Análise de desempenho de sistemas de detecção de intrusões com correspondência de conteúdo

Embora os sistemas de detecção de intrusões em redes (nIDS) sejam amplamente utilizados, há uma compreensão limitada de como esses sistemas se comportam em diferentes cenários e como devem ser avaliados. Este artigo examina como o desempenho do nIDS é afetado por características de tráfego, conjuntos de regras, algoritmos de correspondência de strings e arquitetura de processador. A análise apresentada neste artigo mostra que o desempenho do nIDS é muito sensível a esses fatores. Portanto, a avaliação de um nIDS requer consideração cuidadosa de um conjunto bastante extenso de cenários. Nossos resultados também destacam perigos potenciais com o uso de cargas de trabalho baseadas na combinação de rastros de cabeçalho de pacotes amplamente disponíveis com conteúdo de pacotes sintéticos, bem como com o uso de conjuntos de regras sintéticas.