Suricata文檔——第七章性能2

7.3 調整注意事項

檢查最佳性能的設置缸废。

7.3.1 最大等待數(shù)據(jù)包:<number>

此設置控制引擎可以處理的同時處理數(shù)據(jù)包的數(shù)量纺酸。 一般來說厦画,設置這個值會使線程更忙,但是設置太高會導致線程退化换薄。
建議設置:1000或更高暮刃。 Max是?65000藐唠。

7.3.2 mpm-algo:<ac | hs | ac-bs | ac-ks>

控制模式匹配器算法帆疟。 AC是默認的。 在支持的平臺上宇立,Hyperscan是最好的選擇踪宠。

7.3.3 detect.profile:<low | medium | high | custom>

檢測引擎試圖將分離的簽名分成組,以便只檢查實際上匹配的簽名的分組妈嘹。 正如在大規(guī)則集中這將導致太多的組和內存使用相似的組合并在一起柳琢。 配置文件設置控制這種合并的進行程度。 越高越好润脸,但會導致更高的內存使用量柬脸。
“自定義”設置允許修改組大小:

custom-values:
  toclient-groups: 50
  toserver-groups: 50

一般來說毙驯,增加會提高性能倒堕,但會導致更高的內存使用量。

7.3.4 detect.sgh-mpm-context:<auto | single | full>

多模式匹配器可以根據(jù)簽名組(全部)或全局(單個)具有上下文爆价。 自動根據(jù)所選的mpm-algo選擇single和full垦巴。 ac和ac-bs使用“single”。 所有其他“full”铭段。 使用AC將其設置為“full”需要大量的內存:32GB +用于合理的規(guī)則集骤宣。

7.4 Hyperscan

7.4.1 介紹

“Hyperscan是一個高性能的多重正則表達式匹配庫⌒蛴蓿”
https://01.org/hyperscan
Suricata可用于執(zhí)行多模式匹配(mpm)憔披。
Justin Viiret和Intel的Jim Xu實施了支持:https://github.com/inliniac/suricata/pull/1965https://redmine.openinfosecfoundation.org/issues/1704

7.4.2 Compilation

可以通過-with-libhs-includes = /usr/local/ include/hs/ -with-libhs-libraries = /usr/local/lib /,但是默認情況下這不是必須的芬膝。 Suricata應該自動提取Hyperscan的pkg-config文件望门。

當Suricata匯編成功時,您應該擁有:

suricata --build-info|grep Hyperscan
  Hyperscan support:         yes

7.4.3 使用Hyperscan

要使用hyperscan支持編輯您的suricata.yaml蔗候。 將mpm-algo和spm-algo值更改為“hs”怒允。
或者埂软,使用這個命令行選項:-set mpm-algo = hs -set spm-algo = hs

7.4.4 Ubuntu Hyperscan安裝

要將Suricata與Hyperscan支持一起使用锈遥,請安裝依賴項:
apt-get install cmake ragel

7.4.4.1 libboost標題

Hyperscan需要1.58+的libboost頭文件。
在Ubuntu 15.10或16.04+上勘畔,只需要:
apt-get install libboost-dev

7.4.4.2 Trusty

Trusty有1.57所灸,所以太舊了。 我們可以抓取一個更新的libboost版本炫七,但是我們不會在系統(tǒng)范圍內安裝它爬立。 這只是我們在編譯Hyperscan時關心的頭文件。

sudo apt-get python-dev libbz2-dev
wget http://downloads.sourceforge.net/project/boost/boost/1.60.0/boost_1_60_0.tar.gz
tar xvzf boost_1_60_0.tar.gz
cd boost_1_60_0
./bootstrap.sh --prefix =?/ tmp / boost-1.60
./b2 install

7.4.4.3. Hyperscan

我們將安裝 4.2.0.版本

git clone https://github.com/01org/hyperscan
cd hyperscan
mkdir build
cd build
cmake -DBUILD_STATIC_AND_SHARED=1 ../

如果你有自己的libboost 頭問就万哪,則用cmatke替代:

cmake -DBUILD_STATIC_AND_SHARED=1 -DBOOST_ROOT=~/tmp/boost-1.60 ../

最后編譯和安裝

make
sudo make install

編譯需要很長時間侠驯,最后看起來應該是這樣的:

Install the project...

-- Install configuration: "RELWITHDEBINFO"
-- Installing: /usr/local/lib/pkgconfig/libhs.pc
-- Up-to-date: /usr/local/include/hs/hs.h
-- Up-to-date: /usr/local/include/hs/hs_common.h
-- Up-to-date: /usr/local/include/hs/hs_compile.h
-- Up-to-date: /usr/local/include/hs/hs_runtime.h
-- Installing: /usr/local/lib/libhs_runtime.a
-- Installing: /usr/local/lib/libhs_runtime.so.4.2.0
-- Installing: /usr/local/lib/libhs_runtime.so.4.2
-- Installing: /usr/local/lib/libhs_runtime.so
-- Installing: /usr/local/lib/libhs.a
-- Installing: /usr/local/lib/libhs.so.4.2.0
-- Installing: /usr/local/lib/libhs.so.4.2
-- Installing: /usr/local/lib/libhs.so

注意到,你應該天津 /usr/local/lib 到你的 ld 搜索路徑奕巍。

echo "/usr/local/lib" | sudo tee --append /etc/ld.so.conf.d/usrlocal.conf
sudo ldconfig
最后編輯于
?著作權歸作者所有,轉載或內容合作請聯(lián)系作者
  • 序言:七十年代末吟策,一起剝皮案震驚了整個濱河市,隨后出現(xiàn)的幾起案子的止,更是在濱河造成了極大的恐慌檩坚,老刑警劉巖,帶你破解...
    沈念sama閱讀 222,946評論 6 518
  • 序言:濱河連續(xù)發(fā)生了三起死亡事件诅福,死亡現(xiàn)場離奇詭異匾委,居然都是意外死亡,警方通過查閱死者的電腦和手機氓润,發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 95,336評論 3 399
  • 文/潘曉璐 我一進店門赂乐,熙熙樓的掌柜王于貴愁眉苦臉地迎上來,“玉大人咖气,你說我怎么就攤上這事挨措。” “怎么了采章?”我有些...
    開封第一講書人閱讀 169,716評論 0 364
  • 文/不壞的土叔 我叫張陵运嗜,是天一觀的道長。 經(jīng)常有香客問我悯舟,道長担租,這世上最難降的妖魔是什么? 我笑而不...
    開封第一講書人閱讀 60,222評論 1 300
  • 正文 為了忘掉前任抵怎,我火速辦了婚禮奋救,結果婚禮上岭参,老公的妹妹穿的比我還像新娘。我一直安慰自己尝艘,他們只是感情好演侯,可當我...
    茶點故事閱讀 69,223評論 6 398
  • 文/花漫 我一把揭開白布。 她就那樣靜靜地躺著背亥,像睡著了一般秒际。 火紅的嫁衣襯著肌膚如雪。 梳的紋絲不亂的頭發(fā)上狡汉,一...
    開封第一講書人閱讀 52,807評論 1 314
  • 那天娄徊,我揣著相機與錄音,去河邊找鬼盾戴。 笑死寄锐,一個胖子當著我的面吹牛,可吹牛的內容都是我干的尖啡。 我是一名探鬼主播橄仆,決...
    沈念sama閱讀 41,235評論 3 424
  • 文/蒼蘭香墨 我猛地睜開眼,長吁一口氣:“原來是場噩夢啊……” “哼衅斩!你這毒婦竟也來了盆顾?” 一聲冷哼從身側響起,我...
    開封第一講書人閱讀 40,189評論 0 277
  • 序言:老撾萬榮一對情侶失蹤矛渴,失蹤者是張志新(化名)和其女友劉穎椎扬,沒想到半個月后,有當?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體具温,經(jīng)...
    沈念sama閱讀 46,712評論 1 320
  • 正文 獨居荒郊野嶺守林人離奇死亡蚕涤,尸身上長有42處帶血的膿包…… 初始之章·張勛 以下內容為張勛視角 年9月15日...
    茶點故事閱讀 38,775評論 3 343
  • 正文 我和宋清朗相戀三年,在試婚紗的時候發(fā)現(xiàn)自己被綠了铣猩。 大學時的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片揖铜。...
    茶點故事閱讀 40,926評論 1 353
  • 序言:一個原本活蹦亂跳的男人離奇死亡,死狀恐怖达皿,靈堂內的尸體忽然破棺而出天吓,到底是詐尸還是另有隱情,我是刑警寧澤峦椰,帶...
    沈念sama閱讀 36,580評論 5 351
  • 正文 年R本政府宣布龄寞,位于F島的核電站,受9級特大地震影響汤功,放射性物質發(fā)生泄漏物邑。R本人自食惡果不足惜,卻給世界環(huán)境...
    茶點故事閱讀 42,259評論 3 336
  • 文/蒙蒙 一、第九天 我趴在偏房一處隱蔽的房頂上張望色解。 院中可真熱鬧茂嗓,春花似錦、人聲如沸科阎。這莊子的主人今日做“春日...
    開封第一講書人閱讀 32,750評論 0 25
  • 文/蒼蘭香墨 我抬頭看了看天上的太陽锣笨。三九已至蝌矛,卻和暖如春,著一層夾襖步出監(jiān)牢的瞬間票唆,已是汗流浹背朴读。 一陣腳步聲響...
    開封第一講書人閱讀 33,867評論 1 274
  • 我被黑心中介騙來泰國打工屹徘, 沒想到剛下飛機就差點兒被人妖公主榨干…… 1. 我叫王不留走趋,地道東北人。 一個月前我還...
    沈念sama閱讀 49,368評論 3 379
  • 正文 我出身青樓噪伊,卻偏偏與公主長得像簿煌,于是被迫代替她去往敵國和親。 傳聞我的和親對象是個殘疾皇子鉴吹,可洞房花燭夜當晚...
    茶點故事閱讀 45,930評論 2 361

推薦閱讀更多精彩內容