一种基于NP的深度检测防火墙新架构.pdfVIP

第 23卷 第 4期 电 力 学 报 VO1．23 NO．4 2008年 8月 jouRNALOFELECTRICPOWER Aug． 2008 文章编号 ： 1005—6548(2008)04—0314—02 一 种基于NP的深度检测防火墙新架构 王晓雯，尹少平 (山西大学工程学院，太原 030013) 摘 要 ：深度检 测 防火墙 (DIF)就 是一种 有效 的解 决 网络供 给方案 。简要讨论 了DIF 的特性 的 基础 上 ，通过 分析 DIF检测技 术 实现 的处理 要 求 ，首先介 绍 并评 估 了一种基 于 ASIC 的 DIF 架构 的设 计机理 及漏 洞 ，作 为改进 ，设计 了一种 基 于 NP的 DIF新 架构 。理论 分析说 明基 于 NP 的 架构 在性 能 、灵 活性和 扩展 能力 方面更有优 势 ，有利 于 DIF技 术 的进 一步 完善 。 关键词 ：深度检 测 防 火墙 ；入侵检 测 系统 ；串连模 式 ；网络 处理 器 ；专 用集成 电路 中 图分 类号 ：TP309 文献标识 码 ：A 今天的网管人员越来越关心网络的深度防御，以 等几个方面。要设计具有高可用性的DIF在技术上 应对蠕虫、特洛伊木马、邮件病毒和利用系统脆弱性的 需要面对很大的挑战。DIF的负荷主要是 由它的深 攻击。深度检测防火墙 (DIF)就是一种有效的解决方 度检测功能所决定的，因为DIF不仅仅是检测数据 案。不像传统防火墙，DIF不仅要检测数据包头，还要 包头还要检测包 的内容 ，必然是一个潜在的网络瓶 检测高层协议的数据包内容。对DIF而言要实现各种 颈 ，会增加数据包延迟 ，降低网络的效率。DIF必须 类型的检测技术就需要很高的处理能力。 与大容量的网络流量保持同步，尤其是当加载了数 量庞大的检测特征库时，设计不够完善的DIF无法 1 DIF功能特性 支持这种响应速度。误报率和漏报率也需要DIF认 DIF是为网络安全提供 了一种新 的解决方案。 真面对。在繁忙的网络当中，如果以每秒需要处理十 DIF是一种深入应用层进行主动积极 的入侵检测防 条警报信息来计算 ，DIF1h至少需要处理36000条 范系统 ，它部署在网络的进出口处 ，当检测到攻击企 警报，一天就是 864000条。如果系统的处理速度不 图后 ，它会 自动地将攻击包丢掉或采取措施将攻击 够 ，就可能导致合法流量也被意外拦截。绝大多数高 源阻断 。这样 ，在新漏洞出现后 ，只需要撰写一个过 端DIF产品供应商都通过使用 自定义硬件平台，一 滤规则 ，就可以防止此类攻击的威胁，为那些未添加 般是网络处理器 NP和专用集成 电路ASIC芯片来 补丁或配置不当的服务器提供保护。 提高 DIF的运行效率口]。而在选择高性能硬件平台 DIF必备功能可 以归纳为以下几方面口]：(1)深 的基础上，也要精心设计 DIF的框架结构 ，这对改 度包检测。DIF能够从网络层到应用层全面检测数 进DIF性能同样至关重要。 据包 内容 ，从而能够检测到隐藏在应用层中的恶意 3 基于 ASIC的 DIF架构 攻击代码。(2)串连模式。DIF必须串连安装在两个 网络的连接通道上 ，所有进 出的数据包都要经过 基于ASIC的DIF架构n原理如图1所示。 DIF的检测 ，(3)实时检测。