[发明专利]一种高速网络数据包内容分析装置

说明书

技术领域

本发明属于高速网络信息监控技术领域，更具体地，涉及一种高速网络数据包内容分析装置。

背景技术

对网络信息内容进行必要的监管和审查，确保敏感内容无法在网络大肆传播，对于维护社会稳定以及保障青少年身心健康成长具有重要的理论价值与现实意义。但随着IT、网络技术的迅猛发展，以人人网、新浪微博等为代表的新兴网络应用服务不断地涌现。这些新兴的网络服务已经逐渐形成了庞大的用户群体，并且用户之间借助各种社会关系形成错综复杂的信息传播路径，对传统网络信息监控渠道带来了巨大的冲击。此外网络带宽的急速增长也构成了网络内容监控面临的另一个难题。

目前，在高速网络内容的监控方面，常用的是基于网络处理器或者通用软件机群分析的解决方案。

网络处理器即具有专用集成芯片线速转发报文的高速度特性同时又具有通用芯片的可编程性。这种方法一般系统分为控制层和业务层，控制层采用RISC通用处理器，负责用户交互、策略更新、配置等工作；业务层利用多CPU和专用硬件组成的网络处理器进行包分析、过滤，用户编写微代码并应用到网络处理器上生效。这种做法具有较高的灵活性，但目前受网络处理器性能的限制，总体性能还不是太高。而且微代码类似汇编语言，开发难度较大，如果需要系统进行内容分析过滤，开发速度和处理速度都将更低。不过随着网络处理器性能的不断提高，已经被广泛应用到高速网络设备的设计中。

软件方案实质上是基于通用架构的服务器集群进行网络内容的分析检测工作。由于传统的流量采集和协议还原方式一般是工作于基于X86体系结构PC工作站上，受到CPU处理能力和PCI总线速度等多个方面因素的制约存在着较大的技术性能瓶颈，因此它需要后台配备以相应规模的还原与存储服务器集群来满足对高速网络流量的检测需要。由于需要通过服务器集群技术才能达到较高性能，高速网络的内容监控系统往往采用分流的设计模式，即由专用硬件设备负责捕获数据并分流到多个软件处理系统分别处理。这种解决方法能够在一定程度上灵活快速的将针对低速网络的内容分析检测功能进行移植。但是随着网络流量越大越复杂，整个系统将趋向越来越复杂，投资和维护成本也将趋高。

此外目前高速网络环境下，一般系统通常会在对数据进行还原和存储后，在系统的外围采用离线的方法来对内容进行监控和审查，实现内容还原与分析检测的分离，利用磁盘空间作为缓冲，防止存储为核心的协议还原系统的复杂内容分析与检测会影响到前段内容还原的速度。但这又引入了磁盘IO的性能瓶颈，并且无法满足实时性，从而无法做到对网络数据的实时过滤和动态阻隔。

发明内容

针对现有技术的缺陷，本发明提供一种高速网络数据包内容分析装置，实时监控网络数据流，及时发现敏感，并做出相应的响应；针对高速网络环境，无需大量服务器集群和离线文件分析，只需获取高速网络数据包，即可识直接对网络内容进行在线实时的分析检测。

一种高速网络数据包内容分析装置，包括：

网卡，用于获取高速网络数据包；

FPGA，用于过滤掉不属于需要检测的应用层协议类型的网络数据包，然后将过滤得到的网络数据包分流到各众核处理器中；

至少一个的众核处理器，根据核分配策略对其包含的多核进行任务分配，用于对分流得到的网络数据包并行执行协议还原、数据包内容提取、数据包内容敏感性分析以及敏感内容分析结果输出；

主控板，用于对FPGA板卡配置需要检测的应用层协议类型，以及对众核处理器配置核分配策略和数据包内容敏感性分析策略，保存和输出来自众核处理器的敏感内容分析结果。

进一步地，所述众核处理器包括：

执行协议还原的第一类核，用于获取FPGA分流传送进来的网络数据包，首先按照网络层协议IP进行数据包的IP分片重组，然后再传输层进行TCP/UDP协议重组，将一个TCP会话流或者UDP数据包作为还原结果；

执行数据包内容提取的第二类核，用于根据还原结果所采用的应用层协议类型选择相应的协议解析器，利用协议解析器在还原结果中提取文本内容和图像内容；

执行数据包内容分析融合的第三类核，用于分别对文本和图像内容检测敏感程度，再对属于同一个还原结果中的文本和图像的敏感程度做综合分析，得到最终的分析融合结果；

执行敏感内容分析结果输出的第四类核，用于在分析融合结果表明敏感程度高时，将其对应的敏感内容分析结果即敏感内容及敏感内容相关信息输出给主控板。

进一步地，所述敏感内容相关信息包括敏感内容的源IP、网页地址URL、捕获时间、敏感内容访问者IP和出现频次。