SAPO-BOI: Pulando a Pilha de Rede no Desenvolvimento de um NIDS Baseado em BPF/XDP - Machnicki, Raphael Kaviak; Correia, Jorge; Penteado, Ulisses; Fulber-Garcia, Vinicius; Grégio, André (Anais do Simpósio Brasileiro de Cibersegurança (SBSeg); 2024: Anais do XXIV Simpósio Brasileiro de Segurança da Informação e de Sistemas ComputacionaisDO - 10.5753/sbseg.2024.240768, 2024)
Sistemas de detecção de intrusão em redes (NIDS) analisam diferentes regiões de um pacote para detectar padrões de ataques conhecidos. O surgimento do XDP permitiu implementar NIDS no contexto da pilha de rede do kernel Linux. Neste trabalho, propõe-se o “SAPO-BOI”, um NIDS composto por dois módulos: o de Suspeição (programa XDP que processa pacotes paralelamente, descarta os insuspeitos e redireciona os suspeitos para decisão em espaço de usuário) e o de Avaliação (processo de usuário capaz de encontrar em tempo constante a regra que analisa o pacote suspeito e gerar alertas). Usando um subconjunto modificado de regras do Snort, o SAPO-BOI foi comparado com NIDS tradicionais e em nível de kernel e superou o estado-da-arte.