3. SYSTEM EVALUATIONIn this section

3. SYSTEM EVALUATION
In this section we detail the system deployment and performance
evaluation.
3.1 Deployment and Performance
We deploy the entire system to monitor two backbone OC-48
links, described in 2. These links represent a well utilized peering
point of Sprint’s backbone network with another tier 1 ISP, in the
west coast of United States.
We use a CMON [13] passive monitoring node on a PC equipped
with DAG 4.3 optical packet capture card [1] for each link. CMON’s
flow classifier sets an active timeout period of 1 minute, and exports
flows through sockets to the Detector PC. On the Detector
PC Flow-daemon and TAPS run as separate processes. These PCs
have a typical 2U rack server configuration, with dual processors of
2.5Ghz, 4GB of memory and 350GByte of hard disk space. They
run Linux with a 2.6 kernel with a Fedora Core 5 distribution.
A common mode of failure is packet or flow dropping, indicating
the system cannot process as fast as traffic arrives. Since the
flow daemon buffer size was set according to the bounds found in
section 2.1, for our set of experiments we were able to stabilize
the system. By observing the logs of CMON, flow daemon and
TAPS, we validated this design choice by ensuring that no flows
were dropped during the » 3 day run of our experiments.
As any scanner classifier, TAPS can produce false positives or
negatives. The question is how severe is this inaccuracy and if it
is acceptable by operators. In [16] we quantify the low false positive
and high detection rate of TAPS, given a data set with ground
truth. Here we point out TAPS’s known weakness in distinguishing
a NAT firewall or proxy from a true scanner, as these false positives
are notoriously difficult to avoid and as yet we do not have
a good solution. However, complimentary deep packet inspection
(DPI) techniques can be applied to our scanner subset to further
verify if an IP is truly malicious. Since DPI is known to be much
more resource intensive, TAPS can feed a DPI process only highly
suspected flows rather than all flows. In the rest of the paper, we
simply focus on the scanners as defined by TAPS and do not revisit
this issue.
3.2 Number of hash functions and accuracy
In order to evaluate the affect on accuracy we ran the system
with three different versions of TAPS, with different number of
hash functions (m = 8;m = 32;m = 256). We denote these as
TAPS 256, TAPS 32 and TAPS 8. All three versions were started
simultaneously, receiving the same flows from Flow Daemon for

ผลลัพธ์ (ไทย) 1:

3 การประเมินผลระบบ
ในรายละเอียดเราส่วนการใช้งานและประสิทธิภาพการทำงานของระบบการประเมินผลการ
.
3.1 การใช้งานและประสิทธิภาพการทำงาน
เราปรับใช้ทั้งระบบการตรวจสอบสองกระดูกสันหลัง oc-48
เชื่อมโยงที่อธิบายไว้ใน 2 เชื่อมโยงเหล่านี้เป็นตัวแทนของการหัน
ใช้จุดดีของเครือข่ายกระดูกสันหลังวิ่งต่ออีกชั้น 1 isp การใน
ชายฝั่งตะวันตกของสหรัฐอเมริกา.
เราใช้ Cmon [13] การตรวจสอบโหนดที่แฝงในเครื่องคอมพิวเตอร์ที่ติดตั้งด้วย
dag 4.3 บัตรจับแพ็คเก็ตออปติคอล [1] สำหรับการเชื่อมโยงแต่ละ Cmon ของ
ไหลลักษณนามกำหนดระยะเวลาหมดเวลาใช้งานของ 1 นาทีและการส่งออก
ไหลผ่านซ็อกเก็ตพีซีเครื่องตรวจจับ เกี่ยวกับการตรวจจับชิ้น
ไหลภูตและก๊อกกระบวนการทำงานที่แยกจากกันเป็น ชิ้นเหล่านี้
2u มีการกำหนดค่าเซิร์ฟเวอร์ชั้นทั่วไปที่มีโปรเซสเซอร์ที่สองของ
2.5GHz,4gb ของหน่วยความจำและ 350gbyte ของพื้นที่ฮาร์ดดิสก์ พวกเขา
ทำงานด้วยลินุกซ์เคอร์เนล 2.6 กับ Fedora Core 5 การกระจาย
. โหมดปกติของความล้มเหลวเป็นแพ็คเก็ตหรือลดลงการไหลแสดง
ระบบไม่สามารถประมวลผลได้เร็วที่สุดเท่าที่การจราจรมาถึง ตั้งแต่ขนาดบัฟเฟอร์
ไหลภูตได้รับการตั้งค่าตามขอบเขตที่พบใน
ส่วน 2.1 สำหรับการตั้งค่าของเราในการทดลองเราสามารถที่จะรักษาเสถียรภาพของระบบ
โดยการสังเกตบันทึกของ Cmon, ภูตไหลและ
ก๊อกที่เราตรวจสอบทางเลือกการออกแบบนี้โดยมั่นใจว่าไม่มีกระแส
ถูกทิ้งไว้ในช่วง» 3 วันทำงานของการทดลองของเรา.
ลักษณนามเป็นสแกนเนอร์ที่สามารถผลิตก๊อกบวกเท็จหรือ
เชิงลบ . คำถามคือวิธีการที่รุนแรงเป็นความไม่ถูกต้องนี้และถ้า
เป็นที่ยอมรับโดยผู้ประกอบการ ใน [16] เราปริมาณเท็จบวกในระดับต่ำ
และอัตราการตรวจจับสูงของก๊อกได้รับชุดข้อมูลกับพื้นดิน
ความจริง ที่นี่เราชี้ให้เห็นจุดอ่อนของก๊อกน้ำที่รู้จักกันในลักษณะ
ไฟร์วอลล์หรือพร็อกซี่นัจากสแกนเนอร์ที่แท้จริงเป็นบวกเท็จเหล่านี้
เป็นอย่างฉาวโฉ่ยากที่จะหลีกเลี่ยงและเป็นยังเราไม่ได้มี
เป็นทางออกที่ดี แต่การตรวจสอบแพ็คเก็ตฟรีลึก
(dpi) เทคนิคการสามารถนำไปใช้กับสแกนเนอร์ของเราย่อยต่อไป
ตรวจสอบว่า ip เป็นอันตรายอย่างแท้จริง ตั้งแต่ dpi เป็นที่รู้จักกันมาก
ทรัพยากรเข้มข้นก๊อกสามารถป้อนกระบวนการ dpi สูง
เพียงกระแสที่สงสัยมากกว่ากระแสทั้งหมด ในส่วนที่เหลือของกระดาษที่เรา
เพียงมุ่งเน้นในการสแกนเนอร์ตามที่กำหนดโดยก๊อกและไม่ทบทวนปัญหานี้
.
3.2 จำนวนหน้าที่กัญชาและความถูกต้อง
เพื่อประเมินผลกระทบต่อความถูกต้องเราวิ่งระบบ
กับสามรุ่นที่แตกต่างกันของก๊อกน้ำที่มีจำนวนแตกต่างกันของ
ฟังก์ชันแฮช (m = 8; m = 32; m = 256) เราแสดงเหล่านี้เป็นก๊อก
256, 32 และก๊อกก๊อก 8 ทั้งสามรุ่นเริ่ม
พร้อมกันได้รับกระแสเดียวกันจากภูตไหล

ผลลัพธ์ (ไทย) 2:

3. ระบบประเมิน
ในส่วนนี้ เรารายละเอียดการใช้งานระบบและประสิทธิภาพ
ประเมิน
3.1 ใช้งานและประสิทธิภาพ
เราจัดวางระบบทั้งหมดเพื่อตรวจสอบแกนหลักสอง 48 องศาเซลเซียส
ลิงค์ อธิบายใน 2 เชื่อมโยงเหล่านี้แสดงการใช้งานดีทุกที
แกนหลักจุดของวิ่งของเครือข่ายกับ ISP อื่นระดับ 1 ในการ
ตะวันตกชายฝั่งของสหรัฐอเมริกา
เราใช้ CMON [13] แฝงตรวจสอบโหนบนพีซีพร้อม
กับการ์ดจับแพคเก็ตแสงพื้นที่ 4.3 [1] สำหรับแต่ละการเชื่อมโยง ของ CMON
classifier ขั้นตอนตั้งค่ารอบระยะเวลาการหมดเวลาใช้งาน 1 นาที และส่ง
ไหลผ่านซ็อกเก็ตพีซีเครื่องตรวจจับ บนเครื่องตรวจจับ
PC ขั้นตอนดีมอนและก๊อกทำงานเป็นกระบวนการที่แยกต่างหาก ชิ้นนี้
มีที่คลุม 2U ทั่วไปชั้นกล่าว มีตัวประมวลผลแบบ dual ของ
2.5 Ghz 350GByte ฮาร์ดดิสก์และหน่วยความจำ 4GB พวกเขา
รัน Linux กับ kernel 2.6 กับกระจาย Fedora Core 5 แบบได้
โหมดทั่วไปล้มเหลวคือ แพคเก็ตหรือกระแสปล่อย แสดง
ระบบไม่สามารถประมวลผลได้เร็วเท่าการจราจรมาถึงได้ ตั้งแต่
ขั้นตอนดีมอนขนาดบัฟเฟอร์ถูกตั้งตามขอบเขตที่พบใน
ส่วน 2.1 สำหรับเราชุดการทดลองที่เราไม่สามารถอยู่ดี
ระบบการ โดยการสังเกตบันทึกของ CMON ไหลมอน และ
ก๊อก เราตรวจทางเลือกนี้ออกแบบ โดยมั่นใจว่าไม่ไหล
ถูกทิ้งในระหว่าง» รันวันที่ 3 ของการทดลองของเราได้
เป็น classifier สแกนเนอร์ใด ๆ ก๊อกสามารถผลิตเท็จทำงานผิดพลาด หรือ
ฟิล์ได้ คำถามคือรุนแรง inaccuracy นี้ และถ้ามัน
เป็นที่ยอมรับ โดยตัวดำเนินการ ใน [16] เรากำหนดปริมาณค่าบวกเท็จต่ำ
และอัตราการตรวจจับสูงของก๊อก กำหนดชุดข้อมูลกับพื้น
ความจริง ที่นี่เราชี้ให้เห็นของก๊อกรู้จักจุดอ่อนในการแยกความแตกต่าง
NAT ไฟร์วอลล์หรือพร็อกซีจากสแกนเนอร์จริง เป็นการทำงานผิดพลาดปลอมเหล่านี้
ฉาวยากที่จะหลีกเลี่ยง และที่ยังไม่มี
เป็นโซลูชันที่ดี อย่างไรก็ตาม สามารถใช้เทคนิค inspection
(DPI) แพคเก็ตลึกฟรีชุดย่อยทั้งสแกนเนอร์เรา
ตรวจสอบว่า IP เป็นอันตรายอย่างแท้จริง เนื่องจาก DPI เป็นที่รู้จักกันให้มาก
เร่งรัดเพิ่มเติมทรัพยากร ก๊อกสามารถดึงกระบวนการ DPI สูงเท่า
สงสัยกระแสแทนที่เป็นขั้นตอนทั้งหมดได้ ในส่วนเหลือของกระดาษ เรา
ความสำคัญสแกนเนอร์ที่ตามที่กำหนด โดยก๊อก และบราว์
ปัญหานี้
3.2 จำนวนฟังก์ชันแฮชและความถูกต้อง
การประเมินมีผลต่อความแม่นยำ เราวิ่งระบบ
มีสามรุ่นต่าง ๆ ก๊อก มีจำนวน
ฟังก์ชันแฮช (m = 8; m = 32, m = 256) เราแสดงเหล่านี้เป็น
256 ก๊อก ก๊อก 32 และก๊อก 8 ทั้งหมด 3 รุ่นเริ่ม
พร้อม รับกระแสเดียวกันจากกระแสดีมอนสำหรับ

ผลลัพธ์ (ไทย) 3:

3 . ระบบการประเมินผล
ซึ่งจะช่วยในส่วนนี้เรารายละเอียดการปรับใช้ระบบและ ประสิทธิภาพ และการใช้งาน ประสิทธิภาพ
ซึ่งจะช่วยการประเมินผล.
3.1
เราปรับใช้ระบบทั้งหมดให้กับจอมอนิเตอร์ L oC - 48
สองแกนหลักที่อธิบายใน 2 L เหล่านี้เป็นอย่างดีสอดส่ายสายตาใช้งาน
ซึ่งจะช่วยจุดที่เครือข่ายแบ็คโบนของนักวิ่งระยะสั้นพร้อมด้วย 1 ISP ระดับหนึ่งในแนวชายฝั่ง
ทางด้านทิศตะวันตกของประเทศสหรัฐอเมริกา.
เราใช้โหนดการตรวจสอบแบบพาสซีฟ cmon [ 13 ]บนเครื่องพีซีได้รับการจัดให้บริการด้วย
dag 4.3 ออปติคอลไดรฟ์ Packet ถ่าย ภาพ การ์ด[ 1 ]สำหรับแต่ละลิงค์ ' scmon ลักษณนาม
การไหลของน้ำจะกำหนดระยะเวลาการหมดระยะเวลาของการส่งออกและ 1 นาที
ไหลผ่านช่องเสียบไปยังอุปกรณ์ตรวจจับเครื่องพีซี เทปแยกและบนการไหลของอุปกรณ์ตรวจจับ
เครื่องพีซี - ดีมอนทำงานเป็นกระบวนการแบบแยกพื้นที่ เครื่องพีซี
เหล่านี้มีการตั้งค่าเซิร์ฟเวอร์แร็ค 2 U แบบดั้งเดิมพร้อมด้วยโปรเซสเซอร์แบบดูอัลคอร์ของ
2.5 GHz4 กิกะไบต์ของหน่วยความจำและ 350 กิกะไบต์ของพื้นที่ว่างในฮาร์ดดิสก์ พวกเขา
รันด้วยระบบปฏิบัติการ Linux 2.6 เคอร์เนลที่พร้อมด้วยระบบปฏิบัติการ Fedora Core 5 การกระจายสินค้า.
โหมดโดยทั่วไปที่มีความล้มเหลวหรือการไหลของแพ็คเกตลงแสดง
ระบบไม่สามารถดำเนินการได้เร็วเท่ากับการจราจรเข้ามา นับตั้งแต่ขนาดบัฟเฟอร์ดีมอน
ซึ่งจะช่วยการไหลของที่ได้รับการตั้งค่าตามเขตที่พบใน
ส่วน 2.1 สำหรับตั้งค่าของเราในการทดลองเราก็สามารถเพิ่ม เสถียรภาพ ให้กับระบบ
ซึ่งจะช่วยได้ล็อกออนจากการสังเกตของ cmon ดีมอนและการไหลเวียน
ซึ่งจะช่วยเราได้รับการตรวจสอบเทปแยกทางเลือกการออกแบบนี้ด้วยการให้ความมั่นใจว่าไม่มีการเคลื่อนย้าย
ซึ่งจะช่วยได้ลดลงในช่วง" 3 วันที่มีการทดลองของเรา.
เป็นลักษณนามเครื่องสแกนที่สามารถผลิตเทปแยกการแจ้งเตือนที่ผิดพลาดหรือ
กระจกแยกสี คำถามคือว่าอย่างรุนแรงคือไม่แน่นอนนี้และหาก
ซึ่งจะช่วยได้เป็นที่ยอมรับของผู้ให้บริการ ใน[ 16 ]เรา volatility )ต่ำผิดพลาดในเชิงบวกที่
ตามมาตรฐานและอัตราการตรวจจับสูงของเทปแยกข้อมูลที่มีการต่อสายดิน
ซึ่งจะช่วยตั้งค่าความจริง. ณที่นี่เราจุดออกจากก๊อกน้ำความอ่อนแอที่รู้จักกันดีในความโดดเด่นไฟร์วอลล์หรือพร็อกซี่จากสแตนเลสสตี
ซึ่งจะช่วยให้เครื่องสแกนอย่างแท้จริงที่เป็นเท็จการแจ้งเตือนเหล่านี้มีขึ้นชื่อโด่งดัง
ซึ่งจะช่วยหลีกเลี่ยงได้ยากและเราก็ยังไม่มี
ซึ่งจะช่วยให้โซลูชันที่ดี แต่ถึงอย่างไรก็ตามเทคนิค
( dpi ) อภิ นันทนาการการตรวจสอบแพ็คเก็ตลึกสามารถนำไปใช้กับเครื่องสแกนของเราเพื่อตอบแทน
ตรวจสอบว่าที่อยู่ IP คือที่เป็นอันตรายอย่างแท้จริง นับตั้งแต่จุดต่อตารางนิ้วเป็นที่รู้จักกันในชื่อจะต้องมากกว่า
ซึ่งจะช่วยทรัพยากรจำนวนมากเทปแยกอาจจะให้อาหารสัตว์การจุดต่อตารางนิ้วเท่านั้นเป็นอย่างสูง
ไหลสงสัยมากกว่าไหลทั้งหมด ในส่วนที่เหลือของกระดาษที่เรา
เรียบง่ายเน้นไปที่เครื่องสแกนตามที่กำหนดโดยเทปแยกและไม่ได้กลับมาเยือนอีกครั้งจำนวน
ซึ่งจะช่วยแก้ไขปัญหา.
3.2 และความถูกต้องของการทำงาน Hash
ซึ่งจะช่วยในการประเมินมีผลต่อที่อยู่บนความถูกต้องเราวิ่งระบบ
พร้อมด้วยสามรุ่นต่างๆของก๊อกน้ำที่มีจำนวนที่ต่างกันในการทำงาน
Hash (ม.= 8 ม.= 32 M = 256 ) เราแสดงว่าเหล่านี้เป็น
แตะ 256 เทปแยก 32 และแตะ 8 สามทุกรุ่นได้เริ่ม
พร้อมกันได้รับกระแสเดียวกันนี้ได้จากการไหลของน้ำดีมอนสำหรับ