[論文レビュー] A Survey on Deep Packet Inspection for Intrusion Detection Systems

Tamer Abuhmed, Aziz Mohaisen+1 more|ArXiv.org|Mar 1, 2008

Network Packet Processing and Optimization参考文献 41被引用数 57

ひとこと要約

この論文は、インラインストラクション検出システム（IDS）におけるディープパケットインスペクション（DPI）技術を調査し、アルゴリズム、実装の課題、システムアーキテクチャに焦点を当てる。ソフトウェアおよびハードウェアベースのDPIソリューションを評価し、Aho-CorasickやCD2FAのような有限状態マシンを用いた高速パターンマッチングを強調しており、非圧縮DFAと比較してメモリ使用量を10%に抑えつつ、二倍のスループットを達成している。

ABSTRACT

Deep packet inspection is widely recognized as a powerful way which is used for intrusion detection systems for inspecting, deterring and deflecting malicious attacks over the network. Fundamentally, almost intrusion detection systems have the ability to search through packets and identify contents that match with known attacks. In this paper, we survey the deep packet inspection implementations techniques, research challenges and algorithms. Finally, we provide a comparison between the different applied systems.

研究の動機と目的

• リアルタイムインラインストラクション検出に向けたディープパケットインスペクション（DPI）を導入する際の主な課題を分析すること。
• DPIシステムのソフトウェア実装とハードウェア実装の間でのパフォーマンスのトレードオフを評価すること。
• DPIにおけるスループットとメモリ効率を向上させるために、鍵となるアルゴリズム的およびアーキテクチャ的イノベーションを特定すること。
• その基盤となるアルゴリズム、ハードウェアプラットフォーム、達成スループットに基づいて、既存のDPIシステムを比較すること。
• 次世代DPIシステムの設計のための主な目的、例えば決定的性能、メモリ効率、動的シグネチャの更新、スケーラビリティを検討すること。

提案手法

• ソフトウェアベース（例：SNORT、Bro）およびハードウェアベース（例：FPGA、NP、TCAM）の実装を含む、既存のDPI技術の調査。
• 効率的なマルチパターンマッチングのための有限状態マシン（FSM）モデル（DFA、D2FA、CD2FA）の分析。
• Aho-Corasickアルゴリズムおよびその圧縮版（例：圧縮DFA）の評価により、メモリ使用量の削減と処理速度の向上を図る。
• ラベル付き状態識別子を用いたコンテンツアドレス可能なD2FA（CD2FA）の導入により、デフォルトパス長の短縮とマルチ遷移処理の効率化を実現。
• スループット（最大40 Gbps）およびメモリ消費量といったメトリクスを用いたベンチマークテストを行い、圧縮済みと非圧縮のFSMを比較。
• 高速なシグネチャマッチングと動的アップデート対応を実現するためのハードウェアアクセラレータ（TCAMやFPGA）の評価。

実験結果

リサーチクエスチョン

• RQ1 DPIに基づくインラインストラクション検出システムにおける主なパフォーマンスボトルネックは何ですか？
• RQ2 DFA、D2FA、CD2FAなどの異なる有限状態マシン表現は、メモリ使用量とマッチング速度にどのように影響を与えますか？
• RQ3 スループットとスケーラビリティの観点から、ソフトウェアベースとハードウェアベースのDPI実装にはどのようなトレードオフがありますか？
• RQ4 CD2FAのような圧縮FSM表現は、メモリフットプリントを削減しながらも、高いスループットを維持できるでしょうか？
• RQ5 次世代DPIシステムにとって最も重要な設計目的（例：動的アップデート、メモリ効率）は何ですか？

主な発見

• SNORTにおける文字列マッチングは、実行時間の70%および命令の80%を占めており、シグネチャマッチングのパフォーマンス負荷が顕著に表れている。
• Aho-Corasickアルゴリズムはマルチパターンマッチングに効果的であるが、過剰な失敗遷移のため、高いメモリ使用量を要する。
• 圧縮DFA表現は、非圧縮DFAと比較してメモリ要件を90%削減しつつ、スループットを2倍に向上させ、メモリ使用量はわずか10%に抑えることができる。
• CD2FAは、デフォルトパス長の短縮と効率的なマルチ文字遷移処理を可能にすることで、非圧縮DFAを上回る速度とメモリ効率を実現している。
• TCAMやFPGAを用いたハードウェアベースの実装は、10–40 Gbpsのスループットを達成しており、高速ネットワーク環境に適している。
• 動的シグネチャの更新と決定的性能は、特にランタイム再構成が不可欠なハードウェアベースのシステムにおいて、リアルタイムIDSにとって不可欠である。