[論文レビュー] Detecting Heavy Hitters in the Data-plane

Belma Turkovic, Jorik Oostenbrink+1 more|arXiv (Cornell University)|Feb 19, 2019

Network Security and Intrusion Detection参考文献 1被引用数 7

ひとこと要約

本稿では、P4プログラマブルデータプレーンにおけるリアルタイムなヘビーホッパー検出のためのスライディングウィンドウベースのアプローチを提案する。新規のゲート付きスケッチ（Gated Sketch）データ構造と調整可能なスライディングウィンドウメカニズムを用い、メモリアクセス回数と誤検出を最小限に抑える。同じメモリ容量でCount-Min Sketchに比べて最大2倍低い誤検出率を達成しながら、プログラマブルスイッチにおいても高い精度と低処理オーバーヘッドを維持する。

ABSTRACT

The ability to detect, in real-time, heavy hitters is beneficial to many network applications, such as DoS and anomaly detection. Through programmable languages as P4, heavy hitter detection can be implemented directly in the data-plane, allowing custom actions to be applied to packets as they are processed at a network node. This enables networks to immediately respond to changes in network traffic in the data-plane itself and allows for different QoS profiles for heavy hitter and non-heavy hitter traffic. Current interval-based methods that flush the whole counting structure are not well-suited for programmable hardware (the data-plane), because they either require more resources than available in that hardware, they do not provide good accuracy, or require too many actions from the control-plane. A sliding window approach that maintains accuracy over time would solve these issues. However, to the best of our knowledge, the concept of sliding windows in programmable hardware has not been studied yet. In this paper, we develop streaming approaches to detect heavy hitters in the data-plane. We consider the problems of (1) adopting a sliding window and (2) identifying heavy hitters separately and propose multiple memory- and processing-efficient solutions for each of them. These solutions are suitable for P4 programmable hardware and can be combined at will to solve the streaming variant of the heavy hitter detection problem.

研究の動機と目的

• プログラマブルデータプレーンにおける従来のインターバルベースのヘビーホッパー検出手法の限界に対処する。これらの手法は定期的なコントロールプレーンによるフラッシュに依存しており、高い誤検出率と検出遅延を抱える。
• スライディングウィンドウの意味論を用いて、最新のトラフィックのみを追跡するリアルタイムなヘビーホッパー流の検出のための、メモリおよび処理効率に優れたソリューションを設計する。
• メモリアクセス回数を最小限に抑えつつ、長期にわたり高い精度を維持できる、チューニング可能なハードウェアに配慮したアプローチを開発する。
• 従来のスライディングウィンドウ技術がP4ハードウェア制約（限られたメモリと厳密なパケットあたりの処理予算）と互換性がない問題を克服する。
• スライディングウィンドウの維持と周波数推定のための複数のモジュラーで組み合わせ可能なソリューションを提供し、最適なパフォーマンスを実現する。

提案手法

• 表のサイズを深さが深くなるにつれて減少させ、しきい値に基づくフィルタリングを導入した、Count-Min Sketchの変種であるゲート付きスケッチ（Gated Sketch）を導入し、衝突と誤検出を低減する。
• 制御プレーンの干渉なしに古いパケットカウントを自動的に有効期限切れにするスライディングウィンドウメカニズムを採用し、順次フラッシュまたはハイブリッドウィンドウ手法を用いる。
• パケットあたりのメモリアクセス回数を最小限に抑えるようにスライディングウィンドウの論理を設計し、100Gbpsスイッチと同等の高スルーレート環境に対応する。
• 深さに応じたサイズとしきい値を備えたハッシュテーブルのセットを用い、高容量のフローの正確な追跡を優先すると同時に、低容量のフローを早期にフィルタリングする。
• メモリ割り当てとウィンドウの深さを調整可能にすることでチューナビリティを実現し、精度、メモリ使用量、処理オーバーヘッドのバランスを取れるようにする。
• CAIDAネットワークトレースを用いてアプローチを評価し、さまざまなウィンドウサイズとしきい値の下で、Count-Min Sketchおよび既存のスライディングウィンドウ手法と比較する。

実験結果

リサーチクエスチョン

• RQ1 P4プログラマブルデータプレーンにおいて、スライディングウィンドウメカニズムを効率的に実装できるか。これにより、ヘビーホッパー検出のリアルタイム精度が維持されるか。
• RQ2 メモリ使用量と処理オーバーヘッドを最小限に抑えながら、ヘビーホッパー検出における誤検出率を低く保てるか。
• RQ3 同じメモリ予算のもとで、ゲート付きスケッチは標準のCount-Min Sketchに比べてどれほど誤検出を低減できるか。
• RQ4 ハードウェア制約下で、ウィンドウサイズ、しきい値設定、検出精度の間にはどのようなトレードオフが生じるか。
• RQ5 制御プレーンによるフラッシュ介入なしに、スライディングウィンドウメカニズムを自律的に動作させることができるか。これにより、メモリフラッシュの不整合が回避され、高速スイッチにおけるスケーラビリティが向上するか。

主な発見

• 同じメモリ量を使用する場合、ゲート付きスケッチは標準のCount-Min Sketchに比べて誤検出率を2倍低減する。
• 順次フラッシュを用いたスライディングウィンドウアプローチは、時間経過に伴っても高い精度を維持し、大きなウィンドウサイズ（N = 2^19）であっても誤検出率を10％未満に抑える。これに対して、定期的フラッシュでは最大80％の誤検出率を示す。
• ハイブリッドウィンドウ手法は、多様なCAIDAトレースにおいて、95％信頼区間を満たし、最小限の誤検出率を達成し、実世界のトラフィックパターン下でも高い耐性を示す。
• 提案手法はチューナブルである。メモリ割り当てを増やすことで、パケットあたりの処理時間に影響を与えずに精度が向上する。
• 定数時間のポイントクエリをサポートしており、P4ハードウェアと互換性がある。平均して、パケットあたり1回のリード/変更/ライト操作で十分である。
• 制御プレーンによるメモリフラッシュの必要性がなくなり、不整合の発生を回避し、高速スイッチにおけるスケーラビリティを向上させる。