网络环境信息感知的线速DPI研究

深度分组检测(DPI)是保障网络信息安全的基本手段与关键技术之一，针对现有的DPI理论与算法以静态随机数据为假设检测对象，不能反映真实网络流量的变化，不能理解复杂的协议和应用层语义问题，提出了网络环境信息感知的检测模型与自适应网络数据流的检测算法。从实际网络连接层环境（流量属性、特点及其变化）与应用层协议语义环境（各种网络协议、协议承载内容的变化与分布、应用层协议分析及语义等等）两方面研究各个环境因素对DPI检测速度与检测准确性的影响，揭示网络环境信息对DPI性能的影响规律。提出并采用环境特征自动获取、可编程状态机、语义决策树、增量式自动机的技术路线，解决现有的DPI "语义失真"及"速度与性能之间的矛盾"问题。本课题的研究成果将有利于环境信息感知的DPI理论创新与实践发展，同时，DPI相关理论与技术已在网络服务提供商、企业界及政府部门得到了广泛而深入的应用，本课题的研究具有广阔的应用前景

项目针对现有的DPI 理论与算法以静态随机数据为假设检测对象，不能反映真实网络流量的变化，不能理解复杂的协议和应用层语义问题，提出了网络环境信息感知的检测模型与自适应网络数据流的检测算法。. 网络连接层环境方面，对应用层流量特征、协议分布及其变化规律进行了研究，发现应用层流量及其承载协议随时间的变化既有整体分布不平衡性——少数协议传送着大部分的网络应用层流量；又有局部波动性——某些不常见的协议在某些时间窗口内，具有突发的大量流量。项目将流量的统计规律与算法设计相融合，提出了流量环境感知的分类方法。相关实验数据表明，在状态空间相当的情况下利用应用层流量特征及协议分布及变化规律，DPI速度可提高5-10倍以上。. 应用层协议语义环境方面，网络数据流的首字符从语法层面和语义层面具有重要的识别意义。项目总结已有的DPI系统建立匹配系统的处理过程并对此过程进行了修改，根据网络流首字符的不同（首字符是字符集的全集还是子集）提出了两种不同的对模式分组策略，将现有DPI系统的匹配性能提高到10倍左右，并且具有与现有DPI系统相同的识别效果，分析结果表明，加入网络应用的语法含义能进一步的提高匹配性能。. 算法状态空间压缩方面，高速的网络环境中，大部分应用都是采用基于DFA的匹配技术进行实时深度包检测的。然而，DFA存在着状态膨胀的问题。对DFA进行压缩是解决其存储空间开销过大的一种解决思路。项目从一个新的观点来考虑冗余边压缩问题，提出新的压缩算法，压缩后的自动机的匹配速度是DFA匹配速度的50%～60%，空间消耗可减少两个数量级。. 基于可编程状态机的模型设计与优化方面，状态封包检查(SPI)和内容过滤消耗最多的处理带宽,对于DPI安全解决方案而言，报头分解和有效载荷模式匹配能力是一个必要条件， 还需具有协议状态跟踪能力。通信协议通常有几种状态，包括会话建立状态、已建立状态和结束状态。当协议是分层的时，状态转换变得更加复杂，最有效解决方案是采用一个基于PSM（Programmable State Machine）的内容检查引擎。我们研究设计了一个基于CUDA的内存检测引擎并行了优化， 1）优化存储器访问；2）优化线程配置。实验结果表明，通过GPU 加速能获得20倍左右的加速性能。

内容获取失败，请点击重试