[發明專利]網絡審計數據采集方法及相應裝置、設備和存儲介質

在審

• 申請號: 201810251152.7
• 申請日: 2018-03-26
• 公開（公告）號: CN108809748A
• 公開（公告）日: 2018-11-13
• 發明（設計）人: 劉勇;張鳳羽
• 申請（專利權）人: 北京天融信網絡安全技術有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06
• 代理公司: 工業和信息化部電子專利中心 11010
• 代理人: 焉明濤

本發明公開了一種網絡審計數據采集方法及相應裝置、設備和存儲介質，所述裝置包括：數據抓取單元，用于啟動數據轉發進程，通過所述數據轉發進程創建多個虛擬網絡接口、從物理網卡抓取原始數據報文以及將所述原始數據報文發送給各個虛擬網絡接口；數據采集單元，用于啟動多個網絡審計進程，通過每個網絡審計進程從對應的虛擬網絡接口獲取相應的原始數據報文。本發明有效提高了網絡流量的審計性能，增加了網絡審計系統的容錯性，減少了網絡審計時間漏審的幾率。

技術領域

本發明涉及網絡技術領域，特別是涉及一種網絡審計數據采集方法及相應裝置、設備和存儲介質。

背景技術

網絡審計系統部署在網絡出口，抓取網絡數據報文，解析報文并提取傳輸內容，實現網絡審計功能。網絡審計系統在企業或政府機構部署，為提高工作效率、威懾違規行為、取證定責、追根溯源提供有效手段。

隨著網絡的高速發展，網絡出口帶寬也不斷擴大，百兆、千兆網絡已很普遍，萬兆網絡出口也逐漸形成規模。流量大是目前網絡的重要特點。另一方面，網絡應用軟件多樣化，不同的應用軟件會產生不同格式的網絡應用數據，即使相同的應用軟件，由于應用軟件版本不同，產生的應用數據格式也可能不一樣，因此，應用流量復雜是目前網絡的又一特點。此外，由于網絡報文重傳、丟包、畸形報文等因素也使得網絡流量變得更加復雜。

因此，網絡審計系統需要面臨這兩大網絡問題，即能在大流量、復雜應用流量的網絡環境中，如何高速采集網絡原始數據報文，如何以最大的兼容性處理復雜的網絡流量。雖然現有網絡審計系統也存在相應的解決辦法，但是現有網絡審計系統實現復雜，整體性能存在瓶頸，不會與系統硬件配置提升成線性增長趨勢；并且容錯性較差，一旦程序異常崩潰，則其審計功能將可能用，會造成大量漏審網絡事件。

發明內容

為了克服上述缺陷，本發明要解決的技術問題是提供一種網絡審計數據采集方法及相應裝置、設備和存儲介質，用以至少提高網絡流量的審計性能。

為解決上述技術問題，本發明實施例中的一種網絡審計數據采集裝置，包括：

數據抓取單元，用于啟動數據轉發進程，通過所述數據轉發進程創建多個虛擬網絡接口、從物理網卡抓取原始數據報文以及將所述原始數據報文發送給各個虛擬網絡接口；

數據采集單元，用于啟動多個網絡審計進程，通過每個網絡審計進程從對應的虛擬網絡接口獲取相應的原始數據報文。

可選地，所述數據抓取單元包括：

啟動模塊，用于啟動數據轉發進程，通過所述數據轉發進程運行虛擬接口創建模塊和數據轉發模塊；

所述虛擬接口創建模塊，用于創建多個虛擬網絡接口；

所述數據轉發模塊，用于從所述物理網卡抓取所述原始數據報文以及將所述原始數據報文發送給各個虛擬網絡接口。

可選地，所述數據轉發模塊，具體用于根據所述原始數據報文的源目的IP地址計算散列值；根據所述散列值和所述多個虛擬網絡接口的數量，確定網絡接口序號；根據所述網絡接口序號，將從所述物理網卡的發送隊列中讀取的原始數據報文發送給相應的虛擬網絡接口。

可選地，所述多個虛擬網絡接口的數量為中央處理器邏輯核的數量減2。

可選地，所述數據抓取單元，還用于將所述數據轉發進程綁定到一個中央處理器邏輯核；

所述數據采集單元，還用于將每個網絡審計進程綁定到一個中央處理器邏輯核。

為解決上述技術問題，本發明實施例中的一種網絡審計數據采集方法，包括：

啟動數據轉發進程；通過所述數據轉發進程創建多個虛擬網絡接口、從物理網卡抓取原始數據報文以及將所述原始數據報文發送給各個虛擬網絡接口；