데이터 쪼개서 우회하는 방법은 옛날이나 잘 먹혔던 방법일텐데 L4 헤더 수준까지 쪼개서 보내면 ACL 우회할 수 있는 경우도 예전에는 있었다고 한다. 이런 경우를 방지하려면 DPI(Deep Packet Inspection)를 수행하는 센서는 IP 재조립이나 TCP 재조립 열심히 잘 해줘야 하고, 여기까지는 대부분 잘 알고 있는 내용이다.

여기서 TCP 세그먼트 경계에서 끊어지지 않는 패턴 매칭을 하려면 세션 데이터를 통으로 들고 있어야 된다고 생각하는게 아마 일반적일 것이다. 스노트는 소스 제대로 안 뜯어봐서 모르겠지만 룰 자체가 content 매칭하고 pcre 스캔 다시 할 수 있게 되어 있으니 아마 일정 분량은 세션 데이터를 들고 있을거라고 생각하고, 와처 같은 경우에도 기껏 제로카피해서 들고 온 패킷을 L7 디코딩하면서 열심히 다시 메모리 복사질을 하고 있었다. 다른 센서들은 어떨지 모르겠으나 하여간 이런 경우에 무한정 세션 데이터를 들고 있을 수는 없고 어느 순간에는 플러시를 해야 되는데 그러면 완벽하게 경계 영역을 무시한 패턴 매칭이 된다고 보기 어렵다. 게다가 메모리도 많이 소모하고 복사로 인한 부하도 만만치 않을 것이다. UDP 트래픽 따위는 wire speed로 처리하다가도 http 부하가 심하게 들어갔다 하면 쓰루풋이 뚝뚝 떨어진다.

무식하게 비교하는게 아닌 이상 AC든 PCRE든 FSM을 만들어서 돌리고 있을테고, 그렇다고 한다면 굳이 세션 데이터를 누적해서 들고 있지 않고 마지막 상태만 기억하고 있어도 끊김없이 패턴 매칭을 이어나가는게 가능하다. 이런 방식을 지원하려면 섬세하게 상태를 관리하도록 구현된 L7 디코더가 필요하다. 말린 센서는 상대적으로 메모리를 훨씬 덜 쓰고도 같은 일을 할 수 있을 것이다.. 다른 아이디어들은 실제 적용이 된다면 언젠가.. DFA 최적화라든가 룰 다시 쓰기라든가..

이외에도 말린 센서는 바이너리 수준으로 PCAP 호환되어 전용 드라이버를 쓰거나 안 쓰거나 동일한 인터페이스를 가져가고 PCAP 파일에서 읽을 수도 있고 테스트 하기 쉽게 구현됐다. 한 줄 요약은 홈형이 짱이라는 것이다.. ㅋ

일년 만에 다시 북경에 왔다.

올림픽 관련 시설들은 다 철거되고 원래 모습으로 돌아간 듯..

예전엔 오자마자 도시 전체에서 매캐한 냄새를 느꼈는데..

이전보다 하늘이 더 뿌옇게 보이는데도 도무지 감각이 없다.

너무 일만 해서 후각이 마비됐나 -_-;;

다음에 올 때는 꼭 기초 회화라도 배워서 와야지

이건 뭐 어디 다닐 때마다 알아듣는 말이 없으니 시 to the 망..

큰 회사는 이번 주말부터, 늦어도 다음 주말부터 2월 말까지는 설 연휴라 한다.

폭죽 터지는 구경 많이 할 수도 있겠다.. 지금도 간간이 터지는 소리가 들림..

여기서 연변까지 기차 타고 가면 23시간이라더라.. 대륙 스케일의 압박..

경험적으로는 정말 좋아서 하지 않는 이상 그런 센스가 갖춰지기 어려운 것 같은데, 그게 개별로 따지면 전혀 별 것 아닌 것 같으면서도 오랜 시간 동안 자기 혼자 이래저래 삽질해보면서 기본적인 개념들이 하나씩 구축되는게 아닌가 싶다. 당장 커다란 개발 경험이나 단단한 이론적인 지식은 모자라서 할 수 있는게 없을 것 같아 보여도 처음에는 전혀 기대하지 않았던(?) 고렙처럼 의외로 금방 자기 영역을 구축하게 되기도 하고, 아마 현수도 비슷한 유형이 될 거라고 생각하고 있다. 물론 주변의 적절한 가이드, 개발 경험과 피드백이 없으면 그런 빠른 성장은 기대하기 어렵다.

근데 페리는 그렇게 오래 안 했는데도 되는거 보면 그냥 원래 똑똑한데다 최근 몇 년 노력 많이 해서 되는 것 같음... -_-;

요새 센스 있는 사람 찾아보기 어려워서 넋두리 한 번 해봤다. 낙관적으로 봐도 20명에 1명 수준인 듯..

검수하고 나면 손봐야 될 목록 줄줄 나올테고.. 실제 판매 들어가면 또 피드백 받아서 수정/추가 기능 줄줄 나올테고.. 그렇게 되기 전에 일단 내부적인 QA라도 깔끔하게 통과해줘야 되는데 그 5년 전이나 지금이나 매뉴얼 쓰고 테스트 하는 순간에도 죽어라 개발하는 모양새는 변함이 없다 -_-; 다 돌아가야 테스트를 하고 문서를 만들지 문서 담당자는 빡칠 수 밖에;

그래도 옛날처럼 죽어라 만들긴 했는데 누가 제대로 써먹을려나 싶은 ESM 보다는 이쪽이 훨씬 쓸모는 있는 것 같으니 어떻게든 완성만 하면 나름 보람은 있을텐데.. 뭐가 되든 남들은 이미 수십년에 걸쳐서 만들어놓은 물건들을 따라잡으려면 어려운게 당연한 것이겠지...

한편 DB는 이제 입력 구현 끝나고 쿼리-_-;에 들어갔으니 목표하는 기능 다 붙여서 실제 제품으로 나오려면 연말까지 가게 되지 않을랑가.. Postgres 구현을 보니 논문 쓴 인간들이 생각 안 해놓은 예외적인 경우들을 캐삽질해서 메우고 구현하느라 주석을 소스 절반 정도 달아놨더라만 나 참 옆에서 봐도 기가 막혀서 ㅋㅋㅋㅋ 이러니 implementer들이 designer들을 욕하는겨.. 꼭 랍형 같은게.. 대충 아이디어만 던지면 구현은 누군가 알아서 해준다? 우와~

누구나 깔끔하고 아름답게 딱 떨어지는 개발을 꿈꾸지만 현실에서는 그런거 거의 불가능하지 않나 싶다.. 뭐 일단 리소스부터 후달리는데 어쩔 것이여.. 아무 생각 없을 때나 마르고 닳도록 까기 바쁜거지.. 자기 앞가림만 하기도 한숨부터 나오는 판에.. 잉여짓 그만하고 잠이나 빨리 자야겠다. 꿈에서라도 백마 탄 초인이 나타나서 한 방에 모든 문제를 해결.. 읍..

(...생략)

아무래도 이제 스톰 센터에 트위터 연동 기능을 넣어야 되나 싶다. 이번 프로젝트만 완전히 끝나면 해봐야지.. 아마 2월 말쯤? 어쩌면 스톰 센터를 아이폰앱으로 개발하게 될 수도 있다.