基于DMA_ring的高速網(wǎng)絡(luò)報文捕獲機制的實現(xiàn)及應(yīng)用.pdf

1、入侵檢測系統(tǒng)是一種軟件與硬件結(jié)合，通過分析網(wǎng)絡(luò)或主機上發(fā)生的事件來發(fā)現(xiàn)其中的安全隱患機制。隨著近幾年網(wǎng)絡(luò)攻擊的事故頻頻出現(xiàn)，影響范圍越來越廣泛，入侵檢測系統(tǒng)得到越來越多的重視，成為網(wǎng)絡(luò)安全方案的重要組成部分。 基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)以網(wǎng)絡(luò)數(shù)據(jù)作為原始的數(shù)據(jù)源，實時的分析網(wǎng)絡(luò)上的通信。與基于主機的入侵檢測相比，基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)已經(jīng)成為入侵檢測的主流。但是隨著網(wǎng)絡(luò)帶寬飛速發(fā)展，流量壓力不斷增加，傳統(tǒng)基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)面臨著

2、高速網(wǎng)絡(luò)環(huán)境帶來的挑戰(zhàn)。 網(wǎng)絡(luò)報文捕獲的效率不高是傳統(tǒng)基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)所面臨的難題。本文試圖在現(xiàn)有主流硬件設(shè)備的基礎(chǔ)上盡可能提高網(wǎng)絡(luò)報文捕獲效率，這方面國際上有許多先進的技術(shù)，其核心是緩存，零拷貝和對系統(tǒng)中斷的控制，其中比較著名的有NAPI，PF ring等。 本文采用的DMA＿ring 是一種 Linux 平臺下高效的網(wǎng)絡(luò)報文捕獲技術(shù)。A． Biswas<'[1]>總結(jié)之前零拷貝技術(shù)和半輪詢技術(shù)的發(fā)展，設(shè)計出DM

3、A-ring網(wǎng)絡(luò)報文捕獲機制。我們的工作建立在他的工作基礎(chǔ)之上。 本文所做的主要工作如下： 在真實網(wǎng)絡(luò)環(huán)境下實現(xiàn)了DMA＿ring，并在此基礎(chǔ)上對其在網(wǎng)絡(luò)入侵檢測中的應(yīng)用進行了研究。 DMA＿ring分為兩個部分。一部分工作在內(nèi)核空間，將網(wǎng)卡捕獲的報文以DMA傳輸?shù)姆绞絺鬏數(shù)揭粋€環(huán)狀緩存，然后用戶空間通過MMAP調(diào)用這個緩存，將其重定向到用戶空間，從而實現(xiàn)數(shù)據(jù)的零拷貝。另一部分工作在用戶空間，它可以根據(jù)當(dāng)前報文傳

4、輸量確定采用中斷方式或者輪詢方式接收網(wǎng)絡(luò)報文，在報文流量較小的時候采用中斷機制，在大量報文傳輸?shù)那闆r下采用輪詢機制。這種半輪詢機制可以有效地利用系統(tǒng)資源，使現(xiàn)有設(shè)備發(fā)揮出更好的性能。DMA＿ring采用新的算法，對當(dāng)前報文流量進行比較準(zhǔn)確的估計，從而可以避免因為網(wǎng)絡(luò)流量的不穩(wěn)定帶來的對網(wǎng)絡(luò)平均流量的錯誤判斷和系統(tǒng)工作模式的頻繁切換，提高系統(tǒng)的性能。 在A．Biswas工作的基礎(chǔ)上，我們在自己的實驗環(huán)境中實現(xiàn)了這一技術(shù)，把它從Re

5、dhat8定制內(nèi)核移植到純凈內(nèi)核中。這樣使它有著更廣泛的適用性，一定程度上改善了其可移植性差的缺點。移植性的加強，可以使它更方便的應(yīng)用于其它版本的Linux系統(tǒng)中，以及嵌入式Linux設(shè)備上，為該機制跨平臺的研究和進一步的改進奠定了基礎(chǔ)。比如，我們可以為內(nèi)核添加實時中斷等新的控制機制，進一步提高報文捕獲系統(tǒng)的性能。在上述工作的基礎(chǔ)上，我們對系統(tǒng)的性能進行了測試。A．Biswas在其文章中只介紹了使用64比特數(shù)據(jù)包對該機制進行測試的結(jié)果<

6、'[6]>，我們測試了新機制在捕獲不同大小不同流量的網(wǎng)絡(luò)報文時的丟包率，能容忍的最大網(wǎng)絡(luò)流量以及CPU占用率，并與未采用該機制的網(wǎng)絡(luò)入侵檢測系統(tǒng)進行了對比，然后對結(jié)果進行了分析。 之后我們嘗試將該機制嵌入到標(biāo)準(zhǔn)報文捕捉庫Libpcap中，使之不再是一個單獨的報文捕獲機制，這樣當(dāng)用戶空間運行基于Libpcap的網(wǎng)絡(luò)入侵檢測系統(tǒng)(如Snort)時，該機制將被調(diào)用，從而成為完整的網(wǎng)絡(luò)入侵檢測系統(tǒng)的一部分。為后續(xù)的報文分析等工作，建立基