施润杰 康晓凤 王可 茅璋瑞

摘  要：针对互联网面临的僵尸网络、渗透等恶意威胁，如何确保网络设备的高可靠性、数据的安全性和完整性，是急需解决的问题。本文设计实现了内核级网络流量监测系统，本系统包括流量采集、流量检测、流量统计、防护模块和Web控制台五大模块，实现了流量的捕获和监测均在内核完成，减少了性能开销。使用本系统能够减少服务器遭受恶意流量攻击，为众多Linux服务器提供强大的保护。

关键词：Netfilter;网络流量检测;内核态;网络安全

中图分类号：TP315     文献标识码：A

Kernel-Level Network Traffic Monitoring System

SHI Runjie， KANG Xiaofeng， WANG Ke， MAO Zhangrui

（College of Information Engineering， Xuzhou Institute of Technology， Xuzhou 221000， China）

handchongboy@sina.com; kxfeng07@163.com; admi1n@163.com; 1244529720@qq.com

Abstract： It is urgent to ensure high reliability of network equipment and the security and integrity of data in view of malicious threats such as botnets and infiltrations faced by the Internet. This paper proposes to design and implement a kernel-level network traffic monitoring system which includes five modules： traffic collection， traffic detection， traffic statistics， protection module and Web console. The system realizes that traffic capture and monitoring are completed in the kernel， reducing performance overhead. This system can reduce malicious traffic attack on servers and provide powerful protection for Linux servers.

Keywords： Netfilter; network traffic detection; kernel mode; network security

1   引言（Introduction）

隨着网络技术的不断进步和发展，绝大多数人在享受网络带来的便利时，却忽视了网络中潜在危害。由于Linux操作系统的开放性、易移植性等优良特性使得许多采用Linux操作系统的服务器暴露在公网中，绝大部分是因为缺少良好的防护和检测机制，导致其在分布式拒绝服务攻击、僵尸网络等网络攻击面前不堪一击[1]。

本系统使用Linux的Netfilter机制，结合动态可加载内核模块技术和Netlink通信机制，实现了网络流量检测系统。本系统核心模块运行在Linux内核空间，对数据包的收、发、拦截检测均在内核空间内完成，降低了数据包从内核空间复制到用户空间的次数，减少了用户空间内存的消耗[2]。同时，为了最大程度满足用户安全需求，本系统与Web服务相结合，用户可根据需求自定义设置规则，使用简单方便，便于用户及时发现并拦截服务器当前所遭受的网络攻击。

2   Netfilter介绍（Introduction to Netfilter）

Netfilter是Linux 2.4及以上版本所引入的一个子系统，是一个通用且抽象的框架，作为一套防火墙系统集成到Linux内核协议栈中[3]。……