네트워크 침입방지 시스템을 위한 고속 패턴 매칭 가속 시스템
A High-speed Pattern Matcing Acceleration System for Network Intrusion Prevention Systems
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
패턴 매칭(Pattern Matching)은 네트워크 침입방지 시스템에서 가장 중요한 부분의 하나며 많은 연산을 필요로 한다. 날로 증가되는 많은 수의 공격 패턴을 다루기 위해, 네트워크 침입방지 시스템에서는 회선 속도로 들어오는 패킷을 처리 할 수 있는 다중 패턴 매칭 방법이 필수 적이다. 본 논문에서는 현재 많이 사용되고있는 네트워크 침입방지 및 탐지 시스템인 Snort와 이것의 패턴 매칭 특성을 분석한다. 침입방지 시스템을 위한 패턴 매칭 방법은 다양한 길이를 갖는 많은 수의 패턴과 대소문자 구분 없는 패턴 매칭을 효과적으로 다룰 수 있어야 한다. 또한 여러 개의 입력 문자들을 동시에 처리 할 수 있어야 한다. 본 논문에서 Shift-OR 패턴 매칭 알고리즘에 기반을 둔 다중 패턴 매칭 하드웨어 가속기를 제시하고 여러 가지 가정 하에서 성능 측정을 하였다. 성능 측정에 따르면 제시된 하드웨어 가속기는 현재 Snort에서 사용되는 가장 빠른 소프트웨어 다중 패턴 매칭 보다 80배 이상 빠를 수 있다.
Abstract
Pattern matching is one of critical parts of Network Intrusion Prevention Systems (NIPS) and computationally intensive. To handle a large number of attack signature patterns increasing everyday, a network intrusion prevention system requires a multipattern matching method that can meet the linespeed of packet transfer. In this paper, we analyze Snort, a widely used opensource network intrusion prevention/detection system, and its pattern matching characteristics. A multipattern matching method for NIPS should efficiently handle a large number of patterns with a wide range of pattern lengths and case insensitive patterns matches. It should also be able to process multiple input characters in parallel. We propose a multipattern matching hardware accelerator based on Shift-OR pattern matching algorithm. We evaluate the performance of the pattern matching accelerator under various assumptions. The performance evaluation shows that the pattern matching accelerator can be more than 80 times faster than the fastest software multi-pattern matching method used in Snort.
참고문헌 (24)
- "Code Red worm exploiting buffer overflow in IIS indexing service DLL" (2002)
- "MS-SQL Server Worm" (2003)
- "침입방지시스템 기술 현황 및 전망", 통권(1098호) (2003)
- "Intrusion Prevention System Design" (2004)
- "Generating realistic workloads for network intrusion detection systems" (2004)
- "Exclusion-based Signature Matching for Intrusion Detection" (2002)
- "Towards Faster String Matching for Intrusion Detection or Exceeding the Speed of Snort" (2002)
- "Deterministic Memory-Efficient String Matching Algori- thms for Intrusion Detection" (2004)
- "Efficient string matching : An aid to bibliographic search", 18(6), pp.333~340 (1975)
- "AGREP - A Fast Approximate Pattern-Matching Tool" (1992)
- "Fast Regular Expression Matching using FPGAs" (2001)
- "Assisting Network Intrusion Detection with Reconfigurable Hard- ware" (2002)
- "Implementation of a Content-Scanning Module for an Internet Firewall"
- "Granidt:Towards Gigabit Rate Network Intrusion Detection Technology" (2002)
- "Specialized Hardware for Deep Network Packet Filtering" (2002)
- "Fast, Large-Scale String Match for a 10Gbps FPGA-based Network Intrusion Detection System" (2003)
- "Pre-decoded CAMs for Efficient and High-Speed NIDS Pattern Matching" (2004)
- "Deep Packet Inspection Using Parallel Bloom Filters" (2003)
- "A New Approach to Text Searching" (1992)
- "^A Power-Optimized 64- bit Priority Encoder Utilizing Parallel Priority Look-Ahead" (2004)
- "Defcon Capture the Flag: Defending Vulnerable Code from Intense Attack" (2003)
- "Capture the RootFu!, The Shmoo Group"
- "Architecture Software Developer's Manual, Volume 3: System Programming Guide" (2004), Intel
- "The Implementation of a 2-core Multi-Threaded Itanium Family Processor" (2005)