[논문 리뷰] Detecting Heavy Hitters in the Data-plane

Belma Turkovic, Jorik Oostenbrink외 1명|arXiv (Cornell University)|2019. 02. 19.

Network Security and Intrusion Detection참고 문헌 1인용 수 7

한 줄 요약

이 논문은 P4 프로그래머블 데이터 플레인에서 실시간으로 무거운 홀더를 탐지하기 위해 슬라이딩 윈도우 기반 접근 방식을 제안하며, 새로운 Gated Sketch 데이터 구조와 조정 가능한 슬라이딩 윈도우 메커니즘을 사용하여 메모리 액세스 횟수와 가짜 양성 결과를 최소화한다. 동일한 메모리 용량을 사용할 때 Count-Min Sketch보다 최대 2배 낮은 가짜 양성 결과를 달성하면서도 프로그래머블 스위치에서 높은 정확도와 낮은 처리 오버헤드를 유지한다.

ABSTRACT

The ability to detect, in real-time, heavy hitters is beneficial to many network applications, such as DoS and anomaly detection. Through programmable languages as P4, heavy hitter detection can be implemented directly in the data-plane, allowing custom actions to be applied to packets as they are processed at a network node. This enables networks to immediately respond to changes in network traffic in the data-plane itself and allows for different QoS profiles for heavy hitter and non-heavy hitter traffic. Current interval-based methods that flush the whole counting structure are not well-suited for programmable hardware (the data-plane), because they either require more resources than available in that hardware, they do not provide good accuracy, or require too many actions from the control-plane. A sliding window approach that maintains accuracy over time would solve these issues. However, to the best of our knowledge, the concept of sliding windows in programmable hardware has not been studied yet. In this paper, we develop streaming approaches to detect heavy hitters in the data-plane. We consider the problems of (1) adopting a sliding window and (2) identifying heavy hitters separately and propose multiple memory- and processing-efficient solutions for each of them. These solutions are suitable for P4 programmable hardware and can be combined at will to solve the streaming variant of the heavy hitter detection problem.

연구 동기 및 목표

• 기존의 간격 기반의 무거운 홀더 탐지 기법이 주기적인 컨트롤 플레인 플러시에 의존하고 고가짜 양성 결과 및 탐지 지연 문제를 겪는 점을 해결하기 위해.
• 실시간으로 무거운 홀더 플로우를 탐지하기 위한 메모리 및 처리 효율적인 솔루션을 설계하여, 오직 최근 트래픽만 추적되도록 보장하기 위해.
• 메모리 액세스 횟수를 최소화하면서도 장기적으로 높은 정확도를 유지할 수 있도록 조정 가능한 하드웨어 인식 기반 접근 방식을 개발하기 위해.
• 기존의 슬라이딩 윈도우 기법이 제한된 메모리와 엄격한 패킷당 처리 예산을 가진 P4 하드웨어 제약 조건과 호환되지 않는 점을 해결하기 위해.
• 슬라이딩 윈도우 유지 및 주파수 추정을 위한 다수의 모듈식이고 조합 가능한 솔루션을 제공하여 최적의 성능을 달성할 수 있도록 하기 위해.

제안 방법

• 충돌과 가짜 양성 결과를 줄이기 위해 깊이가 증가함에 따라 테이블 크기가 감소하고 임계값 기반 필터링을 적용한 Count-Min Sketch의 변종인 Gated Sketch를 도입한다.
• 제어 플레인 간섭 없이 자동으로 오래된 패킷 카운트를 만료시키는 슬라이딩 윈도우 메커니즘을 사용하며, 순차적 플러시 또는 하이브리드 윈도우 기법을 활용한다.
• 패킷당 메모리 액세스 횟수를 최소화하도록 슬라이딩 윈도우 로직을 설계하여, 100Gbps 스위치와 같은 고속 스위치와의 호환성을 확보한다.
• 깊이에 따라 크기가 달라지는 해시 테이블 세트와 임계값을 사용하여 고용량 플로우의 정확한 추적을 우선시하면서도 낮은 수요 플로우는 조기에 필터링한다.
• 메모리 할당 및 윈도우 깊이 조정이 가능하게 하여 정확도, 메모리 사용량, 처리 오버헤드 간의 균형을 조정할 수 있도록 유연성을 제공한다.
• CAIDA 네트워크 트레이스를 사용하여 접근 방식을 평가하고, 다양한 윈도우 크기와 임계값 설정에서 Count-Min Sketch 및 기존의 슬라이딩 윈도우 기법과 비교한다.

실험 결과

연구 질문

• RQ1 슬라이딩 윈도우 메커니즘이 P4 프로그래머블 데이터 플레인에서 효율적으로 작동하여 실시간 정확도를 유지할 수 있는가?
• RQ2 무거운 홀더 탐지에서 낮은 가짜 양성 결과를 유지하면서도 메모리 사용량과 처리 오버헤드를 최소화할 수 있는가?
• RQ3 동일한 메모리 예산 하에서 Gated Sketch는 표준 Count-Min Sketch보다 얼마나 더 낮은 가짜 양성 결과를 달성할 수 있는가?
• RQ4 하드웨어 제약 조건이 있는 환경에서 윈도우 크기, 임계값 설정, 탐지 정확도 간의 상호 교환 관계는 어떠한가?
• RQ5 제어 플레인 간섭 없이 자율적으로 작동할 수 있도록 슬라이딩 윈도우 메커니즘을 설계할 수 있는가? 이를 통해 메모리 플러시 불일치 문제를 피할 수 있는가?

주요 결과

• 동일한 메모리 양을 사용할 때 Gated Sketch는 표준 Count-Min Sketch 대비 가짜 양성 결과를 2배 감소시킨다.
• 순차적 플러시를 사용하는 슬라이딩 윈도우 접근 방식은 장기적으로도 높은 정확도를 유지하며, 큰 윈도우 크기(N = 2^19)에서도 가짜 양성 결과를 10% 미만으로 줄여주며, 주기적 플러시 대비 최대 80%까지 가짜 양성 결과가 증가하는 것과 대비된다.
• 하이브리드 윈도우 방법은 다양한 CAIDA 트레이스에서 95% 신뢰구간을 확보하면서도 최소한의 가짜 양성 결과를 기록하여 실제 트래픽 패턴 하에서도 뛰어난 강건성을 입증한다.
• 제안된 솔루션은 조정 가능하다: 메모리 할당을 늘리면 패킷당 처리 시간을 늘리지 않고도 정확도가 향상된다.
• 상수 시간의 포인트 쿼리를 지원하며 P4 하드웨어와 호환되며, 평균적으로 패킷당 하나의 읽기/수정/쓰기 액세스만 필요로 한다.
• 컨트롤 플레인 간섭 없이 메모리 플러시를 수행할 필요가 없어지며, 이로 인해 일관성 문제를 피하고 고속 스위치 환경에서의 확장성 향상이 가능하다.