[发明专利]网络审计数据采集方法及相应装置、设备和存储介质

说明书

本发明公开了一种网络审计数据采集方法及相应装置、设备和存储介质，所述装置包括：数据抓取单元，用于启动数据转发进程，通过所述数据转发进程创建多个虚拟网络接口、从物理网卡抓取原始数据报文以及将所述原始数据报文发送给各个虚拟网络接口；数据采集单元，用于启动多个网络审计进程，通过每个网络审计进程从对应的虚拟网络接口获取相应的原始数据报文。本发明有效提高了网络流量的审计性能，增加了网络审计系统的容错性，减少了网络审计时间漏审的几率。

技术领域

本发明涉及网络技术领域，特别是涉及一种网络审计数据采集方法及相应装置、设备和存储介质。

背景技术

网络审计系统部署在网络出口，抓取网络数据报文，解析报文并提取传输内容，实现网络审计功能。网络审计系统在企业或政府机构部署，为提高工作效率、威慑违规行为、取证定责、追根溯源提供有效手段。

随着网络的高速发展，网络出口带宽也不断扩大，百兆、千兆网络已很普遍，万兆网络出口也逐渐形成规模。流量大是目前网络的重要特点。另一方面，网络应用软件多样化，不同的应用软件会产生不同格式的网络应用数据，即使相同的应用软件，由于应用软件版本不同，产生的应用数据格式也可能不一样，因此，应用流量复杂是目前网络的又一特点。此外，由于网络报文重传、丢包、畸形报文等因素也使得网络流量变得更加复杂。

因此，网络审计系统需要面临这两大网络问题，即能在大流量、复杂应用流量的网络环境中，如何高速采集网络原始数据报文，如何以最大的兼容性处理复杂的网络流量。虽然现有网络审计系统也存在相应的解决办法，但是现有网络审计系统实现复杂，整体性能存在瓶颈，不会与系统硬件配置提升成线性增长趋势；并且容错性较差，一旦程序异常崩溃，则其审计功能将可能用，会造成大量漏审网络事件。

发明内容

为了克服上述缺陷，本发明要解决的技术问题是提供一种网络审计数据采集方法及相应装置、设备和存储介质，用以至少提高网络流量的审计性能。

为解决上述技术问题，本发明实施例中的一种网络审计数据采集装置，包括：

数据抓取单元，用于启动数据转发进程，通过所述数据转发进程创建多个虚拟网络接口、从物理网卡抓取原始数据报文以及将所述原始数据报文发送给各个虚拟网络接口；

数据采集单元，用于启动多个网络审计进程，通过每个网络审计进程从对应的虚拟网络接口获取相应的原始数据报文。

可选地，所述数据抓取单元包括：

启动模块，用于启动数据转发进程，通过所述数据转发进程运行虚拟接口创建模块和数据转发模块；

所述虚拟接口创建模块，用于创建多个虚拟网络接口；

所述数据转发模块，用于从所述物理网卡抓取所述原始数据报文以及将所述原始数据报文发送给各个虚拟网络接口。

可选地，所述数据转发模块，具体用于根据所述原始数据报文的源目的IP地址计算散列值；根据所述散列值和所述多个虚拟网络接口的数量，确定网络接口序号；根据所述网络接口序号，将从所述物理网卡的发送队列中读取的原始数据报文发送给相应的虚拟网络接口。

可选地，所述多个虚拟网络接口的数量为中央处理器逻辑核的数量减2。

可选地，所述数据抓取单元，还用于将所述数据转发进程绑定到一个中央处理器逻辑核；

所述数据采集单元，还用于将每个网络审计进程绑定到一个中央处理器逻辑核。

为解决上述技术问题，本发明实施例中的一种网络审计数据采集方法，包括：

启动数据转发进程；通过所述数据转发进程创建多个虚拟网络接口、从物理网卡抓取原始数据报文以及将所述原始数据报文发送给各个虚拟网络接口；