בדיקות מעמיקות מראות שפתרון ה- ModSecurity של LiteSpeed מהיר ויעיל יותר משל שרתי אחסון אתרים APACHE או שרתי אחסון אתרים NGINX. למרות זאת, מערכת ModSecurity בהיותה אינטנסיבית למעבד השרת, עלולה לגרום לירידה בביצוע השרת. היישום של LiteSpeed מקטין את ההשפעה על מעבד בעזרת הצעדים הבאים: דילוג מחושב על מספר כללים בהתבסס על קלט הבקשה, שמירה במטמון של תוצאות regex במטרה להאיץ התאמת ביטויים, השהיית ביצוע לצורך עיבוד ארוך טווח. עם זאת, LiteSpeed אינם נחים על זרי הדפנה ולכן LiteSpeed שמחים להכריז על שיפור תכונות חשוב עבור שרת אחסון מבוסס LiteSpeed Web Server v 6.0: מנוע ModSecurity אסינכרוני.

הטמעת ModSecurity הינה אתגר עקב ההסתמכות הכבדה על מעבד שרת האחסון, המשאבים הזמינים המוגבלים והנטייה של ModSecurity ליצור צווארי בקבוק: ערכות הכללים הפופולריות של ModSecurity מכילות מאות כללים. בהתאם לגודל הקלט, בקשה אחת יכולה להימשך כמה מאות אלפיות השנייה לסריקה. בשרת מונחה אירועים, שבו שרשור לולאת האירועים הראשי מטפל בכל האירועים, כל השאר חייבים לחכות בזמן שסריקת ModSecurity מבוצעת. ל- LiteSpeed כבר קיים מנגנון העוקב אחר זמני הביצוע במנוע ModSecurity ומשהה את הביצוע במידת הצורך כדי לתת לאירועים אחרים אפשרות לעבור עיבוד במועדם. אבל גם עם השהיית הביצוע הזו, לולאת האירועים המרכזית עדיין יכולה להיתפס על ידי ModSecurity. לדוגמא, לא ניתן להפריע לביצוע ביטוי רגיל, וחלק מהביצועים הללו (במיוחד במהלך התקפות ReDoS) עלולים לעלות במשאבי עיבוד רבים. שרשור לולאת האירועים העיקרי משתמש בליבת מעבד אחת. בעת ביצוע כללי ModSecurity בשרשור לולאת האירועים הראשית, הדרך היחידה להשיג ביצועים טובים יותר היא להגדיל את מספר תהליכי העבודה, כלומר שדרוג הרישיון.

אחד הפתרונות הברורים לבעיית משאבי המעבד הוא יצירת עובדי lshttpd נוספים. ככל שעובדי lshttpd יהיו זמינים יותר, כך יכול ModSecurity להיות מנוצל טוב יותר. אך ניהול מספר גדול של עובדי lshttpd משמעו רישיון יקר יותר. עד עכשיו. LiteSpeed מציגה דרך טובה יותר: החל מ- LiteSpeed Web Server v 6.0, קיים מאגר עבודה נפרד לעיבוד ModSecurity. כאשר יש צורך לסרוק בקשה, היא תועבר למאגר האשכולות הייעודי. היתרונות של זה הם רבים: היתרון החשוב ביותר הינו באפשרות לשרשור לולאת האירוע הראשי והיותה זמין באופן מיידי לעיבוד האירוע הבא, ניתן לנצל טוב יותר מעבדים עם מספר גדול של ליבות ללא צורך בשדרוג לרישיון חזק יותר, מאגר עובדי lshttpd עשוי להיות בעל עדיפות שונה וזיקה למעבד מהשרשור לולאת האירוע הראשי – מה שממזער את ההשפעה האפשרית של תזמון ה- threads, באמצעות עובדי lshttpd ייעודיים, מנוע ה- ModSecurity של LiteSpeed מסוגל לסרוק את גוף התגובה (תמיכה בהחלת ModSecurity לגוף תגובה לא הייתה זמינה עד כה, בעיקר בגלל הבעיות שתוארו לעיל).

Close Menu