基于DMA_ring的高速網絡報文捕獲機制的實現及應用.pdf

1、入侵檢測系統(tǒng)是一種軟件與硬件結合，通過分析網絡或主機上發(fā)生的事件來發(fā)現其中的安全隱患機制。隨著近幾年網絡攻擊的事故頻頻出現，影響范圍越來越廣泛，入侵檢測系統(tǒng)得到越來越多的重視，成為網絡安全方案的重要組成部分。 基于網絡的入侵檢測系統(tǒng)以網絡數據作為原始的數據源，實時的分析網絡上的通信。與基于主機的入侵檢測相比，基于網絡的入侵檢測系統(tǒng)已經成為入侵檢測的主流。但是隨著網絡帶寬飛速發(fā)展，流量壓力不斷增加，傳統(tǒng)基于網絡的入侵檢測系統(tǒng)面臨著

2、高速網絡環(huán)境帶來的挑戰(zhàn)。 網絡報文捕獲的效率不高是傳統(tǒng)基于網絡的入侵檢測系統(tǒng)所面臨的難題。本文試圖在現有主流硬件設備的基礎上盡可能提高網絡報文捕獲效率，這方面國際上有許多先進的技術，其核心是緩存，零拷貝和對系統(tǒng)中斷的控制，其中比較著名的有NAPI，PF ring等。 本文采用的DMA＿ring 是一種 Linux 平臺下高效的網絡報文捕獲技術。A． Biswas<'[1]>總結之前零拷貝技術和半輪詢技術的發(fā)展，設計出DM

3、A-ring網絡報文捕獲機制。我們的工作建立在他的工作基礎之上。 本文所做的主要工作如下： 在真實網絡環(huán)境下實現了DMA＿ring，并在此基礎上對其在網絡入侵檢測中的應用進行了研究。 DMA＿ring分為兩個部分。一部分工作在內核空間，將網卡捕獲的報文以DMA傳輸的方式傳輸到一個環(huán)狀緩存，然后用戶空間通過MMAP調用這個緩存，將其重定向到用戶空間，從而實現數據的零拷貝。另一部分工作在用戶空間，它可以根據當前報文傳

4、輸量確定采用中斷方式或者輪詢方式接收網絡報文，在報文流量較小的時候采用中斷機制，在大量報文傳輸的情況下采用輪詢機制。這種半輪詢機制可以有效地利用系統(tǒng)資源，使現有設備發(fā)揮出更好的性能。DMA＿ring采用新的算法，對當前報文流量進行比較準確的估計，從而可以避免因為網絡流量的不穩(wěn)定帶來的對網絡平均流量的錯誤判斷和系統(tǒng)工作模式的頻繁切換，提高系統(tǒng)的性能。 在A．Biswas工作的基礎上，我們在自己的實驗環(huán)境中實現了這一技術，把它從Re

5、dhat8定制內核移植到純凈內核中。這樣使它有著更廣泛的適用性，一定程度上改善了其可移植性差的缺點。移植性的加強，可以使它更方便的應用于其它版本的Linux系統(tǒng)中，以及嵌入式Linux設備上，為該機制跨平臺的研究和進一步的改進奠定了基礎。比如，我們可以為內核添加實時中斷等新的控制機制，進一步提高報文捕獲系統(tǒng)的性能。在上述工作的基礎上，我們對系統(tǒng)的性能進行了測試。A．Biswas在其文章中只介紹了使用64比特數據包對該機制進行測試的結果<

6、'[6]>，我們測試了新機制在捕獲不同大小不同流量的網絡報文時的丟包率，能容忍的最大網絡流量以及CPU占用率，并與未采用該機制的網絡入侵檢測系統(tǒng)進行了對比，然后對結果進行了分析。 之后我們嘗試將該機制嵌入到標準報文捕捉庫Libpcap中，使之不再是一個單獨的報文捕獲機制，這樣當用戶空間運行基于Libpcap的網絡入侵檢測系統(tǒng)(如Snort)時，該機制將被調用，從而成為完整的網絡入侵檢測系統(tǒng)的一部分。為后續(xù)的報文分析等工作，建立基