Black Hat USA 2000 - Intrusion Detection in High Speed Networks
三句話摘要
高速網路環境下入侵偵測系統的性能局限與實測結果分析。 商用IDS軟體在高速網路上性能不足，未來必須轉向硬體ASIC專用系統，同時應採用分層防禦策略而非依賴單一工具。 基於主機的IDS難以部署
重點整理
重點- 1
基於主機的IDS難以部署
- 2
主機型IDS會佔用大量CPU資源，干擾業務應用執行，且與作業系統相容性差。例如在NT系統上會頻繁觸發Dr. Watson警報，導致日誌溢滿與應用崩潰。
- 3
網路型IDS在交換式網路中效能受限
- 4
傳統網路IDS需在網路主幹上部署監聽器，但交換機只能透過單一連接埠輸出VLAN流量，造成吞吐量瓶頸。ISS感測器即使配備E450高階伺服器（2GB記憶體、18GB硬碟），也只能達50-70 Mbps，遠不符合100 Mbps全雙工需求。
- 5
作業系統選擇對性能影響巨大
- 6
測試顯示Solaris系統（Spark Ultra）上ISS的吞吐量僅15.5 Mbps，而同樣配置的NT系統表現快得多。根因可能是Solaris的網路協定棧存在缺陷、I/O效能較差，且ISS軟體是從NT移植到Solaris。
- 7
商用產品過度承諾、實際交付不足
- 8
供應商聲稱能達到千兆IDS引擎，但實際交期不斷延後（從Q1說到Q3）。軟體IDS產品無法滿足高速網路需求，根本問題在於通用作業系統固有的瓶頸。
實用技巧與重點
乾貨- 測試環境與配置
- ISS感測器：Solaris Spark系統，256MB記憶體，8GB硬碟，吞吐量15.5-45 Mbps
- 應用交換機：Top Layer（Alpha測試版），與ISS合作整合IDS核心到交換器
- 攻擊生成工具：Sniffer Pro、Shimi Packet Blaster（支援千兆以太網介面）
- 監控交換機：Cisco Cat 5000/5500
- 測試規模：108種攻擊特徵，3台Spark設備，1萬美元應用交換機
- 性能測試結果
- 完整策略下：15.5 Mbps吞吐量（Solaris ISS）
- 調整參數後：45 Mbps吞吐量（3台Spark配1台應用交換機）
- Snort開源工具：100 Mbps載入5條規則時丟包率約0%，350 Mbps載入5條規則時丟包率50%，80 Mbps穩定網路載入200條規則時丟包率0.4%
- Linux伺服器（500MHz P3）：30,000-40,000資料包/秒
- Solaris Ultra 60：20,000資料包/秒
- 主要發現與建議
- 基於日誌的IDS非即時取證工具，如用於法律目的需確保時間基準同步
- Tripwire等目標監控工具需定期掃描（每5-15分鐘）關鍵檔案與登錄檔
- 未來方向：基於ASIC硬體的專用IDS（預計達OC3速度），整合到交換器核心
- Nokia與ISS洽談將IDS核心整合到交換器
- Windows 2000尚未有完整支援版本
結論
結論“商用IDS軟體在高速網路上性能不足，未來必須轉向硬體ASIC專用系統，同時應採用分層防禦策略而非依賴單一工具。”
完整解析
詳細Mark Cadri以Connection公司在高速網路環境中部署IDS的實際經驗為背景，深入探討了傳統入侵偵測系統無法跟上網路速率發展的根本問題。
過去十年間網路從4 Tbps發展到現今的100 Mbps全雙工，而大多數IDS產品的設計思路仍未跟上。Cadri詳細介紹了四種IDS類型的優缺點：基於日誌的方法耗時繁瑣且非即時；基於主機的IDS成本高昂（每台電腦500美元）且嚴重拖累系統性能；基於網路的IDS在交換式網路中因VLAN隔離而性能受限；目標監控透過Tripwire等工具監看關鍵檔案，但需投入大量人工分析。
Connection公司進行了一項系統性實驗，在隔離測試網路中部署ISS感測器並結合Top Layer應用交換機。實驗使用Solaris Spark系統、Cisco交換器、Sniffer Pro等工具模擬真實攻擊環境。初期測試出現IP位址配置錯誤導致的資料包濫洪，經修正後發現核心瓶頸：ISS感測器在Solaris上的吞吐量僅達15.5 Mbps，即使調整攻擊特徵數量也只能提升到45 Mbps，遠低於100 Mbps的需求。
經過與ISS工程師深度溝通，發現根本問題不在應用層而在作業系統層。Solaris的網路協定棧存在規範不符的缺陷，I/O效能也不如HP或NT系統。隨後在同樣配置的NT機器上測試，性能明顯提升，最終Connection決定逐步替換Solaris伺服器。但新問題隨之出現：ISS對Windows 2000的支援尚在開發，而Internet Scanner雖有6.1版本但仍存在bug。
演講中Cadri特別強調了開源工具Snort的潛力。根據現場測試數據，Snort在100 Mbps網路上載入五個規則時丟包率接近零，在350 Mbps下丟包率才升至50%，遠優於ISS。然而從企業部署角度，Connection必須採用商用軟體以確保技術支援與財務賠償機制，這限制了他們對新興工具的採納。
展望未來，Cadri認為高速IDS的真正解決方案必須基於硬體ASIC而非通用作業系統，預計明年可達OC3速度。Nokia與ISS正洽談將IDS核心整合到交換器背板，但Cadri對Cisco的類似承諾表示懷疑，因Cisco過去的TCP攔截功能在啟用後效能從矽層級退化到處理器層級，下降至25%。
演講最後Cadri強調，IDS非一蹴可幾的完全解決方案，需與日誌分析、目標監控、防火牆等多層次防禦相結合。當下沒有任何廠商真正提供針對高速網路的完整解決方案，企業必須藉由選擇最適合自身架構的組合方案應對挑戰。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
