CN101778095B - 基于主从协同处理模式的特征匹配方法及从动模块 - Google Patents

Abstract

本发明涉及一种基于主从协同处理模式的特征匹配方法，用于包括主控模块和从动模块的系统或设备，包括如下步骤：所述主控模块控制通过其通用接口与其相连的所述从动模块初始化；所述主控模块传送需要检测的数据包到所述从动模块，控制所述从动模块对所述数据包进行特征匹配；所述主控模块控制所述从动模块将匹配结果返回。本发明还揭示了一种使用上述特征匹配方法的从动模块。实施本发明的基于主从协同处理模式的特征匹配方法及从动模块，具有以下有益效果：由于其匹配使用硬件，首先满足了高速匹配的要求，同时，其从动模块由主控单元通过其通用接口控制并传送信息，降低了其设计难度和使用要求，从而使得其易于推广应用。

Description

基于主从协同处理模式的特征匹配方法及从动模块

技术领域

本发明涉及网络安全领域，更具体地说，涉及一种基于主从协同处理模式的特征匹配方法及从动模块

背景技术

深包检测技术是网络安全领域的一次重要技术变革，是网络内容安全的核心技术。深包检测技术的核心环节是用特征匹配技术检测网包负载(packet payload)中是否出现预定义的特征(pattern)。特征匹配是(PatternMatching)指查找“特征”(Pattern)在“文本串”(Text)中的一个或全部出现位置的操作，“文本串”的长度大于等于“特征”长度。高速特征匹配技术对提高网络安全系统性能有着至关重要的作用。随着网络带宽超越摩尔定律的高速增长，基于通用处理器的软件算法无法满足高速网络的性能要求，针对特征匹配设计硬件结构才能更大限度的提高性能。但是特征匹配硬件结构的使用不像软件算法只需调用算法函数接口那样简单，通常，有两种使用特征匹配硬件结构的方法，一是特征匹配硬件结构以协处理器方式工作，特征匹配结构以协处理器方式工作，与主处理器同在一块主板上，之间通过标准协议通讯。这种方案的优点是主控方与特征匹配协处理器可以实现较高速度的数据交换，达到较高匹配性能。缺点是需要对主控方硬件做修改，且特征匹配结构需要以协处理器方式工作，不方便使用，不易实现。一是芯片内处理器核与特征匹配IP核联合工作模式，主控微处理器核与特征匹配IP核联合工作，两者在同一芯片，之间可以通过标准协议或自定义接口通讯。这种方案的优点是主控方与特征匹配结构实现片上高速数据交换，达到高性能。缺点是需要在微处理器设计时集成特征匹配结构硬件IP核，其使用成本及入门门槛较高，不易推广和实现。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述不方便使用，不易实现、不易推广的缺陷，提供一种使用方便，易于推广使用的基于主从协同处理模式的特征匹配方法及从动模块。

本发明解决其技术问题所采用的技术方案是：构造一种基于主从协同处理模式的特征匹配方法，用于包括主控模块和从动模块的系统或设备，包括如下步骤：

A)所述主控模块控制通过其通用接口与其相连的所述从动模块初始化；

B)所述主控模块传送需要检测的数据包到所述从动模块，控制所述从动模块对所述数据包进行特征匹配；

C)所述主控模块控制所述从动模块将匹配结果返回。

在本发明所述的特征匹配方法中，所述步骤A)进一步包括：

A1)所述主控模块通过连接在其通用接口上的数据传输计数单元对其计数器赋初值，并配置成初始化状态；

A2)所述主控模块通过连接在其通用接口上的数据传输计数单元传送特征数据到所述从动模块，通过计数器计数控制传输结束。

在本发明所述的特征匹配方法中，所述步骤B)进一步包括：

B1)所述主控模块通过连接在其通用接口上的数据传输计数单元对其计数器赋初值，并配置成匹配状态；

B2)所述主控模块通过连接在其通用接口上的数据传输计数单元将待匹配数据送到所述从动模块，通过计数器计数控制传输结束；

B3)所述从动模块对接收到的待匹配数据进行匹配，完成匹配后暂存其匹配结果，并对数据传输计数单元的计数器赋初值，并配置成输出状态。

在本发明所述的特征匹配方法中，所述步骤C)进一步包括：

C1)所述主控模块通过查询连接在其通用接口上的数据传输计数单元的计数器状态，若是输出状态，进入C2)；

C2)所述主控模块通过连接在其通用接口上的数据传输计数单元将匹配结果从所述从动模块中取回，通过计数器计数控制传输结束。

在本发明所述的特征匹配方法中，还包括如下步骤：

D)所述主控模块判断是否还有待匹配数据，如有，返回步骤B)；如没有，执行步骤E)；

E)结束匹配过程并返回。

本发明还揭示了一种用于上述特征匹配方法的从动模块，所述从动模块包括数据传输计数单元和特征匹配单元，所述特征匹配单元用于对数据进行特征匹配，其输入回路和输出回路分别与所述数据传输计数单元连接；所述数据传输计数单元用于通过主控单元的通用接口与所述主控模块连接，在所述特征匹配单元和所述主控模块之间传送数据。

在本发明所述的从动模块中，还包括与所述特征匹配模块相连接的、用于接收并保存由所述主控模块在初始化过程中依次通过所述数据传输计数单元和特征匹配单元传送来的匹配特征数据、并在特征匹配过程中向所述特征匹配单元提供该数据的外接存储器。

在本发明所述的从动模块中，所述特征匹配单元包括字符串匹配电路，所述字符串匹配电路分别与所述外接存储器、所述特征匹配单元的输入回路和输出回路相连。

在本发明所述的从动模块中，所述特征匹配单元的输入回路和输出回路上分别设置有输入缓冲区和输出缓冲区。

实施本发明的基于主从协同处理模式的特征匹配方法及从动模块，具有以下有益效果：由于其匹配使用硬件，首先满足了高速匹配的要求，同时，其从动模块由主控单元通过其通用接口控制并传送信息，降低了其设计难度和使用要求，从而使得其易于推广应用。

附图说明

图1是本发明基于主从协同处理模式的特征匹配方法及从动模块实施例的匹配方法流程图；

图2是所述实施例中主控模块和从动模块的连接示意图；

图3是所述实施例中从动模块的逻辑框图。

具体实施方式

下面将结合附图及实施例对本发明作进一步说明。

如图1所示，在本发明基于主从协同处理模式的特征匹配方法及从动模块实施例中，其特征匹配方法包括如下步骤：

步骤S11主控模块通过连接在其通用接口上的数据传输计数单元对其计数器赋初值，并配置成初始化状态；在本实施例中，主控模块是运行安全系统的硬件处理单元，从动模块是特征匹配硬件结构，该特征匹配结构是从设备，处于被动工作模式，主控模块负责对其进行初始化、输入匹配数据、启动匹配操作、取回匹配结果以及结束等。在本步骤中，主控模块通过输入FIFO先送入需要配置的计数器初值内容和状态，数据传输计数单元将初始值送入其计数器内，并配置其状态。

步骤S12主控模块传送特征数据集合到从动模块；主控模块通过输入FIFO送入预编译好的特征数据，数据传输计数单元将其送入特征匹配结构(从动模块)相应存储位置，通过计数器计数控制传输结束。

步骤S13主控模块通过连接在其通用接口上的数据传输计数单元对其计数器赋初值，并配置成匹配状态；在本步骤中，主控模块通过输入FIFO先送入需要配置的计数器初值内容和状态，数据传输计数单元将初始送入其计数器内，并配置其状态。

步骤S14主控模块传送待匹配的数据到从动模块：在本步骤中，主控模块送入待匹配数据，数据传输计数单元经过格式转换将其送到从动模块的输入缓冲区中，通过计数器计数控制传输结束，从动模块(特征匹配结构)匹配输入缓冲区中数据。在本实施例中，主控模块是不作具体的特征匹配操作的，实际上，所有的特征匹配操作都是由上述从动模块完成，主动模块只不过是控制上述从动模块工作并取得最后的匹配结果，这种机制不仅使得匹配过程更快，而且更加灵活。主控模块可以根据待匹配数据的大小，一次或多次传送待匹配数据，并依次取回每次传送数据所对应的匹配结果。

步骤S16主控模块通过查询连接在其通用接口上的数据传输计数单元的计数器状态，若是输出状态，进入下一步。

步骤S17所述主控模块通过连接在其通用接口上的数据传输计数单元将匹配结果从所述从动模块中取回，通过计数器计数控制传输结束。

步骤S18还有待匹配数据：主控模块判断是否还有需要匹配的数据，如有，跳转到步骤S13；如果没有，执行步骤S19。

步骤S19结束匹配并返回：主控模块结束本次匹配并返回。

在本实施例中，还揭示了一种用于上述方法的从动模块，具体而言，揭示了一种基于上述方法的内容安全匹配加速卡。

如图2所示，该内容安全匹配加速卡(从动模块)和主控模块通过该主控模块的PCI接口相连，在本实施例中，该主控模块是一个网络安全系统，而该从动模块是一个由FPGA构成的、通过上述网络安全系统的PCI接口连接的内容安全匹配加速卡。当然，在其他实施例中，也可以不是通过PCI接口相连，而是通过例如USB接口或其他通用接口连接。由于采用FPGA，自然要事先设计好其逻辑配置，并在工作前将其编译后下载到FPGA中，但由于这些步骤对于本实施例所涉及的方法及装置而言，均属于现有技术，故此不再赘述。

本实施例中，整个系统与该安全匹配加速卡相关的过程大致如下：首先在上述网络安全系统所在的宿主机上加载加速卡驱动程序；其次，将安全匹配加速卡的逻辑结构通过EDA工具编译成FPGA下载文件，并下载到FPGA中；将设定的匹配特征集合经过特征编译器生成特征下载文件，便于在安全匹配加速卡初始化后由主控模块传送到该安全匹配加速卡中，在匹配过程中，通过调用系统接口函数，送待匹配数据到该加速卡中，并从安全匹配加速卡中取回匹配结果。具体来说，主控模块通过上述通用接口将待匹配数据送入安全匹配加速卡，安全匹配加速卡内FPGA实现特征匹配操作，判断是否匹配，并将匹配结果送到输出缓冲区，主控模块通过通用接口取回匹配结果。

图3显示了本实施例中安全匹配加速卡的结构示意图，该加速卡包括被虚线划分的三个部分及外接存储器4，实线框表示FPGA，上述三个部分均在FPGA内部，只有外接存储器4位于FPGA之外；该外接存储器4与FPGA相连，用于保存由主控模块在初始化过程中依次通过数据传输计数单元21传送来的预编译好的特征数据、并且在特征匹配过程中向特征匹配单元3提供该数据。上述位于FPGA中的三个部分分别是：接口逻辑单元11、数据传输计数单元21和特征匹配单元3，特征匹配单元3用于对数据进行特征匹配，其输入回路和输出回路分别与数据传输计数单元21连接；在上述输入回路和输出回路上分别设置有输入缓冲区22和输出缓冲区23，用于缓冲进出特征匹配单元3的数据，保证数据传输的可靠进行；数据传输计数单元21用于通过主控单元的通用接口与主控模块连接，在特征匹配单元3和主控模块之间传送数据，之间通过接口逻辑电路11、输入FIFO12、输出FIFO13相连。而特征匹配单元3包括字符串匹配电路31和初始化控制器电路32，字符串匹配电路31通过存储访问控制器33与外接存储器4相连；初始化控制电路也与外接存储器4相连；字符表达式匹配电路31还分别与特征匹配单元3的输入回路和输出回路相连。在本实施例中，上述安全匹配加速卡通过PCI 9054接口芯片与主控模块进行数据交换；通过存储访问控制器33与外部存储单元进行数据交换。

在本实施例中，特征匹配单元3主要有两个功能，即对外接存储器4中的内容进行初始化和更新，以及匹配输入数据并输出匹配结果。初始化和更新时，主控模块启动FPGA内部初始化及更新单元，下载特征数据到外接存储器4。在匹配模式时，主控模块输入待匹配数据到输入缓冲区22；字符串匹配电路31处理输入缓冲区中的数据，通过对外接存储器4的访问进行状态跳转，并输出匹配结果到输出缓冲区23。主控模块从输出缓冲区23获得匹配结果。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (6)

1.一种基于主从协同处理模式的特征匹配方法，用于包括主控模块和从动模块的系统或设备，所述特征匹配是检测网包负载中是否出现预定义的特征，其特征在于，包括如下步骤：

A）所述主控模块控制通过其PCI接口与其相连的所述从动模块初始化；

B）所述主控模块传送需要检测的数据包到所述从动模块，控制所述从动模块对所述数据包进行特征匹配；

C）所述主控模块控制所述从动模块将匹配结果返回;

所述步骤A）进一步包括：

A1）所述主控模块通过连接在其PCI接口上的、从动模块的数据传输计数单元对其计数器赋初值，并配置成初始化状态；

A2）所述主控模块通过连接在其PCI接口上的数据传输计数单元传送特征数据到所述从动模块，通过计数器计数控制传输结束;所述特征数据是设定的匹配特征集合经过特征编译器生成的特征下载文件；

所述步骤B）进一步包括：

B1）所述主控模块通过连接在其PCI接口上的数据传输计数单元对其计数器赋初值，并配置成匹配状态；

B2）所述主控模块通过连接在其PCI接口上的数据传输计数单元将待匹配数据送到所述从动模块，通过计数器计数控制传输结束；

B3）所述从动模块对接收到的待匹配数据进行匹配，完成匹配后暂存其匹配结果，并对数据传输计数单元的计数器赋初值，并配置成输出状态。

2.根据权利要求1所述的特征匹配方法，其特征在于，所述步骤C）进一步包括：

C1）所述主控模块通过查询连接在其PCI接口上的数据传输计数单元的计数器状态，若是输出状态，进入C2）；

C2）所述主控模块通过连接在其PCI接口上的数据传输计数单元将匹配结果从所述从动模块中取回，通过计数器计数控制传输结束。

3.根据权利要求1－2任意一项所述的特征匹配方法，其特征在于，还包括如下步骤：

D）所述主控模块判断是否还有待匹配数据，如有，返回步骤B）；如没有，执行步骤E）；

E）结束匹配过程并返回。

4.一种用于如权利要求1所述特征匹配方法中的从动模块，其特征在于，所述从动模块包括数据传输计数单元和特征匹配单元，所述特征匹配单元用于对数据进行特征匹配，其输入回路和输出回路分别与所述数据传输计数单元连接；所述数据传输计数单元用于通过主控单元的PCI接口与所述主控模块连接，在所述特征匹配单元和所述主控模块之间传送数据;

还包括与所述特征匹配模块相连接的、用于接收并保存由所述主控模块在初始化过程中依次通过所述数据传输计数单元和特征匹配单元传送来的匹配特征数据、并在特征匹配过程中向所述特征匹配单元提供该数据的外接存储器；所述特征数据是设定的匹配特征集合经过特征编译器生成的特征下载文件。

5.根据权利要求4所述的从动模块，其特征在于，所述特征匹配单元包括字符串匹配电路，所述字符串匹配电路分别与所述外接存储器、所述特征匹配单元的输入回路和输出回路相连。

6.根据权利要求4－5任意一项所述的从动模块，其特征在于，所述特征匹配单元的输入回路和输出回路上分别设置有输入缓冲区和输出缓冲区。