[논문 리뷰] Efficient Wu-Manber Pattern Matching Hardware for Intrusion and Malware Detection

Monther Aldwairi, Yahya Flaifel외 1명|arXiv (Cornell University)|2020. 03. 01.

Network Packet Processing and Optimization참고 문헌 27인용 수 7

한 줄 요약

이 논문은 고속 침입 및 악성코드 탐지에 최적화된 웨이-만버 패턴 매칭 알고리즘을 위한 맞춤형 FPGA 기반 하드웨어 가속기 설계를 제안한다. Xilinx ISE를 사용하여 Verilog로 구현된 이 설계는 최대 216 Mbps의 처리량을 달성하면서 지연 시간과 자원 사용량을 감소시켜 고속 네트워크에서 서명 기반 위협 탐지에 있어 소프트웨어 기반 접근 방식에 비해 뚜렷한 성능 향상을 보여준다.

ABSTRACT

Network intrusion detection systems and antivirus software are essential in detecting malicious network traffic and attacks such as denial-of-service and malwares. Each attack, worm or virus has its own distinctive signature. Signature-based intrusion detection and antivirus systems depend on pattern matching to look for possible attack signatures. Pattern matching is a very complex task, which requires a lot of time, memory and computing resources. Software-based intrusion detection is not fast enough to match high network speeds and the increasing number of attacks. In this paper, we propose special purpose hardware for Wu-Manber pattern matching algorithm. FPGAs form an excellent choice because of their massively parallel structure, reprogrammable logic and memory resources. The hardware is designed in Verilog and implemented using Xilinx ISE. For evaluation, we dope network traffic traces collected using Wireshark with 2500 signatures from the ClamAV virus definitions database. Experimental results show high speed that reaches up to 216 Mbps. In addition, we evaluate time, device usage, and power consumption.

연구 동기 및 목표

• 고속 네트워크 환경에서 소프트웨어 기반 서명 매칭의 성능 저하 문제를 해결하기 위해.
• 서명 기반 침입 탐지 및 악성코드 방지 시스템에서 지연 시간과 자원 소비를 줄이기 위해.
• 웨이-만버 패턴 매칭 알고리즘을 위한 효율적이고 재구성 가능한 FPGA 기반 하드웨어 솔루션을 구현하기 위해.
• 실제 네트워크 트래픽 상황에서 처리량, 자원 활용도, 전력 소비 측면에서 하드웨어 설계를 평가하기 위해.
• 실제 악성코드 및 네트워크 공격 탐지에서 소프트웨어 기반 구현 대비 구현 가능성과 성능 향상을 입증하기 위해.

제안 방법

• 웨이-만버 패턴 매칭 알고리즘을 FPGA 배포를 위해 Verilog로 구현하여 병렬 처리 능력을 활용한다.
• 다중 키워드 검색 방식과 비트 병렬 필터링을 사용하여 동시에 여러 공격 서명을 효율적으로 매칭한다.
• 블록 램과 DSP 슬라이스와 같은 FPGA 자원을 최적화하여 면적 사용량과 전력 소비를 최소화한다.
• 시스템은 대상 FPGA 플랫폼에서 Xilinx ISE를 사용하여 합성 및 구현된다.
• Wireshark를 통해 수집한 네트워크 트래픽 트레이스에 ClamAV 데이터베이스의 2,500개 서명이 추가되어 테스트에 사용된다.
• 실제 조건에서 처리량, 장치 활용도, 전력 소비 기반으로 성능이 평가된다.

실험 결과

연구 질문

• RQ1 FPGA 기반 하드웨어 가속이 침입 탐지 시스템에서 서명 기반 패턴 매칭의 처리량을 뚜렷이 향상시킬 수 있는가?
• RQ2 지연 시간과 자원 사용 측면에서 제안된 하드웨어 설계는 소프트웨어 기반 구현과 비교해 어떻게 성능을 내는가?
• RQ3 표준 FPGA 플랫폼에서 하드웨어 가속 웨이-만버 패턴 매칭기의 최대 달성 가능한 처리량은 얼마인가?
• RQ4 블록 램, DSP 슬라이스, 논리 요소와 같은 FPGA 자원을 얼마나 효율적으로 활용하는가?
• RQ5 실제 워크로드 하에서 하드웨어 구현의 전력 소비 프로파일은 어떠한가?

주요 결과

• 하드웨어 구현은 최대 216 Mbps의 처리량을 달성하여 일반적인 소프트웨어 기반 솔루션보다 뚜렷이 뛰어난 성능을 보였다.
• 낮은 자원 활용도를 보여, 자원이 제한된 환경에서의 구현에 적합함을 입증했다.
• 블록 램과 DSP 슬라이스와 같은 FPGA 전용 자원을 효율적으로 사용함으로써 낮은 전력 소비를 유지했다.
• ClamAV 서명 2,500개가 포함된 실제 네트워크 트레이스를 사용한 평가로, 실질적인 침입 및 악성코드 탐지 시나리오에서 시스템의 효과성을 확인했다.
• 일般적인 CPU 기반 패턴 매칭 대비 처리 지연 시간을 줄여 실시간 위협 탐지가 가능하게 했다.
• 확장 가능하고 재구성 가능한 구조를 갖추어, 핵심 논리 재설계 없이도 서명 데이터베이스 업데이트를 지원한다.