QNSM(IQIYI Network Security Monitor) 是一個旁路部署的全流量，實(shí)時，高性能網(wǎng)絡(luò)安全監(jiān)控引擎，基于DPDK開發(fā)，集成了DDOS檢測和IDPS模塊。

DDOS檢測

DDOS檢測功能包括:

• 全流量檢測，可以部署在IDC環(huán)境，支持SYN，ACK，RST，F(xiàn)IN，SYNACK，ICMP，UDP FLOOD以及反射攻擊(DNS/NTP/SSDP反射…).

• 實(shí)時多維度聚合數(shù)據(jù)

• 流采樣數(shù)據(jù)，提供攻擊事件未檢出后的fall back機(jī)制.

• 隨時停啟的聚合數(shù)據(jù)輸出

• 數(shù)據(jù)以json格式輸出，便于數(shù)據(jù)分析.

• 針對UDP反射攻擊，提供DFI/DPI機(jī)制(MEMCACHE，TFTP，CHARGEN，CLDAP，QOTD…).

• 事件過程中dump攻擊數(shù)據(jù)包.

• 支持IPv4和IPv6

IDPS

IDPS模塊基于Suricata，并新增了如下特性，

• 支持lib化編譯安裝，基于Suricata 4.1.0版本

• 支持事件以Kafka方式輸出，提升事件吞吐量，便于進(jìn)一步數(shù)據(jù)分析

架構(gòu)描述

整體功能模塊圖如下：

• 基礎(chǔ)模塊
  包含PORT，CPU 消息、配置文件、表項(xiàng)管理接口、調(diào)度框架等基礎(chǔ)功能模塊。

• 流水線模塊
  SESSM：DDOS檢測，負(fù)責(zé)IPv4和IPv6數(shù)據(jù)包解析，采樣FLOW數(shù)據(jù)聚合，應(yīng)用層DFI解析，ACL策略下發(fā)。
  SIP_AGG：DDOS檢測攻擊源聚合和輸出。
  VIP_AGG：DDOS檢測VIP自學(xué)習(xí)，數(shù)據(jù)聚合和輸出。
  DUMP：DDOS攻擊數(shù)據(jù)包DUMP并保存為pcap文件。
  EDGE：類似于broker，輸出多維數(shù)據(jù)至KAFKA。
  DETECT：IDPS檢測。

• 控制面和工具
  主要包括Master組件以及相關(guān)配置文件。
  Master負(fù)責(zé)接收分析中心的攻擊事件策略并下發(fā)至相應(yīng)的轉(zhuǎn)發(fā)面組件，包含dump數(shù)據(jù)包，攻擊源，攻擊源端口，反射攻擊proto DFI。

• IDPS管理服務(wù)
  FM/FR：IDPS 資源管理和回收
  CS：IDPS 統(tǒng)計(jì)數(shù)據(jù)

項(xiàng)目地址

開源地址：https://github.com/iqiyi/qnsm