[论文解读] Efficient Wu-Manber Pattern Matching Hardware for Intrusion and Malware Detection

Monther Aldwairi, Yahya Flaifel+1 more|arXiv (Cornell University)|Mar 1, 2020

Network Packet Processing and Optimization参考文献 27被引用 7

一句话总结

本文提出了一种针对吴-曼伯模式匹配算法的定制FPGA硬件加速器，专为高速入侵和恶意软件检测而优化。该设计使用Xilinx ISE以Verilog实现，最高可达到216 Mbps的吞吐量，同时降低延迟和资源占用，相较于软件方法在高速网络中的基于特征的威胁检测表现出显著的性能提升。

ABSTRACT

Network intrusion detection systems and antivirus software are essential in detecting malicious network traffic and attacks such as denial-of-service and malwares. Each attack, worm or virus has its own distinctive signature. Signature-based intrusion detection and antivirus systems depend on pattern matching to look for possible attack signatures. Pattern matching is a very complex task, which requires a lot of time, memory and computing resources. Software-based intrusion detection is not fast enough to match high network speeds and the increasing number of attacks. In this paper, we propose special purpose hardware for Wu-Manber pattern matching algorithm. FPGAs form an excellent choice because of their massively parallel structure, reprogrammable logic and memory resources. The hardware is designed in Verilog and implemented using Xilinx ISE. For evaluation, we dope network traffic traces collected using Wireshark with 2500 signatures from the ClamAV virus definitions database. Experimental results show high speed that reaches up to 216 Mbps. In addition, we evaluate time, device usage, and power consumption.

研究动机与目标

• 解决高速网络环境中基于软件的特征匹配所面临的性能瓶颈。
• 降低基于特征的入侵检测和防病毒系统中的延迟和资源消耗。
• 使用FPGA实现一种高效且可重构的吴-曼伯模式匹配算法硬件解决方案。
• 在真实网络流量条件下，从吞吐量、资源利用率和功耗三个方面评估硬件设计。
• 在检测恶意软件和网络攻击方面，证明其可行性并展示相较于软件实现的性能优势。

提出的方法

• 在FPGA上使用Verilog实现吴-曼伯模式匹配算法，利用其并行处理能力。
• 采用多关键字搜索方法，并结合位并行过滤技术，以高效同时匹配多个攻击特征。
• 优化FPGA资源（如块RAM和DSP切片），以最小化面积占用和功耗。
• 使用Xilinx ISE在目标FPGA平台上进行综合与实现。
• 通过Wireshark收集网络流量痕迹，并从ClamAV数据库中增加2,500个特征用于测试。
• 在真实环境条件下，基于吞吐量、设备利用率和功耗对性能进行评估。

实验结果

研究问题

• RQ1 基于FPGA的硬件加速能否显著提升入侵检测系统中基于特征的模式匹配吞吐量？
• RQ2 与基于软件的实现相比，所提出的硬件设计在延迟和资源使用方面表现如何？
• RQ3 在标准FPGA平台上，硬件加速的吴-曼伯模式匹配器的最大可实现吞吐量是多少？
• RQ4 该设计在块RAM、DSP切片和逻辑单元等FPGA资源上的利用效率如何？
• RQ5 在真实工作负载下，该硬件实现的功耗特性如何？

主要发现

• 硬件实现达到216 Mbps的峰值吞吐量，显著优于典型的软件解决方案。
• 设计表现出极低的资源利用率，适用于资源受限环境的部署。
• 由于高效利用FPGA专用资源（如块RAM和DSP切片），系统保持了较低的功耗。
• 使用包含2,500个ClamAV特征的真实网络流量痕迹进行评估，证实了系统在实际入侵和恶意软件检测场景中的有效性。
• 与通用CPU基于的模式匹配相比，FPGA解决方案显著降低了处理延迟，支持实时威胁检测。
• 该实现具有可扩展性和可重构性，可在不重新设计核心逻辑的情况下更新特征库。