QNSM（IQIYI Network Security Monitor）是一個旁路部署的全流量、實時、高性能網絡安全監控引擎，基于DPDK開發，集成了DDOS檢測和IDPS模塊。

DDOS檢測

DDOS檢測功能包括:

• 全流量檢測，可以部署在IDC環境，支持SYN，ACK，RST，FIN，SYNACK，ICMP，UDP FLOOD以及反射攻擊(DNS/NTP/SSDP反射...).
• 實時多維度聚合數據
• 流采樣數據，提供攻擊事件未檢出后的fall back機制.
• 隨時停啟的聚合數據輸出
• 數據以json格式輸出，便于數據分析.
• 針對UDP反射攻擊，提供DFI/DPI機制(MEMCACHE，TFTP，CHARGEN，CLDAP，QOTD...).
• 事件過程中dump攻擊數據包.
• 支持IPv4和IPv6

IDPS

IDPS模塊基于Suricata，并新增了如下特性，

• 支持lib化編譯安裝，基于Suricata 4.1.0版本
• 支持事件以Kafka方式輸出，提升事件吞吐量，便于進一步數據分析

部署描述

架構描述

整體功能模塊圖如下：

• 基礎模塊

  包含PORT，CPU 消息、配置文件、表項管理接口、調度框架等基礎功能模塊。

• 流水線模塊

  SESSM：DDOS檢測，負責IPv4和IPv6數據包解析，采樣FLOW數據聚合，應用層DFI解析，ACL策略下發。

  SIP_AGG：DDOS檢測攻擊源聚合和輸出。

  VIP_AGG：DDOS檢測VIP自學習，數據聚合和輸出。

  DUMP：DDOS攻擊數據包DUMP并保存為pcap文件。

  EDGE：類似于broker，輸出多維數據至KAFKA。

  DETECT：IDPS檢測。

• 控制面和工具

  主要包括Master組件以及相關配置文件。

  Master負責接收分析中心的攻擊事件策略并下發至相應的轉發面組件，包含dump數據包，攻擊源，攻擊源端口，反射攻擊proto DFI。

• IDPS管理服務

  FM/FR：IDPS 資源管理和回收

  CS：IDPS 統計數據