基于并行队列众核平台入侵检测系统.docVIP

基于并行队列众核平台入侵检测系统 　　摘要： 本文通过分析和总结以Suricata为代表的现有的主流并行化入侵检测系统的体系结构，并对Suricata的3种工作方式结合现有tilera系列硬件平台的硬件特点进行了理论分析。提出了众核入侵检测系统的设计要点。并设计了一种基于非统一内存访问与内存池的入侵检测结构。该结构将传统的流水线模式与并发模式相结合，在尽可能少地进行核间通讯的前提下，最大程度地提升了单核的内存使用效率和cache命中率。同时使用共享内存池进一步提高了读写密集情况下的内存使用效率，使用改进的无锁通讯队列保证了核间通讯的效率，使得该架构在众核平台具有很高的实用性，其主要模块的设计思想也具有一定程度上的可移植性。本文最终设计并实现了一个高效的基于众核平台的入侵检测系统。 　　关键词：入侵检测系统； 众核； 流量识别； 并行计算 　　中图分类号： TP393.08 　　文献标志码： A 　　文章编号： 2095-2163（2017）05-0082-05 　　Abstract： In view of the hardware characteristics of the existing tilera series hardware platform， the three kinds of working modes of Suricata are analyzed theoretically in this paper. The main points of the design of the system for the detection of the multicore intrusion are put forward.Based on the main point of the design， this paper proposes an intrusion detection architecture which has nonuniform memory access and large page memory pool. The structure combines the traditional pipelined mode with the concurrent mode， and improves the memory efficiency and cache hit rate of the single core to the greatest extent. At the same time， the use of shared memory pool further improves the memory efficiency of dense reading and writing， which makes the structure has very high practicability in the multicore platform， and the design of the main module also has a certain degree of portability. Consequently， this paper designs and implements an efficient intrusion detection system based on manycore platform. 　　Keywords： identification detection system； manycore； flow recognition； concurrent computation 　　0引言 　　据统计，互联网流量已达到每12个月即会增长一倍，超过了摩尔定律的速度[1]。相比于在未来一定时间将持续快速增长的网络带宽，单一处理器的计算能力却日趋瓶颈。相关人士认为未来芯片的迭代会变得更慢，其间隔可能会达到2.5～3年。目前英特尔最新一代处理器已采用14 nm工艺，正在逐步接近现有处理器架构的物理极限。若按现在的速度继续发展，到21世纪20年代中期，晶?w管的尺寸将仅有单个分子大小，晶体管也将变得非常不稳定，若没有新的技术突破，摩尔定律将会彻底终结。同时，由于单纯提升主频而带来的发热等问题，基于单核、多核处理器的普通网络报文捕获平台的计算性能已经成为大规模网络防火墙、宽带网络入侵检测系统以及高性能路由等网络工程的性能瓶颈。对于现在乃至未来更大规模的高速网络，如何突破普通报文捕获平台的性能瓶颈，研究和实现面向大规模宽带网络的高性能网络数据捕获技术，对并行处理、网络安全、高性能路由器等诸多领域都有着非常重要的意义。 　　作为突破单核、多核性能瓶颈的