江天宇，胡洋瑞

（四川大学计算机学院，成都 610065)

高速网络环境下的流量采集系统设计

江天宇，胡洋瑞

（四川大学计算机学院，成都 610065)

为了使网络异常检测系统能够在高速网络环境中正常工作，实现一种高效的流量采集系统。它利用双缓冲机制减少多线程锁的开销，使用多线程技术提高系统处理效率，并且该系统具有很好扩展性，可以迁移到其他平台，最终将该系统应用在高速网络环境下的网络数据包在线捕获处理。

网络流量；异常检测；网络安全

0 引言

随着互联网变得越来越庞大，网络也越来越复杂，网络中的各种恶意软件、病毒、木马也越来越多。网络异常检测系统架设在系统边界，对边界流量进行审计、检测，随着网络流量的增大，采集系统压力也越来越大。因此，研究高速网络流量采集系统对提升网络异常检测系统的性能非常关键。

在目前的网络异常检测检测领域，网络流量数据通常有两种格式，一种是基于会话流数据，一种是基于数据包数据。根据C.Barakat等人[1]给出的定义，会话流是一个由源IP地址和端口、目标IP地址和端口以及应用协议组成的五元组（源IP地址、源端口、目标IP地址、目标端口、应用协议）；后者是使用原始数据包来进行网络流量分析[2]。基于会话流的异常检测是目前的主流，目前流行的NetFlow、NetStream等协议都提取了会话流信息，因为它最大限度地保留了网络流量的摘要信息，同时又不涉及隐私问题。

1 Winpcap工作原理

在Windows平台上，捕获数据包的途径有很多种，例如，Raw Socket、Winpcap等。……