BaeBox

PF_RING : 고속 패킷 캡처 네트워크 소켓 공식문서상에는 실시간으로 패킷을 캡쳐하는 사람이라면 누구나 써도 적합하다고 한다. PF_RING 작동방식 : Linux NAPI 를 이용하여 NIC 로부터 패킷은 polling 받아온다. 이는 NAPI 가 NIC 에서 PF_RING 순환 버퍼로 패킷을 복사한 다음 사용자 응용 프로그램이 링에서 패킷을 읽는다는 뜻이다. 이 경우, 응용 프로그램과 NAPI의 두 poller 가 있으며, 폴링에 사용되는 cpu 주기가 발생한다. 이 방식의 장점은 PF_RING 이 들어오는 패킷을 여러 링에 동시에 분배할 수 있다는 점이다. PF_RING 이 제공하는 모듈 ZC Module FPGA-based card module Stack Module Timeline modul..

Suricata : 오픈 소스 IDS (Intrusion Detection System) 실시간 IDS, IPS(Inline intrusion prevention), NSM(Network Security Monitoring) 및 오프라인 pcap 캡처가 가능하다. YAML 과 같은 표준 입출력 형식과 기존 SIEM, Splunk, ELK 등과 같이 쓰기 좋다. 비영리 재단 OISF 에서 유지 관리한다. 설치할 때가 굉장히 성가시다. 패키지 매니저를 이용해 설치하면 간단하지만, 패킷 캡처를 리눅스 기본 libpcap을 이용하지 않고 PF_RING 을 이용하고자 한다면 소스를 받아서 빌드하고 설치해야 하는데, 대개는 한번에 잘 되지는 않을 거라고 생각한다. https://www.ntop.org/guides/..