선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 이를 통해 연구의 차별화는 첫째, Snort와 Suricata 를 이용하여 효과적인 성능을 내는지에 대하여 제언하고자 한다. 둘째, Snort와 Suricata의 성능 비교를 통해 증명하고자 한다. 셋째, Snort와 Suricata의 성능 비교를 통해 침입탐지시스템이 발전할 수 있는 방안을 제언하고자 한다.
- 따라서 본 연구의 목적은 기존 연구에서 Single-Threading 환경의 Snort 2. x 버전과 Suricata Multi-Threading 환경에서의 성능 비교를 하였지만 본 논문에서는 대표적인 침입 탐지 시스템인 Snort alpha 버전과 Suricata 2.
제안 방법
- 0. 11 버전을 설치하여 탐지기능 측면 및 성능 비교에 관해 분석하고자 한다.
- 0. 11버전을 설치하여 실험을 진행하였다.
- 5gb이다. Pcap 파일을 이용한 탐지가 끝난 후에는 캐쉬 메모리 초기화 명령어를 사용하여 다음 실험을 진행하였다.
- 패킷 로거 모드에서는 패킷을 저장매체에 로그 형태로 저장한다. 네트워크 침입 탐지 모드는 사용자에 의해 설정된 규칙을 가지고 네트워크 트래픽을 모니터링 하며 분석을 한다. <그림 1>과 같이 Snort의 내부 동작 단계의 구성을 살펴보면 패킷 스니퍼, 전 처리기, 탐지엔진, 로깅/경고, 로그파일/데이터베이스로 구성되어 있는 것을 알 수 있다.
- 먼저 패킷 스니퍼는 네트워크로부터 패킷을 받아들이며 이 패킷을 전처리기에서 Snort의 탐지 엔진에 도달하기 전에 악의적인 패킷인지 올바른 패킷인지 구별하는 과정을 거친다. 다음으로 탐지 엔진을 통해 사용자에 의하여 설정된 규칙을 가지고 비교하여 악의적인 침입을 탐지 한다. 마지막으로 탐지 엔진에서 나온 결과를 바탕으로 보안 관리자에게 경보 및 로그를 기록하도록 하여 로그 파일과 데이터베이스의 형태로 탐지 기록을 저장하도록 한다[9].
- 다음으로 탐지 엔진을 통해 사용자에 의하여 설정된 규칙을 가지고 비교하여 악의적인 침입을 탐지 한다. 마지막으로 탐지 엔진에서 나온 결과를 바탕으로 보안 관리자에게 경보 및 로그를 기록하도록 하여 로그 파일과 데이터베이스의 형태로 탐지 기록을 저장하도록 한다[9].
대상 데이터
- yaml의 detect-cpu-set에서 0-3으로 설정하여 4개의 threads를 사용하도록 설정하였다. 다양한 용량 및 악성코드 트래픽을 포함하고 있는 Pcap파일을 제공하는 CTU[12] pcap 파일을 다운 받아 실험을 하였고 실험에서 사용 가능한 파일의 개수는 62개였으며, 파일의 총 용량은 106. 5gb이다.
- 실험을 진행하기 위하여 Suricata와 Snort의 룰셋 개수를 맞춰주었으며 Emerging Threats 홈페이지[11]내 ET-Open 룰셋을 다운받아 각각의 IDS에 적용하려 하였으나 Snort의 경우 Alpha 버전에서 탐지 에러가 발생한 룰셋은 삭제하여 진행하였고 총 룰셋의 개수는 총 2만여개에서 1794개로 줄였다. 이 때 사용 불가능한 미호환 룰셋 옵션에는 threshold, depth, offset, fast_pattern, stream-event, app-layer-event, flowint, user-rules, within, urilen, uricontent, fileext, filestore, filemagic, noalert, ls.
- 316mb, 366mb, 747mb, 898mb 파일을 제외한 나머지 9개의 pcap파일이 Snort에서 더 나은 성능을 보였다. <그림 7> 의 경우 17개의 pcap파일로 이루어져 있으며 1.04gb부터 3.79gb까지의 pcap 파일을 실험하였다. 1.
- 44gb 파일을 제외한 나머지 12개의 pcap파일이 Snort에서 더 나은 성능을 보였다. <그림 8>의 경우 5개의 pcap파일로 이루어져 있으며 8.17gb부터 26.6gb 의 고용량의 pcap파일로 실험을 하였다. 고용량의 pcap 파일의 경우 모든 pcap파일에서 Snort가 더 나은 성능을 보였다.
- 105mb, 107mb, 113mb, 116mb, 167mb 파일을 제외한 10개의 pcap 파일이 Snort에서 더 나은 성능을 보였다. <그림 5>의 경우 총 12개 pcap파일로 이루어져 있으며 212mb부터 283mb용량의 pcap 파일을 실험하였다. 두 개의 다른 254mb, 273mb, 283mb 파일을 제외한 나머지 9개의 pcap파일이 Snort에서 더 나은 성능을 보였다.
- 두 개의 다른 254mb, 273mb, 283mb 파일을 제외한 나머지 9개의 pcap파일이 Snort에서 더 나은 성능을 보였다. <그림 6>의 경우 총 13개의 pcap파일로 이루어져 있으며 305mb부터 898mb 용량의 pcap파일로 실험을 하였다. 316mb, 366mb, 747mb, 898mb 파일을 제외한 나머지 9개의 pcap파일이 Snort에서 더 나은 성능을 보였다.
- <그림 3>의 경우Snort가 62개의 파일 중 34개의 파일이 더 높은 성능을 보였으며 나머지 28개의 파일은 Suricata가 높은 성능을 보였다. <그림 4> 의 경우 총 15개 pcap파일로 이루어져 있으며 105mb 용량부터 186mb 용량의 pcap 파일을 실험하였다. 105mb, 107mb, 113mb, 116mb, 167mb 파일을 제외한 10개의 pcap 파일이 Snort에서 더 나은 성능을 보였다.
성능/효과
- 넷째, Snort에서 지원하지 않고 있는 Protocol Identification과 HTTP Normalizer&Parser, 그리고 File Identification 기능이 추가 되었다.
- <그림 5>의 경우 총 12개 pcap파일로 이루어져 있으며 212mb부터 283mb용량의 pcap 파일을 실험하였다. 두 개의 다른 254mb, 273mb, 283mb 파일을 제외한 나머지 9개의 pcap파일이 Snort에서 더 나은 성능을 보였다. <그림 6>의 경우 총 13개의 pcap파일로 이루어져 있으며 305mb부터 898mb 용량의 pcap파일로 실험을 하였다.
- Suricata의 장점으로는 첫째, Multi-Threading 에서 운영 가능한 장점을 가지고 있는 Suricata는 최대 10Gigabits의 속도를 지원한다. 둘째, Suricata는 다양한 프로토콜을 손쉽게 인식할 수 있는 능력을 갖추었다. 셋째, Suricata는 네트워크에서 여러 형태의 파일들이 통신되고 있을 때 에도 인식을 할 수 있다.
- 본 논문에서는 IDS/IPS 분야에서 다양하게 사용하고 있는 Snort와 Suricata 성능 비교 분석을 실험 결과를 통하여 증명하였고, 현재 Snort Alpha 알파 버전의 한계로 인하여 내부 부하 분산 기능이 구현이 되지 않았음에도 불구하고 성능 측정 실험 결과 Alpha 버전의 Snort가 더 나은 성능을 보였다. Snort 실험 중 몇 개의 pcap 파일은 core Dump 에러가 발생하여 실험을 진행하지 못하였다.
- 둘째, Suricata는 다양한 프로토콜을 손쉽게 인식할 수 있는 능력을 갖추었다. 셋째, Suricata는 네트워크에서 여러 형태의 파일들이 통신되고 있을 때 에도 인식을 할 수 있다. 넷째, Snort에서 지원하지 않고 있는 Protocol Identification과 HTTP Normalizer&Parser, 그리고 File Identification 기능이 추가 되었다.
- 에서 보는바와 같이 Snort의 경우 내부 부하 분산 환경은 작동하지 않는 것으로 보였고, 의 Suricata의 경우 균등하게 Thread를 사용하고 있는 것으로 보였다.
- 02초 였다.<그림 3>의 경우Snort가 62개의 파일 중 34개의 파일이 더 높은 성능을 보였으며 나머지 28개의 파일은 Suricata가 높은 성능을 보였다. <그림 4> 의 경우 총 15개 pcap파일로 이루어져 있으며 105mb 용량부터 186mb 용량의 pcap 파일을 실험하였다.
후속연구
- 둘째, Snort와 Suricata의 성능 비교를 통해 증명하고자 한다. 셋째, Snort와 Suricata의 성능 비교를 통해 침입탐지시스템이 발전할 수 있는 방안을 제언하고자 한다.
- 이를 통해 연구의 차별화는 첫째, Snort와 Suricata 를 이용하여 효과적인 성능을 내는지에 대하여 제언하고자 한다. 둘째, Snort와 Suricata의 성능 비교를 통해 증명하고자 한다.
- 이 부분은 현재 Alpha 버전의 문제로써 향후 개선이 될 필요성 있다. 향후 연구로는 Snort의 업데이트 베타버전 혹은 정식 버전이 배포가 된다면 다양한 룰셋 및 실제 네트워크 환경에서 성능측정을 연구해야할 것이며 Suricata는 Multi-Threading 방식과 더불어 GPU의 병렬컴퓨팅 아키텍처를 지원하는 Nvida 사의 CUDA를 사용하여 침임 탐지 시스템을 구현할 수 있으며 향후 본 논문의 결과와 비교 분석하여 오픈소스인 IDS/IPS Snort와 Multi-Threading의 Suricata, CUDA를 적용한 Suricata의 성능 비교 분석 연구가 필요할 것이다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.