一种基于NP和BS的千兆NIDS并行处理的方法

摘要

本发明是一种基于NP和BS的千兆NIDS并行处理的方法，包括数据接收，转发器在交换机的镜像端口上接收所需检测网络上的所有数据包；数据划分，将高速的网络数据流划分成多个低速的数据流，并确定应送达的探测器；数据转发，转发器将数据包的目的MAC地址改为该探测器的MAC地址，由交换板发送给该探测器；数据检测，设计基于互补的两个线程进行数据采集、协议分析、特征匹配和响应；报告生成，在控制台形成检测报告。优点：通过对称多处理提高了NIDS单个探测器的性能的同时，简单地通过增加探测器的数量提高NIDS整个系统的处理能力，减少高带宽下NIDS的丢包数，提高其检测率，满足骨干网对千兆NIDS的需求。

主权项

1、一种基于NP和BS的千兆NIDS并行处理的方法，其特征是包括：(1)数据接收，即基于网络处理器的转发器在交换机的镜像端口上接收所需检测网络上的所有数据包；(2)数据划分，即转发器按照既定的算法(根据探测器的网卡负载、该连接与探测器的连接状态等)对到达的数据包进行划分，即将高速的网络数据流划分成多个低速的数据流，并确定应送达的探测器；(3)数据转发，即转发器将数据包的目的MAC地址改为该探测器的MAC地址，随后数据包被转发给刀片服务器的交换板，由交换板发送给该基于刀片服务器的探测器；(4)数据检测，即利用探测器的双CPU对称多处理结构，设计基于互补的两个线程进行数据采集、协议分析、特征匹配和响应；(5)报告生成，即在控制台形成检测报告。