Scaling the performance of intrusion detection system on many-core processors

Abstract

인터넷의 발전과 더불어 네트워크 상에서의 침입 시도가 갈수록 증가하고 있다. 이런 변화에 따라 네트워크 관리자들은 자신들의 네트워크를 안전하게 지키기 위하여 고성능 침입탐지 시스템을 필요로 하고 있다. 최근 범용 매니코어 프로세서들이 빠르게 발전하면서 높은 성능과 편리한 개발환경을 제공함은 물론 낮은 전력소모를 보여주고 있다. 본 논문에서는 이런 매니코어 프로세서의 장점을 활용한 매니코어 기반 고성능 침입탐지 시스템을 제안한다. 비롯 매니코어 프로세서의 장점을 통해 전체적인 성능 향상을 도모할 수 있지만 기존 침입탐지 시스템의 비효율적인 모듈들로 인하여 높은 성능 향상을 얻을 수 없었다. 침입탐지 시스템 내의 대부분의 모듈들은 패킷 메타데이터나 내부 자료구조를 처리하며 이러한 모듈들은 패킷의 크기와 무관하게 동작한다. 따라서 우리는 이러한 모듈들을 최적화함으로써 침입탐지 시스템의 성능을 향상시켰다. 침입탐지 시스템에 사용되는 대부분의 시그니쳐들을 공격 패턴을 가지고 있다. 그리고 이런 공격 패턴들을 통해 멀티패턴 매칭 모듈은 대부분의 정상적인 패킷들을 필터링할 수 있다. 하지만 일부 시그니쳐들의 경우 공격 패턴을 가지고 있지 않아, 이러한 시그니쳐들에 대해서는 모든 패킷들이 해당 시그니쳐 내에 포함되어 있는 공격 조건들과 일대일 매칭이 필요하며, 이는 성능저하의 상당한 영향을 미친다. 우리는 해당 시그니쳐들에서 공통되는 조건들을 추출함으로써 효과적으로 정상 패킷들을 필터링할 수 있는 메커니즘을 설계하였다. 마지막으로 우리는 호스트 머신에서 매니코어 프로세서로 들어온 패킷들의 일부를 처리할 수 있도록 하는 오프로딩 모듈을 개발하였다. 그리고 동적 오프로딩 알고리즘을 통해 매니코어 프로세서와 호스트 머신에서의 패킷 처리량을 최대화 할 수 있었다.