3 GIẢI PHÁP QUẢN LÝ CÁC HỆ THỐNG PHÁT HIỆN PHÒNG CHỐNG
2.10 Một sơ đồ khối nền tảng phần cứng cho phát hiện xâm nhập
C. Clark và cộng sự [9] lập luận rằng đối với các hệ thống phát hiện xâm nhập mạng tập trung, việc phân tích phát hiện xâm nhập nên được phân phối cho IDS nút mạng (network node IDS: NNIDS) chạy trong phần cứng trên các máy chủ cuối. Tiếp cận như vậy tạo lợi thế là NNIDS có cách thức quan sát rõ ràng lưu lượng đến và đi từ máy chủ và khi được triển khai trên phần cứng giao diện mạng thì nó có thể hoạt động độc lập với hệ điều hành máy chủ để cung cấp khả năng phát hiện xâm nhập tốt hơn. Trước khi đưa ra một nền tảng phần cứng phát hiện xâm nhập, các tác giả đưa ra một cấu hình yêu cầu phần cứng phù
hợp với bốn trường hợp theo hai chiều là độ phức tạp phân tích xâm nhập và tốc độ dòng dữ liệu:
• Tốc độ dòng dữ liệu thấp, độ phức tạp phát hiện xâm nhập thấp: sử dụng Microengines hoặc bộ vi xử lý StrongARM.
• Tốc độ dòng dữ liệu thấp, độ phức tạp phát hiện xâm nhập cao: sử dụng bộ vi xử lý StrongARM.
• Tốc độ dòng dữ liệu cao, độ phức tạp phát hiện xâm nhập thấp: sử dụng Microengines. • Tốc độ dòng dữ liệu cao, độ phức tạp phát hiện xâm nhập cao: sử dụng FPGA (Field
Programmable Gate Array).
Trên cơ sở phân tích yêu cầu như vậy, các tác giả đưa ra một sơ đồ khối nền tảng phần cứng cho phát hiện xâm nhập như Hình 2.10. Bộ xử lý mạng Intel IXP 1200 là một hệ thống trên chíp chứa 01 StrongARM (chạy một phiên bản Linux) và 06 Microengine lập trình được (có phần cứng hỗ trợ đa luồng, chạy tối đa 04 luồng), tốc độ đồng hồ 232MHz; StrongARM và mỗi Microengine được cấu hình chia sẻ 256MB SDRAM 64 bít 8MB SRAM 32 bít; băng thông cực đại của SDRAM là 648MB, của SRAM là 334 MB. Khối FPGA gồm 01 Xilinx Virtex-1000 FPGA có khả năng triển khai các mạch tương đương 01 triệu cổng lôgic, có giao diện PCI cho vào/ra và SRAM tốc độ chuyên dụng của nó. C. Clark và cộng sự triển khai Snor trên bộ xử lý mạng và tạo ra một bộ cảnh báo giống như phần mềm Snor tiêu chuẩn. Thiết kế 01 StrongARM Linux) và 06 Microengine lập trình được cho thấy một sơ đồ tính toán song song mức luồng của Bộ xử lý mạng được thiết kể để phù hợp với phạm vi và yêu cầu bài toán phát hiện xâm nhập ở đây.