13、基于TLS预过滤的入侵检测系统加速分析

基于TLS预过滤的入侵检测系统加速分析

1. 分析的旁路方法

对Suricata的7种流量分析方法进行了评估，这些方法仅在数据包捕获模块和旁路策略上有所不同。数据包通过AF PACKET或DPDK接收。
- AF PACKET ：自Linux 2.2起就存在，在Suricata部署中广泛使用，且与Suricata集成良好。Linux 4.8引入的eXpress Data Path (XDP) 能在数据包被内核处理之前进行处理，是AF PACKET数据包捕获接口的有效增强，因此也将其纳入实验。对于Nvidia MLX5网卡，将XDP程序放入网卡驱动，XDP旁路由Suricata通过共享的eBPF键值映射驱动。
- DPDK ：Suricata中的DPDK实现提供了高性能的数据包捕获模块。实验中包含了五种使用DPDK捕获模块的变体：
1. 第一种DPDK变体未激活旁路功能，配置与原始AF PACKET捕获接口相同。
2. 第二种可通过多个触发器旁路流量，其中一个是Suricata引发的TLS加密流量，Suricata在处理完整个TLS握手后旁路TLS流量。
3. 第三种除了基本规则集外，还包含有效负载匹配规则，模拟TLS预过滤器的决策过程。
4. 最后两种是关于新的DPDK TLS预过滤器的优化解决方案，包括无状态和有状态变体。

测试的变体总结如下：
- AF PACKET
- AF PACKET + XDP TLS旁路
- DPDK
- DPDK + 内部TLS旁路
- DPDK + 内部TLS + TLS预过滤器规则旁路 <