High speed in-kernel network periodicity detection : a discrete wavelet transform implementation via eXpress data path

Abstract

Periodicity in network traffic often indicates anomalies; yet, analyzing high-speed streams is challenging due to the volume of data. While signal processing techniques such as the discrete wavelet transform (DWT) are effective, their real-time application in the network data plane remains non-trivial. This dissertation presents the design and implementation of an online DWT-based method for detecting periodicity in network traffic using the eXpress Data Path (XDP). To this end, we develop an algorithm that bypasses key constraints of the extended Berkeley Packet Filter (eBPF), such as the lack of floating-point arithmetic, and performs DWT decomposition entirely in the XDP data plane. The algorithm operates on a time-series signal generated from packet-per-second counts. We validate our approach by applying it to real-world, security-related traffic captures containing known periodic patterns, which our approach successfully identifies. We also assess the performance of our solution by comparing its throughput against a baseline scenario on high-performance hardware, specifically a 100 Gbit/s BlueField-2 DPU, thereby demonstrating its suitability for high-traffic environments.

A periodicidade no tráfego de rede frequentemente indica anomalias; contudo, a análise de fluxos em alta velocidade é desafiadora devido ao expressivo volume de dados. Embora técnicas de processamento de sinais, como a transformada discreta de wavelet (TDW), sejam eficazes, sua aplicação em tempo real no plano de dados da rede permanece não trivial. Esta dissertação apresenta o projeto e a implementação de um método online baseado na TDW para a detecção de periodicidade no tráfego de rede utilizando o eXpress Data Path (XDP). Para este fim, desenvolvemos um algoritmo que contorna restrições fundamentais do extended Berkeley Packet Filter (eBPF), como a ausência de suporte à aritmética de ponto flutuante, e realiza a decomposição da TDWinteiramente no plano de dados do XDP. O algoritmo opera sobre um sinal de série temporal gerado a partir de contagens de pacotes por segundo. Validamos nossa abordagem aplicando-a a capturas de tráfego real, relacionadas à segurança, que contêm padrões periódicos conhecidos, os quais o método proposto identifica com êxito. Adicionalmente, avaliamos o desempenho de nossa solução comparando sua vazão com um cenário de referência em hardware de alto desempenho, especificamente uma DPU BlueField-2 de 100 Gbit/s, demonstrando, assim, sua adequação para ambientes de alto tráfego.