IDS sistēmas ieviešana augstas veiktspējas tīklu drošības monitoringam ar atvērtā pirmkoda rīkiem un patēriņa aparatūru

Abstract

Darba mērķis ir izpētīt, kā izmantot atvērtā pirmkoda IDS sistēmas ar patēriņa aparatūru, lai monitorētu drošību augstas veiktspējas tīklos, kuros tīkla caurlaidība pārsniedz 10Gbit/s. Lai parādītu, kāds ir veiktspējas ieguvums no dažādām ar veiktspēju saistītam izmaiņām IDS sistēmā, mērķis ir veikt sistēmas ieviešanu, kur tiek veiktas izmaiņas pa posmiem un tiek iegūti rezultāti par izmaiņām veiktspējas rādītājos. Darbā tika pētīti ar IDS sistēmas veiktspējas uzlabošanu saistīti akadēmiskie darbi, lai apkopotu tajās izmantotās metodes, kas ir palīdzējušas sasniegt augstus IDS sistēmas veiktspējas rādītājus. Darba praktiskajā daļā tika ieviests pakešu ģenerators IDS sistēmas veiktspējas testēšanai un tika veikta atvērtā pirmkoda IDS sistēmas Suricata testēšana dažādās konfigurācijās. Apkopojot rezultātus, secināts, ka, izmantojot apkopotās metodes, bija iespējams iegūt būtiskus veiktspējas uzlabojumus. IDS sistēmas testēšanai tika ieviesta testa vide ar pakešu ģeneratoru Cisco TRex. Sistēma ar sākotnējo konfigurāciju bez pakešu izmešanas varēja monitorēt ģenerēto trafiku tikai ar ātrumu 1Gbit/s. Pēc uzlabojumu ieviešanas ar to pašu sistēmu kopā varēja monitorēt 20Gbit/s.

The aim of this work is to study how open source IDS tools could be used with commodity hardware for network security monitoring in high speed networks where network bandwidth is more than 10Gbit/s. To show the performance gains from different performance - related changes in the IDS system, a test system is implemented where changes are made in stages and results shown per every stage. In this work the author collects methods used in other academic works that helped to achieve high performance results for IDS performance. To test the IDS system in different configurations the author implemented a test system with packet generator Cisco TRex which was used for testing open source IDS system Suricata. The results concluded that the use of the collected methods in IDS configuration can give significant performance improvements. The system with initial configuration was able to monitor only 1Gbit/s without packet loss, but tests with improved IDS configuration were able to monitor 20Gbit/s without pocket drop.