Arsitektur FPGA Throughput Tinggi untuk Deteksi Pemindaian TCP-SYN Waktu Nyata

Deteksi sidik jari pada kecepatan line-rate dengan latensi konstan dua siklus dan penskalaan sumber daya linier

Faisal Saeed; Mohammad Fahad; Ayesha Javaid; Christian Doerr; Muhammad Ali Siddiqi· 2026· DOI 10.48550/arXiv.2609.14043

Masalah inti

Pemindaian port TCP-SYN adalah prekursor umum serangan siber. Mendeteksi sidik jari pemindai yang tertanam dalam header paket pada kecepatan line-rate dapat memberikan peringatan intrusi secara tepat waktu. Namun, pendekatan deteksi yang ada要么 terlalu mahal secara komputasi untuk operasi line-rate atau terbatas pada analisis offline. Penelitian ini menyajikan arsitektur FPGA ringan untuk deteksi sidik jari line-rate yang dapat dikonfigurasi ulang. Ide intinya adalah mengompilasi setiap sidik jari menjadi pohon LUT Boolean dangkal, memungkinkan evaluasi paralel dengan latensi konstan dua siklus terlepas dari jumlah sidik jari, sementara biaya sumber daya tumbuh linier dengan jumlah sidik jari. Inti deteksi dipisahkan dari frontend lapisan MAC yang melakukan ekstraksi bidang streaming tanpa buffering frame atau state lapisan lebih tinggi, memungkinkan penerapan pada berbagai kecepatan line-rate hanya dengan memodifikasi frontend. Kerangka kerja Python secara otomatis mengompilasi ekspresi Boolean menjadi HDL yang dapat disintesis, menghilangkan perubahan RTL manual. Arsitektur ini didemonstrasikan untuk deteksi sidik jari pemindaian port TCP-SYN.

Untuk deteksi sidik jari pemindaian port TCP-SYN, arsitektur ini menggunakan sekitar 0,5% LUT pada 10 Gbps pada Versal VCK190 untuk 18 sidik jari yang diterapkan, dengan kapasitas lebih dari 2.000 sidik jari bersamaan. Pada Virtex-6 pada 1 Gbps, penggunaan sumber daya di bawah 2,5% LUT. Latensi deteksi adalah 10 ns pada kedua kecepatan line-rate, yaitu tiga hingga empat orde magnitudo di bawah latensi pemrosesan per-paket tipikal dalam sistem deteksi intrusi perangkat lunak. Sistem divalidasi silang terhadap implementasi ulang perangkat lunak pada jejak paket produksi 8 jam, mengonfirmasi kebenaran deteksi dengan nol positif palsu dan nol negatif palsu. Latensi konstan dua siklus dan penskalaan sumber daya linier adalah karakteristik kinerja utama.

Pemindaian port TCP-SYN adalah prekursor umum serangan siber. Mendeteksi sidik jari pemindai yang tertanam dalam header paket pada kecepatan line-rate dapat memberikan peringatan intrusi secara tepat waktu. Namun, pendekatan deteksi yang ada要么 terlalu mahal secara komputasi untuk operasi line-rate atau terbatas pada analisis offline. Penelitian ini menyajikan arsitektur FPGA ringan untuk deteksi sidik jari line-rate yang dapat dikonfigurasi ulang. Ide intinya adalah mengompilasi setiap sidik jari menjadi pohon LUT Boolean dangkal, memungkinkan evaluasi paralel dengan latensi konstan dua siklus terlepas dari jumlah sidik jari, sementara biaya sumber daya tumbuh linier dengan jumlah sidik jari. Inti deteksi dipisahkan dari frontend lapisan MAC yang melakukan ekstraksi bidang streaming tanpa buffering frame atau state lapisan lebih tinggi, memungkinkan penerapan pada berbagai kecepatan line-rate hanya dengan memodifikasi frontend. Kerangka kerja Python secara otomatis mengompilasi ekspresi Boolean menjadi HDL yang dapat disintesis, menghilangkan perubahan RTL manual. Arsitektur ini didemonstrasikan untuk deteksi sidik jari pemindaian port TCP-SYN.

Arsitektur yang diusulkan terdiri dari dua komponen utama: frontend lapisan MAC dan inti deteksi sidik jari. Frontend melakukan ekstraksi streaming bidang header paket yang relevan (misalnya, flag TCP, port sumber/tujuan, alamat IP) tanpa buffering seluruh frame atau mempertahankan state lapisan lebih tinggi. Bidang yang diekstraksi diumpankan ke inti deteksi, di mana setiap sidik jari direpresentasikan sebagai ekspresi Boolean. Ekspresi ini dikompilasi menjadi pohon LUT dangkal, memungkinkan evaluasi paralel. Latensi melalui inti deteksi konstan pada dua siklus, tidak tergantung pada jumlah sidik jari. Pemanfaatan sumber daya berskala linier dengan jumlah sidik jari. Kerangka kerja berbasis Python mengotomatiskan terjemahan ekspresi Boolean menjadi HDL yang dapat disintesis, memungkinkan konfigurasi ulang cepat tanpa pengeditan RTL manual. Desain ini diimplementasikan dan dievaluasi pada dua platform FPGA: Versal VCK190 pada 10 Gbps dan Virtex-6 pada 1 Gbps. Kebenaran deteksi divalidasi silang terhadap implementasi ulang perangkat lunak menggunakan jejak paket produksi 8 jam.

Hasil menunjukkan bahwa arsitektur FPGA yang diusulkan mencapai deteksi pemindaian TCP-SYN throughput tinggi dan latensi rendah yang cocok untuk operasi line-rate. Pemisahan inti deteksi dari frontend lapisan MAC memungkinkan portabilitas pada berbagai kecepatan line-rate hanya dengan memodifikasi frontend, membuat desain dapat diadaptasi ke berbagai kecepatan jaringan. Penggunaan kerangka kerja Python untuk mengompilasi ekspresi Boolean menjadi HDL secara signifikan mengurangi waktu pengembangan dan memungkinkan konfigurasi ulang dinamis saat sidik jari baru muncul. Penskalaan sumber daya linier dengan jumlah sidik jari memastikan prediktabilitas dan skalabilitas. Latensi konstan dua siklus, tidak tergantung pada jumlah sidik jari, memberikan kinerja deterministik, yang kritis untuk deteksi intrusi waktu nyata. Nol positif/negatif palsu pada jejak produksi memvalidasi kebenaran pendekatan ini. Dibandingkan dengan sistem deteksi intrusi berbasis perangkat lunak, implementasi FPGA menawarkan latensi beberapa orde magnitudo lebih rendah, membuatnya cocok untuk jaringan berkecepatan tinggi di mana deteksi tepat waktu sangat penting. Arsitektur ini sangat efektif untuk pemindaian port TCP-SYN, prekursor serangan yang umum, tetapi metodologinya dapat diperluas ke sidik jari berbasis header paket lainnya. Pekerjaan selanjutnya dapat mengeksplorasi integrasi dengan analisis stateful lapisan lebih tinggi dan adaptasi ke kecepatan line-rate yang lebih tinggi.

Praktisi dan peneliti ilmu komputer

Membuka konten member…