17、评估互联网骨干链路数据包级跟踪质量

评估互联网骨干链路数据包级跟踪质量

1. 引言

防火墙和入侵检测/预防系统（IDS/IPS）通过监控网络流量来发现恶意活动，并根据观察到的流量做出决策。例如，若攻击特征是两个数据包的序列，第一个包含模式X，第二个包含模式Y，IDS/IPS系统若遗漏其中任何一个数据包，可能会导致误判。因此，这些系统能够捕获网络上的所有数据包至关重要，这也是进行网络流量分析的动机之一。

虽然使用知名模拟器可以模拟不同互联网协议的行为，但普遍认为对真实互联网流量进行分析更具优势。目前已经有大量的流量测量研究，有些专注于骨干网流量，有些则侧重于边缘链路。然而，分析真实互联网流量时，操作限制总是带来挑战。例如，要捕获高速骨干链路的流量，需要专用的硬件和软件。高速测量卡制造商声称这些卡可以100%准确地捕获互联网流量，但社区普遍依赖制造商的说法，对跟踪质量的验证研究并不多。

本文分析了在互联网骨干链路上收集的数据包级跟踪数据的质量，重点关注缺失数据包的情况。数据是在10Gbit/s的互联网骨干链路上收集的，研究结果可用于确定防火墙和IDS/IPS等系统是否能够捕获所有传输的数据包，以检测恶意流量。

2. 相关工作和贡献

目前很少有研究表明测量卡能够捕获其捕获链路上的所有数据包。NSS实验室的攻击泄漏测试仅评估了EndaceProbes的深度数据包检查能力，该测试在一定程度上表明EndaceProbes可以在10 Gbit/s的速度下100%捕获数据包，但未测试DAG卡在其他服务器解决方案中是否会因资源限制等原因丢包。

现有的工具中，tcpanaly是较老的工具之一，它可以验证观察到的TCP实现是否遵循TCP标准，并生成TCP连接的详细统计信息。