近年来,随着互联网的迅速发展,网络安全问题得到了社会的广泛关注。网络攻击形式日趋复杂,入侵检测系统作为传统网络防火墙的补充,在网络安全方面不断发挥越来越重要的作用。目前,深包检测(DPI)技术是网络入侵检测用到的一项主要技术,该技术不仅检查数据包的头部,而且会对其携带的内容进行分析。最常见的深度包检测方案是基于过滤规则的,在这类方案中,专家首先分析各种类型的有害数据包,发现它们的共有关键特征,然后以文本或正则表达式的方式描述些这特征,最后将一类有害数据包的特征编写为一条过滤规则,多条过滤规则构成规则集,DPI系统将依据这些规则对数据包进行检测。Snort是一款非常成功的入侵检测系统。利用Snort规则集对数据包检测时,传统做法是将捕获到的每一个数据包与所有规则进行比对,但是随着规则数量的增多,这样的数据包过滤策略已经不能满足效率上的要求。目前比较实用的做法是将Snort规则与自动机相结合,本文提出了一套完整的Snort规则处理流程,并给出了数据包的过滤方案。在对Snort规则处理时,首先将所有规则编译成一组DFA,然后从每个DFA中提取出一些“关键特征”。对数据包过滤时,首先将数据包与这些关键特征进行预过滤,通过预过滤判断是否需要与DFA进行精确过滤。通过预过滤可以将网络中大部分安全的数据包放行,这些数据包不再需要与DFA进行精确过滤,大大提高了过滤效率。本文主要研究了以下几个方面的问题:(1)分析Snort规则,建立Snort规则选项模型,将需要处理的选项统一转化为PCRE,然后进一步编译成DFA。(2)针对一些DFA无法提取出充足的“关键特征”的情况下,研究如何降低这些DFA在预过滤阶段的命中率。(3)为了进一步提高过滤效率,实现数据包预过滤和精确过滤的并行化。