鸿 网 互 联 www.68idc.cn

当前位置 : 服务器租用 > 电脑学堂 > 网吧技术 > >

利用并行处理技术提升IPS产品性能

来源:互联网 作者:佚名 时间:2015-02-08 08:13
最近几年,IPS产品成为安全产品市场新的热点,不仅保持了每年100%以上的市场增长率,而且应用领域不断扩大,应用技术也逐步普及。与传统的IDS旁路接入不同,IPS产品采用inline工作方式,即对接收的数据进行检测,然后按照其目的转发,这与安全网关类产品如防

最近几年,IPS产品成为安全产品市场新的热点,不仅保持了每年100%以上的市场增长率,而且应用领域不断扩大,应用技术也逐步普及。与传统的IDS旁路接入不同,IPS产品采用inline工作方式,即对接收的数据进行检测,然后按照其目的转发,这与安全网关类产品如防火墙、VPN等非常相似。这种工作方式决定了IPS产品除了要有准确的检测能力,还要有与应用网络相适应的性能要求。

实际上自IPS产品诞生以来,一直采用协议识别和攻击特征模式匹配等成熟技术,困扰其应用范围的主要是性能要求。目前的防火墙达到千兆线速、4G、甚至10G转发能力已属平常,但IPS要实现这一性能绝非易事。在IPS中不仅需要检查数据报文的头部,还要针对具体的应用协议检查数据报文的内容,这就使得在IPS中五元组相同的数据报文也不能“加速处理”,也就是说在IPS处理数据报文的整个路途中没有“捷径”,IPS需要对流经自身的每一个报文进行逐一检测。这样IPS成为CPU资源的主要耗费者,其性能很大程度上取决于硬件处理器的处理能力。

使用硬件内容加速卡来协助处理类似正则表达式查找的工作,可以起到局部加速作用,但整体效果有限,因为类似对TCP流状态的跟踪、各种应用协议的识别、策略的查找以及事件的统计和记录等等繁重工作还是要依靠CPU来处理。

近年来多核处理器的发展为并行处理技术的应用提供了广阔的空间,在一个处理器内部集成多个内核(独立运算单元)已日趋成熟,比较有代表性的商业化产品是RMI公司的XLR系列线程处理器,它集成了多达8个内核。在多核处理器硬件平台上,可以利用并行处理技术来提升IPS产品性能,但是实际性能的提升取决于IPS并行化的方法及其并行化的程度,不幸的是IPS软件的并行化远比硬件增加1个或几个物理内核要复杂得多,这涉及到操作系统并发工作的模式、流量的分担与负载、IPS引擎的并行检测、配置的同步与竞争控制、事件统计以及运行态调试等等问题。以下我们将对这些IPS并行化中的问题逐一探寻。

首先需要IPS系统软件(这里假定IPS系统是一个运行于应用层的程序,如果将IPS做为内核模块嵌入到操作系统中则需要考虑的问题会更多一些)的载体-操作系统本身支持并行化,也即操作系统有稳定的SMP版本。操作系统在多核处理器硬件平台上一般有两种构架,一种是SMP方式,也称为同构方式(见图:SMP方式示意图,以4核为例),另一种为AMP方式,也称为异构方式(见图:AMP方式示意图,以4核为例)。

SMP方式示意图

AMP方式示意图

网友评论
<