Оценка производительности межсетевого экрана при ранжировании набора правил фильтрации
- Авторы: Ботвинко А.Ю.1, Самуйлов К.Е.1,2
-
Учреждения:
- Российский университет дружбы народов
- Федеральный исследовательский центр «Информатика и управление» РАН
- Выпуск: Том 29, № 3 (2021)
- Страницы: 230-241
- Раздел: Статьи
- URL: https://journals.rudn.ru/miph/article/view/27527
- DOI: https://doi.org/10.22363/2658-4670-2021-29-3-230-241
Цитировать
Полный текст
Аннотация
Данная статья является продолжением ряда работ, посвящённых оценке вероятностно-временных характеристик межсетевых экранов при ранжировании набора правил фильтрации. В публикации рассматривается проблема снижения эффективности фильтрации информационных потоков. Проблема возникла из-за использования последовательной схемы проверки соответствия пакетов правилам, а также из-за неоднородности и изменчивости сетевого трафика. Порядок правил неоптимален, и это в многомерном списке существенно влияет на производительность межсетевого экрана, а также может вызывать значительную временную задержку и вариации в значениях времени обслуживания пакетов, что существенно важно для стабильной работы мультимедийных протоколов. Один из способов предотвратить снижение производительности - это ранжировать набор правил в соответствии с характеристиками входящих информационных потоков. В исследовании решаются следующие задачи: определение и анализ среднего времени фильтрации трафика основных передающих сетей; оценка эффективности ранжирования правил. Предложен метод ранжирования набора правил фильтрации и построена система массового обслуживания со сложной дисциплиной обслуживания запросов. Определённый порядок используется для описания того, как запросы обрабатываются в системе, и включает в себя выполнение операций с входящими пакетами и логическую структуру набора правил фильтрации. Таковы элементы обработки информационного потока в межсетевом экране. Подобный уровень детализации не полный, но его достаточно для создания модели. Характеристики СМО получены с помощью методов имитационного моделирования в среде Simulink матричной вычислительной системы MATLAB. На основании анализа полученных результатов были сделаны выводы о возможности повышения производительности межсетевого экрана за счёт ранжирования правил фильтрации для тех скриптов трафика, которые близки к реальным.
Об авторах
А. Ю. Ботвинко
Российский университет дружбы народов
Автор, ответственный за переписку.
Email: botviay@sci.pfu.edu.ru
ORCID iD: 0000-0003-1412-981X
postgraduate of Department of Applied Probability and Informatics
ул. Миклухо-Маклая, д. 6, Москва, 117198, РоссияК. Е. Самуйлов
Российский университет дружбы народов; Федеральный исследовательский центр «Информатика и управление» РАН
Email: samuylov-ke@rudn.ru
ORCID iD: 0000-0002-6368-9680
Doctor of Technical Sciences, Professor, Head of Department of Applied Probability and Informatics
ул. Миклухо-Маклая, д. 6, Москва, 117198, Россия; ул. Вавилова, д. 44, корп. 2, Москва, 119333, РоссияСписок литературы
- S. V. Lebed, Firewall protection. Theory and practice of external perimeter protection [Mezhsetevoye ekranirovaniye. Teoriya i praktika zashchity vneshnego perimetra]. Moscow: BMSTU, Bauman Moscow State Technical University Publ., 2002, p. 304, in Russian.
- O. R. Laponina, The foundation of network security [Osnovy setevoy bezopasnosti]. Moscow: Publishing house of the national Open University «INTUIT», 2014, p. 377, in Russian.
- K. V. Ivanov and P. I. Tutubalin, Markov models of protection of automated control systems for special purposes [Markovskie modeli zashhity’ avtomatizirovanny’x sistem upravleniya special’nogo naznacheniya]. Kazan: Publishing house of GBU Republican center for monitoring the quality of education Publ., 2012, p. 216, in Russian.
- “Governing document. Computer aids. Firewall. Protection against unauthorized access to information. Indicators of security against unauthorized access to information [Rukovodyashhij dokument. Sredstva vy’chislitel’noj texniki. Mezhsetevy’e e’krany’. Zashhita ot nesankcionirovannogo dostupa k informacii. Pokazateli zashhishhennosti ot nesankcionirovannogo dostupa k informacii] approved by the decision of the Chairman of the State Technical Commission under the President of the Russian Federation dated July 25, 1997,” in Russian.
- H. Hamed, A. El-Atawy, and E. Al-Shaer, “On dynamic optimization of packet matching in high-speed firewalls,” IEEE Journal on Selected Areas in Communications, vol. 24, no. 10, pp. 1817-1830, 2006. doi: 10.1109/JSAC.2006.877140.
- R. Mohan, A. Yazidi, B. Feng, and J. Oommen, “On optimizing firewall performance in dynamic networks by invoking a novel swapping windowbased paradigm,” International Journal of Communication Systems, vol. 31, no. 15, e3773, 2018. doi: 10.1002/dac.3773.
- E. Al Shaer, Automated firewall analytics: Design, configuration and optimization. Springer International Publishing, 2014, p. 132. doi: 10.1007/978-3-319-10371-6.
- R. Mohan, A. Yazidi, B. Feng, and B. J. Oommen, “Dynamic ordering of firewall rules using a novel swapping window-based paradigm,” in Proceedings 6th International Conference on Communication and Network, ICCNS 2016, Singapore: ACM Proceedings, 2016, pp. 11-20. doi: 10.1145/3017971.3017975.
- Z. Trabelsi, S. Zeidan, M. M. Masud, and K. Ghoudi, “Statistical dynamic splay tree filters towards multilevel firewall packet filtering enhancement,” Computers & Security, vol. 53, pp. 109-131, 2015. doi: 10.1016/j.cose.2015.05.010.
- K. Salah, K. Elbadawi, and R. Boutaba, “Performance modeling and analysis of network firewalls,” IEEE Transactions on Network and Service Management, vol. 9, no. 1, pp. 12-21, 2012. doi: 10.1109/TNSM.2011. 122011.110151.
- C. Diekmann, L. Hupel, J. Michaelis, M. Haslbeck, and G. Carle, “Verified iptables firewall analysis and verification,” Journal of Automated Reasoning, vol. 61, no. 1-4, pp. 191-242, 2018. doi: 10.1007/s10817017-9445-1.
- S. Khummanee, “The semantics loss tracker of firewall rules,” Advances in Intelligent Systems and Computing, vol. 769, pp. 220-231, 2018. doi: 10.1007/978-3-319-93692-5_22.
- V. Clincy and H. Shahriar, “Detection of anomaly in firewall rule-sets,” Advances in Intelligent Systems and Computing, vol. 842, pp. 422-431, 2018. doi: 10.1007/978-3-319-98776-7_46.
- P. P. Bocharov and A. V. Pechenkin, Queuing theory [Teoriya massovogo obsluzhivaniya]. Moscow: Publishing RUDN, 1995, p. 529, in Russian.
- V. Y. Katkovnik, Non-parametric data identification and smoothing: local approximation method [Neparametricheskaya identifikatsiya i sglazhivaniye dannykh: metod lokal’noy approksimatsii]. Moscow: The science. Main editorial office of physical and mathematical literature Publ., 1985, in Russian.
- J. M. Bravo, T. Alamo, M. Vasallo, and M. E. Gegúndez, “A general framework for predictors based on bounding techniques and local approximation,” IEEE Transactions on Automatic Control, vol. 62, no. 7, pp. 3430-3435, 2017. doi: 10.1109/TAC.2016.2612538.
- H. Al-Shuka, “On local approximation-based adaptive control with applications to robotic manipulators and biped robots,” International Journal of Dynamics and Control, vol. 6, no. 1, pp. 339-353, 2018. doi: 10.1007/s40435-016-0302-6.
- D. E. Plotnikov, T. S. Miklashevich, and S. A. Bartalev, “Using local polynomial approximation within moving window for remote sensing data time-series smoothing and data gaps recovery [Vosstanovleniye vremennykh ryadov dannykh distantsionnykh izmereniy metodom polinomialnoy approksimatsii v skolzyashchem okne peremennogo razmera],” Modern problems of remote sensing of the Earth from space of the Russian Academy of Sciences, vol. 11, no. 2, pp. 103-110, 2014, in Russian.
- D. R. Cox, “A use of complex probabilities in the theory of stochastic processes,” Mathematical Proceedings of the Cambridge Philosophical Society, vol. 51, no. 2, pp. 313-319, 1955. doi: 10.1017/S0305004100030231.
- A. Y. Botvinko and K. E. Samouylov, “Adaptive ranking of the firewall rule set using local approximation [Adaptivnoye ranzhirovaniye nabora pravil mezhsetevogo ekrana metodom lokal’noy approksimatsii],” in Distributed Computer and Communication Networks: Control, Computation, Communications, in Russian, 2018, pp. 334-341.