honeywall을 활용한 ips,ids 구축

개인적으로 테스트하고자 honeywall을 설치하여 분석해서 새로운 장비에 fedora3에서 honeywall 구성 컨셉과 비슷하게 snort와 snort_inline으로 ids와 ips를 구축중입니다.

즉 하고자하는 목적은 ips와 ids를 구분하고 snort rule은 분배하여 선택한 컨텐츠에 대해서는 ips, ids로 선택이 가능하도록 구성하고자 하는
것입니다. 위 컨셉에 맞게 설치를 하였고 netchk를 이용해 퍼포먼스를 테스트하여 트래픽 손실을 줄이고 효과적으로 트래픽을 필터링을 하고자 각 룰별로 적용한 상태에서 netchk테스트를 실시중 ips(snort_inline)로 backdoor.rules을 사용할때 다른 룰에 비해 트래픽 퍼포먼스가 급격히 떨어지는것을 확인하였습니다.

이외에 snort_inline의 운용시 search-method low-mem을 사용하여 메모리 점유를 낮추고자 사용했지만 swap의 사용으로 인해 트래픽의 손실을 유발시키는듯한 증상을 보여 해당 옵션을 사용할 수가 없었고 search-method low-mem을 사용하지 않는다면 snort_inline의 메모리 점유률이 높아 oom-killer를 발생하여 안정적인 운용이 되지 않았습니다.

제가 묻고 싶은 질문은 backdoor.rules의 버그가 있는지 혹은 대안이 있는지와 있다면 reference를 부탁드리고
또 한가지는 search-method low-mem을 사용하지 않고 모든 룰을 적용한 상태에서 메모리 점유률이 높지 않게 운용이 가능한지 궁금합니다.

저와같은 고민을 같이 고민하시거나 문제를 해결해보신분의 조언을 꼭 듣고 싶습니다. 답변 바랍니다.