선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 본 연구에서는 전체적인 시스템 구조에서부터 기본적인 소프트웨어까지의 침입탐지시스템 구현에 대한 가이드라인을 제시하였고 구현한 시스템이 패턴매칭 동작을 정상적으로 수행함을 확인하였다.
- 이 시스템은 Xilinx사의 최신 FPGA인 Virtex-6를 장착한 ML605 Evaluation Kit[10]을 사용하여 설계, 구현하였다. 시스템의 전체적인 구조와 동작 흐름에 대해서 먼저 소개하고, 그 다음에 이러한 구조의 시스템을 ML605 Kit에서 어떻게 구현하였는지에 대해서 설명하고자 한다.
가설 설정
- SDMA 제어기는 분산-집합(Scatter- Gather) DMA를 지원하여 긴 패킷에 대해서 비연속적인 메모리 공간으로 DMA 전송을 가능하게 하며, 프로그램은 이와 관련된 관리 기능도 수행한다. 버퍼의 크기는 이더넷 프레임을 저장하기에 충분하고, 관리하기 쉽도록 2KB로 정하였다. 연속적인 패킷 전송에 대처할 수 있도록 8개의 버퍼를 링 체인으로 구성하여 관리하였다.
제안 방법
- FPGA로 구현되는 시스템은 Xilinx사의 임베디드 개발 도구인 EDK(Embedded Development Kit)의 XPS(Xilinx Platform studio)와 BSB(Base System Builder)를 이용하여 설계하였으며 패턴매칭 엔진은 Verilog 언어로 별도로 설계하여 시스템에 추가하였다. 그리고 FPGA 합성 도구인 Xilinx ISE Design Suite 12.
- frame과 payload의 시작과 끝을 각각 알려주기 위해서 SOF(start of frame), EOF(end of frame), SOP(start of payload), EOP(end of payload) 신호를 제공한다. TEMAC과 MPMC/SDMA 사이의 흐름 제어를 위하여 DST_RDY와 SRC_RDY 신호를 사용한다. 이러한 제어신호를 사용하여 패킷 전송 신호의 변화에 따라서 상태를 변화하여 패턴매칭 모듈로의 입력을 제어하는 유한상태 기계 회로를 설계하였다.
- payload 수신 상태에서 SRC_RDY와 DST_RDY가 동시에 활성화되는 경우에 패킷 입력이 유효하며 이 경우의 패킷 입력을 검사한다. payerload 수신 상태가 되어 패킷이 입력되기 시작하면 입력 인터페이스 모듈에서는 먼저 입력 패킷의 헤더를 검사하여 소스 MAC 주소, 목적지 MAC 주소, 소스 IP 주소, 목적지 IP 주소, 소스 port 번호, 목적지 port 번호 및 프로토콜 필드를 추출하여 관련된 헤더 필드 레지스터에 저장한다.
- 그리고 payload의 길이가 4의 배수가 아닌 경우에는 마지막 데이터는 일부 바이트들이 유효하지 않을 수 있다. 각 바이트의 유효성을 나타내는 REM[0:3] 신호를 사용하여 유효하지 않은 바이트에 대해서는 매칭을 수행하지 않도록 하였다. 패턴매칭 모듈에서 패턴매칭이 성공하면 각 패턴들에 대한 인코딩된 번호가 출력된다.
- 구현한 시스템의 하드웨어는 패킷 헤더 추출과 패턴매칭만 수행하며, 완전한 침입탐지 시스템을 구현하기 위해서는 침입탐지 소프트웨어에서 추출된 헤더를 분석하여 패킷분류를 한 후에 FIFO에 저장된 패턴매칭 결과 중에서 패킷분류 결과와 관련이 없는 것을 폐기하고 관련된 결과만 분석하여 침입탐지를 수행해야 한다. 이러한 소프트웨어의 구현은 향후과제이다.
- 본 연구에서 구현한 시스템은 네트워크 패킷입력을 하드웨어로 캡쳐하여 패턴매칭을 수행하여 소프트웨어로 패턴매칭을 수행할 필요를 없도록 하여 와이어 속도의 침입탐지가 가능하게 한다. 그리고 4바이트 기반의 하드웨어기반 패턴매칭을 구현하여 고속 동작을 수행하도록 하였다. 그리고 FPGA에 내장되는 MicroBlaze 소프트코어 CPU를 사용하여 SoC 형태로 시스템을 구현하였다.
- FPGA로 구현되는 시스템은 Xilinx사의 임베디드 개발 도구인 EDK(Embedded Development Kit)의 XPS(Xilinx Platform studio)와 BSB(Base System Builder)를 이용하여 설계하였으며 패턴매칭 엔진은 Verilog 언어로 별도로 설계하여 시스템에 추가하였다. 그리고 FPGA 합성 도구인 Xilinx ISE Design Suite 12.2를 사용하여 Virtex-6 FPGA를 타겟 디바이스로 하여 합성하였다.
- 그리고 4바이트 기반의 하드웨어기반 패턴매칭을 구현하여 고속 동작을 수행하도록 하였다. 그리고 FPGA에 내장되는 MicroBlaze 소프트코어 CPU를 사용하여 SoC 형태로 시스템을 구현하였다.
- 그리고 실제 네트워크 트래픽에 대해서도 동작을 검증하였다. 실제 네트워크 트래픽의 내용을 확인하기 위하여 패킷분석기 프로그램인 wireshark를 사용하여 스니핑한 결과를 함께 확인하여 구현한 시스템의 동작을 검증하였다.
- 네트워크 인터페이스는 10/100/ 1000 Mbps의 전송속도를 지원하는 이더넷 제어기인 TEMAC (Tri-mode Ethernet MAC) IP를 사용하였다. 네트워크 인터페이스와 메모리 간의 패킷 전송을 위한 DMA 제어를 위하여 MPMC(Multi-Port Memory Controller) IP를 사용하였다. 이 제어기는 64비트 DDR3 SDRAM과 MicroBlaze CPU를 XCL (Xilinx Cache Link)를 통하여 연결하며, 고속 전송을 위하여 데이터용 XCL (DXCL)과 명령어용 XCL (IXCL)을 분리하여 데이터 캐쉬와 명령어 캐쉬와의 전용 채널을 제공한다.
- Katashita 등은[9] 네트워크 입력 패킷에 대해서 패킷분류 및 고정 문자열 패턴에 대해서 바이트 단위로 패턴매칭을 수행하여 결합한 결과를 호스트로 전달하는 침입 탐지 하드웨어를 구현하였다. 네트워크 입력 패킷에 대한 와이어 속도 처리를 가능하도록 하였다. 그렇지만, 고정 문자열에 대한 처리만 수행하는 한계가 있으며, 이 하드웨어는 자체의 프로세서를 갖지 않고 소프트웨어적인 처리는 호스트에서 수행하도록 되어 있다.
- 기존 연구[7]의 NFA 기반 회로는 매 클럭마다 패킷 데이터가 입력되는 것을 가정하여 회로를 설계하였으나, 패턴매칭 모듈 구현에서 SRC_RDY 또는 DST_RDY가 비활성화될 때에는 새로운 데이터가 입력되지 않으므로 NFA의 상태 진행이 정지해야 한다. 따라서 SRC_RDY와 DST_RDY가 동시에 활성화할 때에 Payload_Valid 신호를 생성하여 패턴매칭 활성화 신호로 사용하여, 이 신호가 1일 때에만 패턴매칭이 진행되도록 하였다. 그리고 payload의 길이가 4의 배수가 아닌 경우에는 마지막 데이터는 일부 바이트들이 유효하지 않을 수 있다.
- 구현된 시스템의 동작을 다음과 같이 검증하였다. 먼저 설계 시스템이 탐지 가능한 특정 패턴들을 포함한 패킷을 호스트에서 입력하여 네트워크에 제공한 후에 이를 정상적으로 캡쳐하여 패턴을 탐지하는 지 확인하였다. 이를 위하여 트래픽 생성기 프로그램을 작성하였다.
- 본 논문에서는 네트워크 침입탐지를 와이어 속도로 할 수 있도록 네트워크 인터페이스의 패킷 입력을 캡쳐하여 패턴매칭 엔진에 공급하고, 패턴매칭 엔진에서 Snort 규칙에서 정의된 패턴과 패킷 데이터와의 패턴매칭을 수행하여 매칭된 패턴에 대한 정보를 수집하고, 이 정보를 네트워크 인터페이스로 부터 메모리로 패킷전송이 종료된 후에 CPU에 제공하도록 하는 침입탐지 시스템용 하드웨어를 FPGA로 설계, 구현한다.
- 본 연구에서 구현한 시스템은 네트워크 패킷입력을 하드웨어로 캡쳐하여 패턴매칭을 수행하여 소프트웨어로 패턴매칭을 수행할 필요를 없도록 하여 와이어 속도의 침입탐지가 가능하게 한다. 그리고 4바이트 기반의 하드웨어기반 패턴매칭을 구현하여 고속 동작을 수행하도록 하였다.
- 본 연구에서 설계한 하드웨어는 입력 패킷이 네트워크 인터페이스에서 메모리로 DMA 전송되는 동안에 패턴매칭이 동시에 이루어진다. 네트워크 침입탐지 시스템 소프트웨어가이 하드웨어를 사용하면 패턴매칭 작업의 부담을 줄일 수 있으므로 실시간으로 패턴 탐지를 수행할 수 있게 된다.
- 6 호환 주변장치는 PLB IPIF(IP Interface) 모듈[11]을 사용하여 설계하는 데, 이 모듈은 PLB 버스와 사용자 회로 사이의 인터페이스를 빠르게 구현하고 높은 적응력을 가질 수 있도록 하는 IPIC(IP Interconnect)라고 하는 인터페이스를 제공한다. 사용자 회로는 IPIC 신호를 이용하여 PLB 버스 인터페이스를 설계한다. CPU 인터페이스로 접근할 수 있는 레지스터들과 FIFO에 대해 표 1과 같이 오프셋 주소를 부여하여 CPU에서 각 레지스터들을 접근할 수 있게 하였다.
- 설계한 시스템은 Virtex-6 FPGA를 장착한 Xilinx사의 ML605 보드를 사용하여 구현하였다. 설계한 시스템에는 포함된 패턴매칭 엔진은 정규표현식 패턴과 고정문자열 패턴을 포함하여 총 1,212개의 Snort 패턴을 처리한다. 그림 8은 동작을 테스트 중인 ML605 보드의 사진이다.
- 시스템 프로그램은 TEMAC과 메모리 간의 DMA 동작을 관리하기 위해서 MPMC/SDMA 제어기를 제어하고, DMA가 사용하는 메모리 버퍼를 관리하는 동작을 수행한다. SDMA 제어기는 분산-집합(Scatter- Gather) DMA를 지원하여 긴 패킷에 대해서 비연속적인 메모리 공간으로 DMA 전송을 가능하게 하며, 프로그램은 이와 관련된 관리 기능도 수행한다.
- 시스템의 구현은 Xilinx사의 최신 Virtex-6 FPGA를 장착한 FPGA 보드에서 이루어졌다. 구현된 시스템에서 패턴매칭은 입력 패킷이 네트워크 인터페이스에서 DMA를 사용하여 메모리로 복사되는 동안에 이루어지도록 하여 와이어 속도의 패턴매칭이 가능하다.
- 그리고 실제 네트워크 트래픽에 대해서도 동작을 검증하였다. 실제 네트워크 트래픽의 내용을 확인하기 위하여 패킷분석기 프로그램인 wireshark를 사용하여 스니핑한 결과를 함께 확인하여 구현한 시스템의 동작을 검증하였다. 그림 11과 그림 12는 구현한 시스템에서 매칭한 결과와 wireshark에서 스니핑한 결과를 보여준다.
- 버퍼의 크기는 이더넷 프레임을 저장하기에 충분하고, 관리하기 쉽도록 2KB로 정하였다. 연속적인 패킷 전송에 대처할 수 있도록 8개의 버퍼를 링 체인으로 구성하여 관리하였다.
- 이 시스템은 Xilinx사의 최신 FPGA인 Virtex-6를 장착한 ML605 Evaluation Kit[10]을 사용하여 설계, 구현하였다. 시스템의 전체적인 구조와 동작 흐름에 대해서 먼저 소개하고, 그 다음에 이러한 구조의 시스템을 ML605 Kit에서 어떻게 구현하였는지에 대해서 설명하고자 한다.
- 그리고 CPU가 이 레지스터와 FIFO의 값을 읽을 수 있도록 PLB (Peripheral Local Bus) 버스를 통한 CPU 인터페이스를 구성하였다. 이 이외에 시스템 구성에 필요한 인터럽트 제어기, 플래시 메모리 제어기, UART와 GPIO 등을 제공된 IP를 사용하여 FPGA에 내장하였다. 그림 2는 Virtex-6 FPGA를 사용하여 구현한 시스템의 구성도이다.
- XPS의 “Create and Import Peripheral Wizard" 기능을 이용하면 PLB 버스 프로토콜에 맞춘 기본적인 인터페이스 하드웨어 템플릿 코드를 생성해준다. 이 코드를 기반으로 본 시스템에 알맞도록 코드를 수정하여 레지스터와 FIFO에 대한 PLB 버스 인터페이스를 설계하였다. PLBv4.
- 이러한 기존 연구의 단점을 보완하기 위하여 본 논문에서는 한 번에 32비트 단위로 정규표현식 패턴매칭을 수행하고 자체의 프로세서를 가지고 있으며, 네트워크 트래픽에 대해서 Snort 패턴 규칙에 대한 패턴 매칭을 수행하여 탐지 결과를 자체의 프로세서가 처리하도록 하는 네트워크 침입탐지용 하드웨어를 설계하여 FPGA로 구현한다.
- 이때에 FIFO가 완전히 채워져서 빈 공간이 없을 수 있다. 이러한 문제를 해결하기 위해서 FIFO가 미리 정해놓은 한계점 이상 채워질 때에 인터럽트를 발생시켜서 DMA 전송이 완료되지 않았더라도 CPU가 FIFO에 저장된 정보를 메모리로 이동시켜서 FIFO를 비우게 한다. 이렇게 하면 FIFO에 빈 공간이 없어서 오버플로우가 되는 경우는 발생하지 않는다.
- TEMAC과 MPMC/SDMA 사이의 흐름 제어를 위하여 DST_RDY와 SRC_RDY 신호를 사용한다. 이러한 제어신호를 사용하여 패킷 전송 신호의 변화에 따라서 상태를 변화하여 패턴매칭 모듈로의 입력을 제어하는 유한상태 기계 회로를 설계하였다. 이 유한상태 기계는 그림 5와 같은 상태도를 갖는다.
- 먼저 설계 시스템이 탐지 가능한 특정 패턴들을 포함한 패킷을 호스트에서 입력하여 네트워크에 제공한 후에 이를 정상적으로 캡쳐하여 패턴을 탐지하는 지 확인하였다. 이를 위하여 트래픽 생성기 프로그램을 작성하였다. 그림 9와 그림 10은 호스트에서 패킷 데이터를 입력하는 화면과 구현한 시스템에서 패턴을 탐지하여 offset과 함께 패턴 번호를 출력한 화면을 보여준다.
- TEMAC은 패킷을 32비트 단위로 전송하므로 패턴매칭 엔진도 한 번에 32비트 씩 처리를 해야 한다. 이를 위하여 패턴매칭엔진은 다중 바이트 단위로 패턴매칭을 수행하도록 설계된 구조[7]를 기반으로 설계하였으며 시스템의 나머지 부분과 연결이 될 수 있도록 하는 인터페이스를 추가로 설계하였다. 패턴매칭 엔진은 패킷헤더의 주요 필드를 추출하여 레지스터에 저장하고 패턴매칭 결과들을 FIFO에 저장한다.
- 입력 인터페이스 모듈에서 추출된 패킷 헤더 필드들을 저장한 레지스터들과 패턴매칭 모듈에서 매칭된 패턴의 번호들을 저장한 FIFO를 CPU에서 읽을 수 있도록 하기 위해서 레지스터들과 FIFO에 대한 PLB 버스 인터페이스를 구성하였다. 시스템의 다른 구성 요소는 Xilinx의 EDK를 사용하여 설계를 하지만 패턴매칭 엔진은 직접 Verilog로 설계가 되므로 PLB 버스의 신호와 프로토콜을 이해한 후에 설계해야 한다.
대상 데이터
- CPU로 Xilinx FPGA에 구현가능한 32비트 RISC 기반의 소프트코어 프로세서인 MicroBlaze를 사용하였다. 네트워크 인터페이스는 10/100/ 1000 Mbps의 전송속도를 지원하는 이더넷 제어기인 TEMAC (Tri-mode Ethernet MAC) IP를 사용하였다. 네트워크 인터페이스와 메모리 간의 패킷 전송을 위한 DMA 제어를 위하여 MPMC(Multi-Port Memory Controller) IP를 사용하였다.
- 본 시스템의 설계에서 가장 핵심이 되는 부분이 패턴매칭 엔진이다. 패턴매칭 엔진은 크게 세 부분으로 나뉜다.
- 설계한 시스템은 Virtex-6 FPGA를 장착한 Xilinx사의 ML605 보드를 사용하여 구현하였다. 설계한 시스템에는 포함된 패턴매칭 엔진은 정규표현식 패턴과 고정문자열 패턴을 포함하여 총 1,212개의 Snort 패턴을 처리한다.
성능/효과
- 그림 9와 그림 10은 호스트에서 패킷 데이터를 입력하는 화면과 구현한 시스템에서 패턴을 탐지하여 offset과 함께 패턴 번호를 출력한 화면을 보여준다. 고정문자열 패턴과 정규표현식 패턴을 포함한 여러 패턴에 대해서 테스트한 결과 구현한 시스템은 패킷 헤더를 정확하게 추출하고 패턴매칭을 정확하게 수행하여 결과를 제공함을 확인하였다.
- 구현한 패턴매칭 엔진에서 PID 102번에 해당하는 패턴은 “public"으로서 wireshark의 패킷 캡쳐 결과와 일치함을 확인하였다.
- 둘째, 패킷 데이터에 대해서 4바이트 단위로 Snort 규칙에 대한 패턴매칭을 수행하고 매칭 결과를 FIFO에 저장하는 정규표현식 패턴매칭 모듈.
- 이와 같이 본 연구에서 설계하여 구현한 FPGA 기반 침입 탐지 시스템 하드웨어는 스니핑한 네트워크 입력 패킷에 대해서 필요한 헤더 정보를 정확하게 추출하고, 패턴매칭을 정확 하게 수행함을 확인하였다.
후속연구
- 실제로시스템으로 구현한 연구[8]에서는 네트워크 트래픽에 대한 패턴매칭을 수행하여 탐지 결과를 호스트 컴퓨터로 전달하는 시스템을 구현하였다. 그렇지만 이 연구에서는 고정 문자열 패턴만 처리하였으며, 자체의 프로세서를 갖지 못한 시스템이기 때문에 기능에 한계가 있다. 그리고 한 번에 8비트 단위로 처리되는 시스템이다.
- 이러한 소프트웨어의 구현은 향후과제이다. 또한 패킷분류를 하드웨어로 구현하여 패턴매칭 결과와 결합하면 침입탐지 소프트웨어는 더욱 간단하게 구현될 수 있을 것이다.
- 앞에서 구현한 시스템을 동작시키기 위해서는 시스템을 기동하고 주변장치들을 초기화하는 프로그램과 패턴매칭 엔진의 정보를 이용하여 추가적인 작업을 수행하는 프로그램들이 필요하다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.