基于FPGA面向典型應用的安全防護系統(tǒng)研究與設計.pdf

1、隨著網絡的發(fā)展和普及，基于網絡的應用技術、模式逐漸成熟，尤其是在云計算日趨完善的大背景下，更多的公司、個人選擇在線系統(tǒng)作為商業(yè)、生活的一部分。隨之而來，網絡攻擊行為不斷增加，帶來的危害日趨嚴重，成為任何網絡系統(tǒng)所要面對的首要問題?，F(xiàn)在的網絡攻擊手段以應用層、混合性攻擊為主，對于這種攻擊方式，采用的主要識別手段是深度內容檢測(DPI)，這種技術深入到數(shù)據(jù)包負載對內容進行檢測，與已知的攻擊指紋特征進行模式匹配以識別非法行為，具備較高的識別率

2、和準確性。但深度內容檢測是一項時間復雜度、空間復雜度都比較大的工作，時間、資源消耗與規(guī)則庫大小成線性關系，對設備性能有很高的要求。傳統(tǒng)的軟件系統(tǒng)受體系結構的制約，往往難以勝任高速網絡環(huán)境下的安全檢測任務，導致安全設備成為系統(tǒng)的瓶頸，安全性的提高以應用性的降低為代價，迫切需要一種新的系統(tǒng)平臺架構。
　　 半導體技術的發(fā)展與成熟帶來了硬件化的解決方案，可編程邏輯器件以其優(yōu)越的性能、較高的靈活性、低廉的成本逐漸成為時間敏感計算的上佳解

3、決方案，在通信、宇航、汽車、工業(yè)控制等越來越多的領域得到了廣泛的應用，也成為使用硬件對數(shù)據(jù)包掃描進行加速、構造安全過濾設備的良好選擇。在本文中，設計出一種集成式的片上防火墻與入侵檢測系統(tǒng)聯(lián)動模型，使用FPGA（現(xiàn)場可編程邏輯門陣列）構建專用的安全過濾芯片，融合包頭過濾與深度內容檢測技術，應用經典的Snort入侵檢測規(guī)則，將掃描功能實施于網卡處，以獨立子系統(tǒng)的方式為各種典型應用提供針對性的安全防護，有效降低安全過濾的延遲，方便系統(tǒng)升級與修

4、改，是對網絡防護體系進行創(chuàng)新的有益嘗試。
　　 本文首先介紹了安全防護系統(tǒng)的研究現(xiàn)狀，分析目前體系架構的利弊，探討對其進行改進的必要性與方向，之后重點研究以下內容：1、防火墻與入侵檢測聯(lián)動的必要性以及實現(xiàn)的技術途徑，并探討集成式片上安全防護模型。2、NetFPGA的配置、接口與功能，以及適合于高速網絡數(shù)據(jù)處理的特點，并以此為硬件平臺，構建安全過濾芯片，應用Snort入侵檢測規(guī)則，構建集包頭過濾和深度內容檢測于一體的安全防護系統(tǒng)；

5、3、根據(jù)Snort規(guī)則同時包含普通字符串與PCRE正則表達式的特點，分別討論兩者所用的面向FPGA的模式匹配算法的異同，并針對安全過濾的特殊需求，提出深度內容檢測的實現(xiàn)算法與結構；4、將包頭過濾、深度內容檢測、規(guī)則接口、并行控制整合于一體，設計通用安全檢測平臺，方便規(guī)則的更新與擴展。
　　 隨后，詳細介紹各個模塊的細節(jié)，包括線速包頭過濾結構，普通字符串匹配算法的FPGA實現(xiàn)與存儲結構，PCRE正則表達式的非限定性有限狀態(tài)自動機結