Network packet capture performs essential functions in network management such as attack analysis, network troubleshooting, and performance debugging. As the network bandwidth exceeds 10s of Gbps, the demand for scalable packet capture and retrieval is rapidly increasing. However, existing software-based packet capture systems neither provide high performance nor support flow-level indexing for fast query response. This would either prevent important packets from being stored or make it too slow to retrieve relevant flows.
In this dissertation, I present FloSIS, a highly scalable, software-based flow storing and indexing system. FloSIS is characterized as the following three aspects. First, it exercises full parallelism in multiple CPU cores and disks at all stages of packet processing. Second, it constructs two-stage flow-level indexes, which helps minimize expensive disk access for user queries. It also stores the packets in the same flow at a contiguous disk location, which maximizes disk read throughput. Third, I optimize storage usage by flow-level content deduplication at real time. My evaluation shows that FloSIS on a dual octa-core CPU machine with 24 HDDs achieves 30 Gbps of zero-drop performance with real traffic, consuming only 0.25% of the space for indexing.
I use FloSIS to analyze real network traffic of a public data center in South Korea, that offers cloud services for business enterprises. I capture the entire traffic of the data center for 20 hours and check packet and flow level communication characteristics. In addition, I confirm the application protocols to figure out the applications running in the data center. Finally, I show two network management cases, anomaly detection and SDN system-level simulation.
네트워크 패킷 캡처는 침해사례 분석, 네트워크 문제 진단 및 성능 문제 해결 등의 네트워크 관리에 필수적인 역할을 수행한다. 그런데 네트워크 대역폭이 초당 수십 기가비트 이상으로 크게 증가하는 상황에서 기존의 소프트웨어 기반의 패킷 캡처 시스템은 충분히 높은 성능을 보여주지 못하고 있다. 또한 저장된 패킷들을 빠르게 플로우 단위로 검색하기 위한 색인도 제공하지 않는다. 이로 인해 중요한 패킷들이 저장되지 않을 수 있고, 분석이 필요한 플로우들을 전체 트래픽에서 찾아내는데 매우 긴 시간이 소요된다.
본 논문에서는 저비용, 고유연성을 지닌 소프트웨어 기반 네트워크 플로우 저장 및 색인 시스템의 설계 및 구현에 대하여 설명한다. 본 시스템은 세 가지의 주요 특징을 갖는다. 첫째로 멀티코어 중앙처리장치와 다중 큐 네트워크 인터페이스 카드, 수십 개의 하드디스크와 같은 최신의 범용 하드웨어를 활용하여 네트워크 인터페이스에서 패킷을 읽어 들여 하드디스크에 저장하기까지의 모든 과정을 전적으로 병렬화하였다. 둘째로 원하는 플로우의 패킷들을 찾아내는 과정에서 수반되는 디스크 접근을 최소화하여 검색 성능을 향상시키는 두 단계의 플로우 단위 색인 구조 및 플로우 단위 트래픽 저장 방안을 고안하였다. 셋째로 실시간 플로우 복원을 통한 트래픽 콘텐츠 중복 저장 방지 기능을 구현하여 저장 효율을 향상시켰다. 그 결과 두 개의 옥타코어 중앙처리장치와 24 개의 하드디스크를 가진 상용 서버에서 초당 약 36 기가비트의 패킷 캡처 및 저장 성능을 확보하였고, 기존 시스템 대비 약 5 배 빠른 검색 속도를 확인하였다. 또한 실제 트래픽을 대상으로 한 실험에서 트래픽 콘텐츠 중복 저장 방지를 통해 약 34.5%의 저장 공간을 절약하였다.
또한 본 논문에서는 본 시스템을 활용하여 실제 공용 데이터 센터의 실트래픽을 측정하여 분석함으로써 본 시스템의 활용 가능성을 실증적으로 증명하는 한편 현대 네트워크 환경의 중요한 요소인 데이터 센터의 트래픽 특성을 정량적으로 분석하였다. 본 데이터 센터는 기업들을 위한 클라우드 서비스를 제공하며, 실제로 다양한 규모의 기업체들이 웹서비스, 모바일 게임 서버 운영 등의 목적으로 활용 중이다. 본 데이터 센터의 전체 트래픽을 약 20 시간 동안 수집하여 총 40 테라바이트에 해당하는 트래픽 데이터를 확보할 수 있었고, 이를 분석하여 패킷 및 플로우 단위에서의 통신 특성을 확인할 수 있었다. 뿐만 아니라 응용 계층 프로토콜을 분석하여 본 데이터 센터에서 동작 중인 애플리케이션들을 파악하였다. 끝으로 이상 현상 탐지와 소프트웨어 정의망의 시스템 수준 시뮬레이션에 본 데이터 센터의 트래픽 분석 결과를 활용한 실제 네트워크 운영 사례를 소개한다.
