉的经验

论坛徽章:
0
发表于 2011-10-28 16:12 |显示全部楼层
回复 21# 独孤九贱


    嗯嗯,谢谢,非常好哦。以上是为了对已知流量进行加速识别。请问有没有对未知P2P流(加密)识别及其流特征自动提取技术研究?在模块中(比如-m ipp2p),调用conntrack = ip_conntrack_get((struct sk_buff *)skb, &ctinfo)); 获得当前封包的conntrack ,能否每2分钟遍历一下conntrack 中的全部stream,判断哪些符合p2p的流特征(peers ip port对多,持续时间长)?

论坛徽章:
0
发表于 2011-10-28 16:13 |显示全部楼层
回复 9# godbach


    请问有没有对未知P2P流(加密)识别及其流特征自动提取技术研究?在模块中(比如-m ipp2p),调用conntrack = ip_conntrack_get((struct sk_buff *)skb, &ctinfo)); 获得当前封包的conntrack ,能否每2分钟遍历一下conntrack 中的全部stream,判断哪些符合p2p的流特征(peers ip port对多,持续时间长)?

论坛徽章:
0
发表于 2011-10-31 11:20 |显示全部楼层
本帖最后由 lujian19861986 于 2012-12-20 09:20 编辑

回复 21# 独孤九贱


    ac_bnfa字符串 多模式匹配。
您需要登录后才可以回帖 登录 | 注册

本版积分规则 发表回复

SACC2019中国系统架构师大会

【数字转型 架构演进】SACC2019中国系统架构师大会,8.5折限时优惠重磅来袭!
2019年10月31日~11月2日第11届中国系统架构师大会(SACC2019)将在北京隆重召开。四大主线并行的演讲模式,1个主会场、20个技术专场、超千人参与的会议规模,100+来自互联网、金融、制造业、电商等领域的嘉宾阵容,将为广大参会者提供一场最具价值的技术交流盛会。

限时8.5折扣期:2019年9月30日前


----------------------------------------

大会官网>>
  

北京盛拓优讯信息技术有限公司. 版权所有 16024965号-6 北京市公安局海淀分局网监中心备案编号:11010802020122
中国互联网协会会员  联系我们:huangweiwei@it168.com
感谢所有关心和支持过ChinaUnix的朋友们 转载本站内容请注明原作者名及出处

清除 Cookies - ChinaUnix - Archiver - WAP - TOP