[论文解读] A Survey on Deep Packet Inspection for Intrusion Detection Systems

Tamer Abuhmed, Aziz Mohaisen+1 more|ArXiv.org|Mar 1, 2008

Network Packet Processing and Optimization参考文献 41被引用 57

一句话总结

本文综述了用于入侵检测系统（IDS）的深度包检测（DPI）技术，重点分析了算法、实现挑战和系统架构。评估了基于软件和硬件的DPI解决方案，强调使用有限状态机（如Aho-Corasick）进行高速模式匹配，以及采用压缩表示方法（如CD2FA），与未压缩的DFA相比，内存使用率降低10%的同时实现双倍吞吐量。

ABSTRACT

Deep packet inspection is widely recognized as a powerful way which is used for intrusion detection systems for inspecting, deterring and deflecting malicious attacks over the network. Fundamentally, almost intrusion detection systems have the ability to search through packets and identify contents that match with known attacks. In this paper, we survey the deep packet inspection implementations techniques, research challenges and algorithms. Finally, we provide a comparison between the different applied systems.

研究动机与目标

• 分析在实时入侵检测中部署深度包检测（DPI）的核心挑战。
• 评估DPI系统中软件与硬件实现之间的性能权衡。
• 识别提升DPI吞吐量和内存效率的关键算法与架构创新。
• 基于其底层算法、硬件平台和实现吞吐量，对比现有DPI系统。
• 探讨DPI系统的设计目标，包括确定性性能、内存效率、动态签名更新和可扩展性。

提出的方法

• 调研现有的DPI技术，包括基于软件的（如SNORT、Bro）和基于硬件的（如FPGA、NP、TCAM）实现。
• 分析有限状态机（FSM）模型（如DFA、D2FA、CD2FA）在高效多模式匹配中的应用。
• 评估Aho-Corasick算法及其压缩变体（如压缩DFA），以减少内存使用并提升处理速度。
• 提出基于内容寻址的D2FA（CD2FA），通过引入带标签的状态标识符，缩短默认路径长度，提升多字符转移的处理效率。
• 使用吞吐量（最高达40 Gbps）和内存消耗等指标进行性能基准测试，对比压缩与未压缩FSM。
• 评估TCAM和FPGA等硬件加速器在高速签名匹配和动态更新支持方面的表现。

实验结果

研究问题

• RQ1 基于DPI的入侵检测系统中的主要性能瓶颈是什么？
• RQ2 不同的有限状态机表示方法（如DFA、D2FA、CD2FA）如何影响内存使用和匹配速度？
• RQ3 在吞吐量和可扩展性方面，软件实现与硬件实现之间的权衡是什么？
• RQ4 像CD2FA这样的压缩FSM表示方法在减少内存占用的同时，如何保持高吞吐量？
• RQ5 对于下一代DPI系统，哪些设计目标（如动态更新、内存效率）最为关键？

主要发现

• SNORT中的字符串匹配操作消耗高达70%的执行时间和80%的指令，凸显了签名匹配带来的性能负担。
• 尽管Aho-Corasick算法在多模式匹配中表现良好，但因存在过多的失败转移而造成高内存使用。
• 与未压缩DFA相比，压缩DFA表示将内存需求降低了90%，同时仅使用10%的内存便实现了双倍吞吐量。
• CD2FA通过缩短默认路径长度并支持高效的多字符转移，优于未压缩DFA，显著提升了处理速度和内存效率。
• 基于TCAM和FPGA的硬件实现可达到10–40 Gbps的吞吐量，适用于高速网络环境。
• 动态签名更新和确定性性能对实时IDS至关重要，尤其在需要运行时重新配置的硬件系统中。