12、基于DPDK的TLS预过滤器加速入侵检测系统分析

基于DPDK的TLS预过滤器加速入侵检测系统分析

1. TLS流量分析

在网络流量中，TLS（传输层安全协议）流量的存在对入侵检测系统（IDS）的处理性能有着重要影响。通过对TLS流量的经验累积分布函数（ECDF）分析可知：
- ECDF图分别以字节（图3b）和数据包（图3a）为单位绘制。X轴以对数尺度显示平均TLS流长度，Y轴显示TLS流的比例。Y轴数据点以1%递增，最后包含99%、99.9%、99.99%和100%的比例值。
- 从ECDF函数可以看出，例如长度为100个数据包及以上的TLS流平均比所有数据集中90%的TLS流更长。
- 进一步的流量分析表明，99%的TLS流相当短，每个流约有1000个数据包，而顶部1%的流可能非常长。

基于以上分析，旁路TLS流量对加速IDS处理非常有益。由于TLS流较短，必须尽快检测包含加密数据的数据包，以避免到达IDS系统的接收缓冲区。同时，TLS旁路表必须能够快速修改流条目。

2. DPDK TLS预过滤器概述

由于实际网络流量中加密连接的广泛使用，使用TLS预过滤器旁路TLS流量是一个有价值的用例。这里选择Suricata作为IDS进行实验，原因如下：
- 高性能多线程模型。
- 易于扩展。
- 可以扩展Suricata数据包捕获模块现有的DPDK实现。

DPDK驱动程序不断轮询网卡（NIC）以获取新数据包，而不是使用中断将数据包传递到应用程序。这对于繁忙网络来说是一种高性能策略，但会增加CPU负载。

2.1 系统架构

系统的高层架构如图4所示，其工作流程如下：
1. 被监控网