Faire que les modèles ML WAF aillent vite: économiser des décennies de temps de traitement

Dans le contexte du score d'attaque WAF, qui est la couche d'apprentissage automatique (AA) de Cloudflare construite au-dessus de leur pare-feu d'application web (WAF), la popularité de la fonctionnalité a conduit à la nécessité d'améliorations de performance. L'objectif de la fonctionnalité est de compléter le WAF et de détecter les contournements d'attaque qui n'ont pas été rencontrés auparavant, attrapant les vulnérabilités zero-day et améliorant la protection des clients contre les menaces émergentes et inconnues. Pour optimiser les performances du modèle ML WAF, plusieurs étapes ont été suivies. En premier lieu, la phase de pré-traitement a été optimisée en utilisant le DFA Aho-Corasick pour remplacer les recherches dans des cartes de hachage, ce qui a réduit la latence de 47,84 % à 1,64 fois. Ensuite, une approche basée sur les correspondances a été utilisée, ce qui a encore réduit la latence de 53,45 % à 2,15 fois. Par la suite, une nouvelle implémentation de remplacement de lettres a été développée, ce qui a doublé la vitesse de pré-traitement et l'a rendue quatre à cinq fois plus rapide que la version originale. Après cela, une recherche de n-grammes sans embranchement a été mise en œuvre, ce qui a réduit la latence de 91,33 % à 11,54 fois. Cela a été accompli en précalculant des tables de recherche d'offset et en les utilisant pour remplacer les opérations de comparaison par des accès directs à la mémoire, qui sont beaucoup plus rapides et n'impliquent pas d'embranchement. Enfin, l'inférence du modèle a été optimisée en activant la multiplication matricielle SIMD et en utilisant XNNPack, ce qui a réduit la latence de 77,17 % à 4,38 fois. De plus, un cache LRU a été mis en place pour éviter les exécutions redondantes et réduire encore la latence. Dans l'ensemble, les optimisations ont réduit le temps d'exécution du ML WAF d'environ 81,90 %, passant de 1519 à 275 microsecondes, soit 5,5 fois plus rapide.