基于以太网的虚拟逻辑分析仪设计

为了解决远端测试测量的难题,本文设计了一款基于以太网的虚拟逻辑分析仪。采用FPGA作为核心处理器,通过Verilog逻辑语言实现输入信号的采样、触发控制、存储等,最终通过串口或者以太网实现本地及远端的信号检测。经测试系统运行稳定,工作状况良好。     

一种基于BM算法的改进模式匹配算法研究

基于模式匹配的检测方法是目前入侵检测系统的一种重要方法,因此作为模式匹配方法核心的字符串匹配算法直接影响入侵检测系统的性能和效率.在研究现有算法的基础上提出一种改进的模式匹配算法--New-Search算法.该算法以BM算法为基础,通过预处理阶段处理,首末字符部分定位的思想,增加字符跳转距离,比较稳定地减少匹配过程中字符比较的次数,提高了匹配的速度和效率.     

基于Snort的BM模式匹配算法的改进

近些年来,很多国家工控系统都遭受到了网络安全攻击,造成了巨大的经济损失。网络入侵检测系统（NIDS）是网络安全的重要组成部分之一,开源入侵检测软件通过活跃的社区和研究者们不断更新来应对这快速发展的网络环境。文章介绍了Boyer-Moore字符串匹配算法,并提出一种改进的BM算法,并基于Snort入侵检测系统实现并验证改进算法,实验表明改进的算法提高了模式匹配效率。     

基于特征值的多模式匹配算法

高速网是当今网络发展的必然趋势,采用现行匹配算法的入侵检测系统(IDS)很难在高速网中有效地运行。本文主要从特征值的多模式匹配算法、模式库的组织和逻辑实现这三个方面来大幅度地提高系统检测速率,完全适应于高速网络的入侵检测。     

基于FPGA的高速DSP与液晶模块接口的实现

介绍了一种基于TMS320VC5402 DSP＆FPGA在液晶模块中的设计。针对高速DSP与LCD读写数据过程中时序的不匹配,提出了一种基于FPGA的解决方法。给出了快速器件DSP和慢速器件液晶模块的接口方法,并做出了逻辑时序分析；介绍了TMS320VC5402 DSP与液晶模块通过FPGA接口的硬件和软件实例,并给出了部分程序代码。利用FPGA进行I/O口的扩展,克服了DSP I/O口功能弱的缺点,提高了DSP的控制能力,节省了DSP的I/O资源。实验表明,该系统具有可靠性高的优点。     

基于DSP+FPGA的通用IRFPA成像系统

为了采集不同红外焦平面阵列的图像,提出了一种基于FPGA的软件和硬件融合的设计方法.系统中DSP作为核心处理单元,FPGA作为控制单元.利用FPGA将用户的软件控制指令转换为数字电路的控制逻辑,使系统的通用性大大提高.较为详细地阐述了成像系统的结构和FPGA的控制逻辑,最后给出了DSP实现数据采集的程序实现.实验表明该方法通用性好,实现简单.     

混网网络结构下最优入侵目标检测软件的设计与实现

传统网络入侵目标检测方法存在漏报率高和对不确定入侵数据检测性能弱的缺陷,无法胜任混网网络安全检测的需要。针对混网网络结构特征,设计并实现了最优入侵目标检测软件,该软件包括负载均衡模块、误用检测模块、匹配算法自适应模块,并采用多核网络处理器的多个同构核当成混网入侵检测引擎。通过自适应多模式匹配模型,基于混网网络的状态、特征动态对模式匹配算法进行动态调控,确保入侵目标检测引擎的利用率最大化。该匹配模型包括规范预操作过程、流量检测过程以及动态调控过程。给出了混网网络结构下的数据包多核处理过程以及匹配算法的优化代码。实验结果说明,所设计入侵检测软件可实现混网下入侵目标的有效检测,具有较高的检测性能。     

高速超分辨率图像处理系统

为了对遥感图像进行实时脱机的超分辨率增强处理,设计了一种基于现场可编程逻辑门阵列(FPGA)和数字信号处理器(DSP)的超分辨率图像处理系统,系统在视频预处理部分利用FPGA来实现对视频的降采样处理,在超分辨率处理部分分别用FPGA和DSP来完成对视频源的两种经典超分辨率算法的硬件实现.达到了对视频图像进行高速实时超分辨率处理的目的.     

基于SEM的图形检测系统设计

为满足快速扫描大面积图形的需要,设计了基于扫描电镜的高速图形检测系统。该系统采用快速硬件扫描方式来提高图形检测的速度,可应用于对芯片质量、内部线路状况的检测。介绍了以现场可编程逻辑门阵列(FPGA)为逻辑控制核心的图形检测系统的硬件结构及其工作流程,主要阐述了系统中的D/A转换部分电路的组成和工作原理、图形校正的原理以及系统设计时的注意事项。同时还给出了FPGA在系统中的主要功能以及程序流程图(程序采用VHDL(硬件描述语言)编写)。     

一种网络信息监管系统的设计与实现

基于Linux的Netfilter框架,根据特定的策略实现对网络数据的捕获或者封堵.系统主要由两部分组成:一个可加载的内核模块和一个用户空间的应用程序.分别采用netlink和内存映射技术实现核心态和用户态之间的命令传递和数据交互.可以利用该系统实现基于内容的网络过滤、深度数据包检测、或者采用特定模式匹配算法的入侵检测系统.最后,以封堵BitTorrent流量为例对系统进行测试,并取得了较好的实验结果.     

An FPGA-based network intrusion detection system with on-chip network interfaces

Network intrusion detection systems (NIDS) are critical network security tools that help protect computer installations from malicious users. Traditional software-based NIDS architectures are becoming strained as network data rates increase and attacks intensify in volume and complexity. In recent years, researchers have proposed using FPGAs to perform the computationally-intensive components of intrusion detection analysis. In this work, we present a new NIDS architecture that integrates the network interface hardware and packet analysis hardware into a single FPGA chip. This integration enables a higher performance and more flexible NIDS platform. To demonstrate the benefits of this technique, we have implemented a complete and functional NIDS in a Xilinx Virtex II Pro FPGA that performs in-line packet analysis and filtering on multiple Gigabit Ethernet links using rules from the open-source Snort attack database.     

mDFA: A Memory Efficient DFA-Based Pattern Matching Engine on FPGA

Security applications such as network intrusion detection system (NIDS) and virus scanning engine utilize pattern matching as an essential mechanism for detecting harmful activities or malicious codes. The increase of pattern set in size and complexity as well as the high demand of scanning data volume make pattern matching task on general purpose processor more challenging. One solution for this issue is employing reconfigurable device, field programmable gate array (FPGA), to offload this time-consuming task. In this paper, we introduce a memory efficient FPGA-based pattern matching architecture. We utilized Deterministic Finite Automata (DFA) as main pattern matching algorithm and propose modifications (mDFA) to reduce redundant logic. The proposed design, with better memory utilization, is capable of dynamic update and compatible to stateful NIDSs and virus scanners. The analysis of memory efficiency and the hardware implementation of proposed architecture are also presented in this paper. We experiment our approach on contemporary NIDS pattern sets and virus signature database and build a prototype using NetFPGA 1G platform to test on real network environment. The results show that our design could save up to 90 % hardware resources as compared to traditional DFA approach and gain a throughput of 1.9 Gbps. The prototype could achieve 2.7–4.5 \(\times \) speed up to software-based matching engine.     

Optimization of Pattern Matching Circuits for Regular Expression on FPGA

Regular expressions are widely used in the network intrusion detection system (NIDS) to represent attack patterns. Previously, many hardware architectures have been proposed to accelerate regular expression matching using field-programmable gate array (FPGA) because FPGAs allow updating of new attack patterns. Because of the increasing number of attacks, we need to accommodate a large number of regular expressions on FPGAs. Although the minimization of logic equations has been studied intensively in the area of computer-aided design (CAD), the minimization of multiple regular expressions has been largely neglected. This paper presents a novel sharing architecture allowing our algorithm to extract and share common subregular expressions. Experimental results show that our sharing scheme significantly reduces the area of pattern matching circuits for regular expression.     

Efficient implementation of a frame aggregation unit for optical frame-based switching

Aggregating Ethernet frame or IP packet in large fixed-size frames allows for building scalable core network architectures. Classifying the arriving traffic based on destination core node information and quality of service parameters alleviates the need of performing table look-ups on packet basis. These advantages come at the cost of extra logic at the network egress, as regards implementation, and additional jitter due to the frame assembly process. This paper describes the efficient implementation of a frame aggregation unit that gathers Ethernet packets in G.709 containers, handles 10 Gb/s links, performs classification based on 24-byte headers, and includes a highly pipelined Queue Manager to cope with the considered rates while a specific scheduler controls the quality of service per core network flow. Based on the developed demonstrator, we provide results both as regards area and performance for an FPGA (field programmable gate array) Virtex-4 implementation as well as regarding the introduced jitter.     

一种面向100Gbps网络的L7-filter硬件加速方法

L7-filter是当前广泛应用的流量分类系统,其采用基于正则表达式匹配的深包检测方法,通过检测数据包有效载荷中存在的字符串特征对流量进行分类.然而,由于计算复杂度高、存储消耗大等原因,现有L7-filter软硬件方法的处理性能严重不足,不能适应当前40Gbps以及更高性能骨干网络.在对L7-filter的应用层协议规则集进行分析,总结其中广泛存在的特征的基础上,本文提出了一个硬件加速方法,其通过有针对性的数据模型、算法优化、匹配架构设计以提高流量分类系统的处理能力.为了验证方法的可行性,采用了基于Virtex6的FPGA板卡实现原型系统并对其进行评估.实验结果表明,原型系统的数据吞吐率可以达到约115Gbps.     

FPGA中专用可重构乘法器的设计

提出了一种新的嵌入在FPGA中可重构的流水线乘法器设计.该设计采用了改进的波茨编码算法,可以实现18×18有符号乘法或17×17无符号乘法.还提出了一种新的电路优化方法来减少部分积的数目,并且提出了一种新的乘法器版图布局,以便适应tilebased FPGA芯片设计所加的约束.该乘法器可以配置成同步或异步模式,也町以配置成带流水线的模式以满足高频操作.该设计很容易扩展成不同的输入和输出位宽.同时提出了一种新的超前进位加法器电路来产生最后的结果.采用了传输门逻辑来实现整个乘法器.乘法器采用了中芯国际0.13μm CMOS工艺来实现,完成18×18的乘法操作需要4.1ns.全部使用2级的流水线时,时钟周期可以达到2.5ns.这比商用乘法器快29.1%,比其他乘法器快17.5%.与传统的基于查找表的乘法器相比,该乘法器的面积为传统乘法器面积的1/32.     

基于应用的高速网络入侵检测系统研究

传统的网络入侵检测方法基于传输层以下的数据包特性来检测入侵，因此存在一些难以克服的缺点，如易受欺骗（evasion)、误报警（false positive)多、检测效率低等，难以适应高速的网络环境。为了解决这些问题，本文提出将应用协议分析方法应用到网络入侵检测中，实现基于应用的检测，并提出了一个改进的多模式匹配算法，进一步提高检测的效率；同时针对高速网络环境，利用基于数据过滤的压缩技术与负载均衡技术提出了一个新的网络入侵检测系统结构模型，给出了系统的设计与实现方法。实验测试表明系统能够对吉比特以太网进行有效的实时检测。     

IP-CATV/CATV-IP网关中NIOS嵌入式系统的实现

给出了基于Cyclone器件和嵌入式软处理器Nios下的IP-CATV／CAVT-IP系统网关模型,介绍了在下行广播发送卡和接收卡中应用开发Nios协议栈和FPCA的硬件逻辑实现以太网的IP数据和CATV有线电视网络中的TS数据的协议转换,并且给出了协议栈模型和硬件逻辑的时序关系。     

CAN总线检测系统的多接口设计研究

为了使得CAN总线网络通信更加便捷,提高CAN总线设备检测效率,基于ARM和FPGA设计了一种CAN总线检测系统。在设计硬件电路时采用了功能模块化方法,对ARM模块、FPGA模块和CAN总线接口电路分别进行具体的设计。在FPGA内部采用了自顶向下的方法进行逻辑设计。在设计中针对多接口集成问题,采用ARM微控制器设计了USB和以太网两种接口,且两个接口可独立工作并完成数据交互。完成设计后,进行了仿真验证和硬件调试,结果表明该检测系统可有效实现CAN总线数据的检测和相关测试。     

基于距离比较的AC自动机并行匹配算法

随着网络带宽的快速增长,作为网络安全设备核心模块的多模式匹配(MPM)算法面临严峻的性能挑战.该文提出一种高效的数据包分割和并行匹配算法—距离比较并行匹配算法(DCPM).和已有方法相比,并行的DCPM线程间不存在同步开销,引入的冗余检测开销达到理论最小.基于Aho-Corasick(AC)算法,在8核处理器平台上将D...