21、网络入侵检测系统（NIDS）资源消耗预测与配置优化

网络入侵检测系统（NIDS）资源消耗预测与配置优化

在网络安全领域，网络入侵检测系统（NIDS）扮演着至关重要的角色。然而，NIDS 的资源消耗预测和配置优化是一个复杂且关键的问题，它直接影响着系统的性能和有效性。

1. NIDS 资源消耗的关键因素

在确定 NIDS 合适的资源使用水平时，CPU 负载和内存使用是两个关键因素。

1.1 CPU 负载决策

NIDS 操作员需要在 CPU 负载预算和分析详细程度之间进行权衡。较高的负载预算可以进行更详细的分析，但如果预留的“缓冲空间”过小，当网络流量偏离典型负载时，系统可能会丢包。操作员通常会指定目标 CPU 负载 c 和分位数 q，例如 c = 90% 和 q = 95%，表示要求系统在 95% 的 CPU 采样中，负载保持在 90% 以下。

1.2 内存使用的挑战

确定合适的内存使用水平存在两个主要问题：
- 不可禁用的分析器 ：一些分析器（如 TCP 连接管理）无法合理禁用，且会消耗大量内存。因此，关键在于如何对它们进行参数化，例如设置超时时间。
- 内存消耗难以预测 ：部分分析器的内存需求与连接数量并非直接成比例，这使得其内存消耗难以预测。

为了解决这些问题，我们可以采取以下方法：
- 确定合适的超时值 ：将 TCP 连接分为三类：失败的连接尝试、完全建立并终止的连接以及已建立但未终止的连接。假设每类新连接的到达率恒定，且同一类连接所需的内存大致相同，从而估算出给定内存预算下的合适超时值。