多谢搂上二位大虾

二楼，您认为现在ｉｄｓ的瓶颈在哪里？qinghao那真是好网站，你是说snort2.0还使用bm算法吗，保持联系，ok?

规则匹配，告警输出都是瓶颈。现在不是采用了很多方法来提高性能嘛。针对snort，采用负载均衡，多个探测器分担检测规则；采用barnyard（一个开发源码的程序）读取snort的告警输出文件（写成二进制的格式，如snort.log.*****），然后将文件里的内容存入mysql数据库，以方便web方式的管理。这些都是针对提高snort的性能的提高做的改进，而且都是开发源代码的。
snort2.0还优化数据流，加强了检测规则语言的功能，采用一个新的高性能的多模式搜索引擎，比snort1.9的处理能力提高了18倍（这是在www.snort.org上看到的）。
而且瓶颈应该还有其他一些情况的，你可以仔细分析分析。

看来你的确是ids的高手，我昨天把snort2.0(for win32)的源代码大略的扫描了一下，可是没发现哪一个文件包含匹配算法，望赐教。
多谢先。。

在src目录下的mstring.c文件里，有一个mSearch函数，就是模式匹配算法实现函数。

多谢，我简单的扫描一下这个文件，好像还是BM算法，不是Snort所说的新算法BMH阿，你怎么看？

好像的确是BM算法。
2。0改进的地方好像在它的检测规则链表的建立和优化上。