QNSM（IQIYI Network Security Monitor）是一個旁路部署的全流量、實時、高性能網(wǎng)絡安全監(jiān)控引擎，基于DPDK開發(fā)，集成了DDOS檢測和IDPS模塊。

DDOS檢測

DDOS檢測功能包括:

• 全流量檢測，可以部署在IDC環(huán)境，支持SYN，ACK，RST，F(xiàn)IN，SYNACK，ICMP，UDP FLOOD以及反射攻擊(DNS/NTP/SSDP反射...).
• 實時多維度聚合數(shù)據(jù)
• 流采樣數(shù)據(jù)，提供攻擊事件未檢出后的fall back機制.
• 隨時停啟的聚合數(shù)據(jù)輸出
• 數(shù)據(jù)以json格式輸出，便于數(shù)據(jù)分析.
• 針對UDP反射攻擊，提供DFI/DPI機制(MEMCACHE，TFTP，CHARGEN，CLDAP，QOTD...).
• 事件過程中dump攻擊數(shù)據(jù)包.
• 支持IPv4和IPv6

IDPS

IDPS模塊基于Suricata，并新增了如下特性，

• 支持lib化編譯安裝，基于Suricata 4.1.0版本
• 支持事件以Kafka方式輸出，提升事件吞吐量，便于進一步數(shù)據(jù)分析

部署描述

架構(gòu)描述

整體功能模塊圖如下：

• 基礎模塊

  包含PORT，CPU 消息、配置文件、表項管理接口、調(diào)度框架等基礎功能模塊。

• 流水線模塊

  SESSM：DDOS檢測，負責IPv4和IPv6數(shù)據(jù)包解析，采樣FLOW數(shù)據(jù)聚合，應用層DFI解析，ACL策略下發(fā)。

  SIP_AGG：DDOS檢測攻擊源聚合和輸出。

  VIP_AGG：DDOS檢測VIP自學習，數(shù)據(jù)聚合和輸出。

  DUMP：DDOS攻擊數(shù)據(jù)包DUMP并保存為pcap文件。

  EDGE：類似于broker，輸出多維數(shù)據(jù)至KAFKA。

  DETECT：IDPS檢測。

• 控制面和工具

  主要包括Master組件以及相關(guān)配置文件。

  Master負責接收分析中心的攻擊事件策略并下發(fā)至相應的轉(zhuǎn)發(fā)面組件，包含dump數(shù)據(jù)包，攻擊源，攻擊源端口，反射攻擊proto DFI。

• IDPS管理服務

  FM/FR：IDPS 資源管理和回收

  CS：IDPS 統(tǒng)計數(shù)據(jù)