컨텐츠를 기반으로 인터넷 웜등의 유해 패킷을 네트워크에서 차단하는 기술은 탐지의 정확도와 네트워크 성능의 한계 극복 이라는 두 가지 문제에 초점이 맞추어져 있다. 특히 멀티 기가비트 성능을 기본으로 하는 현재의 전달 네트워크에서 고속으로 웜 트래픽을 차단하는 능력이 주요 이슈로 대두되고 있다. 본 논문은 라우터 혹은 방화벽과 같은 통신 및 보안 장비에 주요 기술로 사용되는 네트워크 프로세서 환경에서 멀티 기가비트 수준으로 고속 원 필터링이 가능한 구현 구조를 제안한다. 고속 원 필터링을 위한 설계의 특징으로는 네트워크 프로세서가 가지는 내부 레지스터와 메모리의 자원 한계점을 극복하기 위하여 Bloom Filter를 활용하였고, 특히 버퍼 오버플로우 기법을 이용하는 웹들에 대해 단순 패턴매칭 뿐만 아니라, 유해 코드의 길이 검사를 수용할 수 있는 구조로 시그너처 관리가 확장 가능하도록 설계되었다. 설계된 고속 웜-필터링 구조를 기가비트 이더넷 인터페이스를 가진 Intel IXP 네트워크 프로세서 플랫폼에서 마이크로 코드형태로 구현하였고, 알려진 원들이 포함된 트래픽을 사용하여 그 성능을 분석하였다.
Network solutions for protecting against worm attacks that complement partial end system patch deployment is a pressing problem. In the content-based worm filtering, the challenges focus on the detection accuracy and its performance enhancement problem. We present a worm filter architecture using the bloom filter for deployment at high-speed transit points on the Internet, including firewalls and gateways. Content-based packet filtering at multi-gigabit line rates, in general, is a challenging problem due to the signature explosion problem that curtails performance. We show that for worm malware, in particular, buffer overflow worms which comprise a large segment of recent outbreaks, scalable -- accurate, cut-through, and extensible -- filtering performance is feasible. We demonstrate the efficacy of the design by implementing it on an Intel IXP network processor platform with gigabit interfaces. We benchmark the worm filter network appliance on a suite of current/past worms, showing multi-gigabit line speed filtering prowess with minimal footprint on end-to-end network performance.
