[논문 리뷰] A Survey on Deep Packet Inspection for Intrusion Detection Systems

Tamer Abuhmed, Aziz Mohaisen외 1명|ArXiv.org|2008. 03. 01.

Network Packet Processing and Optimization참고 문헌 41인용 수 57

한 줄 요약

이 논문은 침입 탐지 시스템(IDS)을 위한 딥 패킷 인spect(이하 DPI) 기술을 조사하며, 알고리즘, 구현 과제, 시스템 아키텍처에 중점을 둔다. 소프트웨어 및 하드웨어 기반 DPI 솔루션을 평가하며, Aho-Corasick과 같은 유한 상태 기계를 사용한 고속 패턴 매칭과 CD2FA와 같은 압축 표현 방식을 강조하여, 압축되지 않은 DFA 대비 10%의 메모리 사용량으로 이중의 처리량을 달성한다.

ABSTRACT

Deep packet inspection is widely recognized as a powerful way which is used for intrusion detection systems for inspecting, deterring and deflecting malicious attacks over the network. Fundamentally, almost intrusion detection systems have the ability to search through packets and identify contents that match with known attacks. In this paper, we survey the deep packet inspection implementations techniques, research challenges and algorithms. Finally, we provide a comparison between the different applied systems.

연구 동기 및 목표

• 실시간 침입 탐지에 대한 딥 패킷 인스펙션(DPI)을 구현할 때 발생하는 핵심 과제를 분석하기 위해.
• DPI 시스템의 소프트웨어 및 하드웨어 기반 구현 간 성능 트레이드오프를 평가하기 위해.
• DPI에서 처리량과 메모리 효율성을 향상시키는 데 기여하는 핵심 알고리즘적 및 아키텍처적 혁신을 규명하기 위해.
• 기본 알고리즘, 하드웨어 플랫폼, 달성된 처리량을 기준으로 기존 DPI 시스템을 비교하기 위해.
• 다음 세대 DPI 시스템을 위한 설계 목표, 예를 들어 결정론적 성능, 메모리 효율성, 동적 시그니처 업데이트, 확장성 등을 탐색하기 위해.

제안 방법

• 소프트웨어 기반(예: SNORT, Bro) 및 하드웨어 기반(예: FPGA, NP, TCAM) 구현을 포함한 기존 DPI 기술을 조사한다.
• 효율적인 다중 패턴 매칭을 위한 유한 상태 기계(FSM) 모델, 예를 들어 DFA, D2FA, CD2FA를 분석한다.
• Aho-Corasick 알고리즘과 그 압축 변형(예: 압축된 DFA)을 평가하여 메모리 사용량을 줄이고 처리 속도를 향상시킨다.
• 라벨이 부여된 상태 식별자를 사용한 콘텐츠 기반 D2FA(CD2FA)를 도입하여 기본 경로 길이를 줄이고 다중 전이 처리를 효율적으로 개선한다.
• 처리량(최대 40 Gbps)과 메모리 소비를 측정하는 지표를 사용해 압축 및 압축되지 않은 FSM 간 성능을 벤치마크한다.
• 고속 시그니처 매칭과 동적 업데이트 지원 기능을 갖춘 하드웨어 가속기, 예를 들어 TCAM과 FPGA를 평가한다.

실험 결과

연구 질문

• RQ1 DPI 기반 침입 탐지 시스템에서 주요 성능 저하 요인은 무엇인가?
• RQ2 DFA, D2FA, CD2FA와 같은 다양한 유한 상태 기계 표현 방식이 메모리 사용량과 매칭 속도에 어떤 영향을 미치는가?
• RQ3 처리량과 확장성 측면에서 소프트웨어 기반과 하드웨어 기반 DPI 구현 간의 트레이드오프는 어떠한가?
• RQ4 CD2FA와 같은 압축된 FSM 표현 방식이 메모리 프로파일을 줄이면서도 고처리량을 유지하는 데 얼마나 효과적인가?
• RQ5 다음 세대 DPI 시스템을 위한 설계 목표(예: 동적 업데이트, 메모리 효율성) 중 가장 중요한 것은 무엇인가?

주요 결과

• SNORT에서 문자열 매칭은 실행 시간의 최대 70%와 명령어의 80%를 차지하여, 시그니처 매칭의 성능 부담을 드러낸다.
• Aho-Corasick 알고리즘은 다중 패턴 매칭에 효과적이지만, 과도한 실패 전이로 인해 높은 메모리 사용량을 야기한다.
• 압축된 DFA 표현 방식은 압축되지 않은 DFA 대비 메모리 요구량을 90% 감소시키며, 메모리의 10%만 사용해 처리량을 두 배로 높인다.
• CD2FA는 기본 경로 길이를 줄이고 다중 문자 전이를 효율적으로 처리함으로써 처리 속도와 메모리 효율성을 모두 향상시켜 압축되지 않은 DFA보다 뛰어난 성능을 보인다.
• TCAM과 FPGA를 사용한 하드웨어 기반 구현은 10–40 Gbps 범위의 처리량을 달성하여 고속 네트워크 환경에 적합하다.
• 실시간 IDS에서 동적 시그니처 업데이트와 결정론적 성능은 매우 중요하며, 특히 런타임 재구성이 필수적인 하드웨어 기반 시스템에서 그러한 특성이 핵심이다.