Hochgeschwindigkeits-Mustererkennung für Netzwerk-IDS/IPS

Das phänomenale Wachstum des Internets im letzten Jahrzehnt und die zunehmende Abhängigkeit der Gesellschaft davon haben eine Flut von Sicherheitsangriffen auf die Netzwerk- und Computerinfrastruktur mit sich gebracht. Intrusionserkennungs-/Verhinderungssysteme bieten Schutz gegen diese Angriffe, indem sie die Header und den Payload von Paketen, die durch das Netzwerk fließen, überwachen. Mehrfaches String-Matching, das Hunderte von String-Mustern gleichzeitig vergleichen kann, ist ein kritischer Bestandteil dieser Systeme und stellt ein gut erforschtes Problem dar. Die meisten der heutigen String-Matching-Lösungen basieren auf dem klassischen Aho-Corasick-Algorithmus, der eine inhärente Einschränkung hat; sie können nur ein Eingangszeichen in einem Zyklus verarbeiten. Da die Speichergeschwindigkeit nicht im gleichen Tempo wie die Netzwerkgeschwindigkeit wächst, ist diese Einschränkung zu einem Engpass im aktuellen Netzwerk mit Geschwindigkeiten von Dutzenden von Gigabit pro Sekunde geworden. In diesem Papier schlagen wir einen neuartigen Algorithmus zum mehrfachen String-Matching vor, der mehrere Zeichen gleichzeitig verarbeiten kann, um so Suchgeschwindigkeiten im Multi-Gigabit-Bereich zu erreichen. Wir schlagen außerdem eine Architektur für eine effiziente Implementierung auf TCAM-basiertem Hardware vor. Darüber hinaus schlagen wir neuartige Optimierungen vor, indem wir die Eigenschaften von TCAMs nutzen, um die Speicheranforderungen des vorgeschlagenen Algorithmus erheblich zu reduzieren. Schließlich präsentieren wir umfassende Simulationsergebnisse zur netzwerkbasierten Virus-/Wurmerkennung unter Verwendung realer Signaturdatenbanken, um die Wirksamkeit des vorgeschlagenen Schemas zu veranschaulichen.