Eine aktive Splitterarchitektur für Intrusionserkennung und -verhinderung

Moderne Hochgeschwindigkeits-Netzwerkintrusionserkennungs- und -verhinderungssysteme werden häufig mit mehreren parallel arbeitenden Intrusionserkennungssensoren und einem geeigneten Front-End-Load-Balancing-Traffic-Splitter entworfen. In diesem Papier argumentieren wir, dass Traffic-Splitter, anstatt lediglich eine passive generische Lastverteilung bereitzustellen, aktivere Operationen im Datenstrom implementieren sollten, mit dem Ziel, die Last auf den Sensoren zu reduzieren. Wir präsentieren eine aktive Splitterarchitektur und drei Methoden zur Leistungsverbesserung. Die erste ist frühes Filtern/Weiterleiten, bei dem ein Teil der Pakete auf dem Splitter und nicht auf den Sensoren verarbeitet wird. Die zweite ist die Verwendung von Lokalisierungs-Pufferung, bei der der Splitter Pakete so umordnet, dass die Zugriffs-Lokalisierung im Speicher auf den Sensoren verbessert wird. Die dritte ist die Verwendung von kumulierten Bestätigungen, eine Methode, die die Koordination zwischen dem Traffic-Splitter und den Sensoren optimiert. Unsere Experimente legen nahe, dass frühes Filtern die Anzahl der zu verarbeitenden Pakete um 32 Prozent reduziert, was zu einer Verbesserung der Sensorleistung um 8 Prozent führt; Lokalisierungs-Puffer verbessern die Sensorleistung um 10-18 Prozent, während kumulierte Bestätigungen die Leistung um 50-90 Prozent verbessern. Wir haben auch einen Prototyp eines aktiven Splitters auf einem IXP1200-Netzwerkprozessor entwickelt und zeigen, dass die Kosten des vorgeschlagenen Ansatzes angemessen sind.