基于DMA_ring的高速網(wǎng)絡(luò)報(bào)文捕獲機(jī)制的實(shí)現(xiàn)及應(yīng)用.pdf

1、入侵檢測(cè)系統(tǒng)是一種軟件與硬件結(jié)合，通過(guò)分析網(wǎng)絡(luò)或主機(jī)上發(fā)生的事件來(lái)發(fā)現(xiàn)其中的安全隱患機(jī)制。隨著近幾年網(wǎng)絡(luò)攻擊的事故頻頻出現(xiàn)，影響范圍越來(lái)越廣泛，入侵檢測(cè)系統(tǒng)得到越來(lái)越多的重視，成為網(wǎng)絡(luò)安全方案的重要組成部分。 基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)以網(wǎng)絡(luò)數(shù)據(jù)作為原始的數(shù)據(jù)源，實(shí)時(shí)的分析網(wǎng)絡(luò)上的通信。與基于主機(jī)的入侵檢測(cè)相比，基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)已經(jīng)成為入侵檢測(cè)的主流。但是隨著網(wǎng)絡(luò)帶寬飛速發(fā)展，流量壓力不斷增加，傳統(tǒng)基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)面臨著

2、高速網(wǎng)絡(luò)環(huán)境帶來(lái)的挑戰(zhàn)。 網(wǎng)絡(luò)報(bào)文捕獲的效率不高是傳統(tǒng)基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)所面臨的難題。本文試圖在現(xiàn)有主流硬件設(shè)備的基礎(chǔ)上盡可能提高網(wǎng)絡(luò)報(bào)文捕獲效率，這方面國(guó)際上有許多先進(jìn)的技術(shù)，其核心是緩存，零拷貝和對(duì)系統(tǒng)中斷的控制，其中比較著名的有NAPI，PF ring等。 本文采用的DMA＿ring 是一種 Linux 平臺(tái)下高效的網(wǎng)絡(luò)報(bào)文捕獲技術(shù)。A． Biswas<'[1]>總結(jié)之前零拷貝技術(shù)和半輪詢(xún)技術(shù)的發(fā)展，設(shè)計(jì)出DM

3、A-ring網(wǎng)絡(luò)報(bào)文捕獲機(jī)制。我們的工作建立在他的工作基礎(chǔ)之上。 本文所做的主要工作如下： 在真實(shí)網(wǎng)絡(luò)環(huán)境下實(shí)現(xiàn)了DMA＿ring，并在此基礎(chǔ)上對(duì)其在網(wǎng)絡(luò)入侵檢測(cè)中的應(yīng)用進(jìn)行了研究。 DMA＿ring分為兩個(gè)部分。一部分工作在內(nèi)核空間，將網(wǎng)卡捕獲的報(bào)文以DMA傳輸?shù)姆绞絺鬏數(shù)揭粋€(gè)環(huán)狀緩存，然后用戶空間通過(guò)MMAP調(diào)用這個(gè)緩存，將其重定向到用戶空間，從而實(shí)現(xiàn)數(shù)據(jù)的零拷貝。另一部分工作在用戶空間，它可以根據(jù)當(dāng)前報(bào)文傳

4、輸量確定采用中斷方式或者輪詢(xún)方式接收網(wǎng)絡(luò)報(bào)文，在報(bào)文流量較小的時(shí)候采用中斷機(jī)制，在大量報(bào)文傳輸?shù)那闆r下采用輪詢(xún)機(jī)制。這種半輪詢(xún)機(jī)制可以有效地利用系統(tǒng)資源，使現(xiàn)有設(shè)備發(fā)揮出更好的性能。DMA＿ring采用新的算法，對(duì)當(dāng)前報(bào)文流量進(jìn)行比較準(zhǔn)確的估計(jì)，從而可以避免因?yàn)榫W(wǎng)絡(luò)流量的不穩(wěn)定帶來(lái)的對(duì)網(wǎng)絡(luò)平均流量的錯(cuò)誤判斷和系統(tǒng)工作模式的頻繁切換，提高系統(tǒng)的性能。 在A．Biswas工作的基礎(chǔ)上，我們?cè)谧约旱膶?shí)驗(yàn)環(huán)境中實(shí)現(xiàn)了這一技術(shù)，把它從Re

5、dhat8定制內(nèi)核移植到純凈內(nèi)核中。這樣使它有著更廣泛的適用性，一定程度上改善了其可移植性差的缺點(diǎn)。移植性的加強(qiáng)，可以使它更方便的應(yīng)用于其它版本的Linux系統(tǒng)中，以及嵌入式Linux設(shè)備上，為該機(jī)制跨平臺(tái)的研究和進(jìn)一步的改進(jìn)奠定了基礎(chǔ)。比如，我們可以為內(nèi)核添加實(shí)時(shí)中斷等新的控制機(jī)制，進(jìn)一步提高報(bào)文捕獲系統(tǒng)的性能。在上述工作的基礎(chǔ)上，我們對(duì)系統(tǒng)的性能進(jìn)行了測(cè)試。A．Biswas在其文章中只介紹了使用64比特?cái)?shù)據(jù)包對(duì)該機(jī)制進(jìn)行測(cè)試的結(jié)果<

6、'[6]>，我們測(cè)試了新機(jī)制在捕獲不同大小不同流量的網(wǎng)絡(luò)報(bào)文時(shí)的丟包率，能容忍的最大網(wǎng)絡(luò)流量以及CPU占用率，并與未采用該機(jī)制的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)進(jìn)行了對(duì)比，然后對(duì)結(jié)果進(jìn)行了分析。 之后我們嘗試將該機(jī)制嵌入到標(biāo)準(zhǔn)報(bào)文捕捉庫(kù)Libpcap中，使之不再是一個(gè)單獨(dú)的報(bào)文捕獲機(jī)制，這樣當(dāng)用戶空間運(yùn)行基于Libpcap的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)(如Snort)時(shí)，該機(jī)制將被調(diào)用，從而成為完整的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的一部分。為后續(xù)的報(bào)文分析等工作，建立基