(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111490972.X (22)申请日 2021.12.08 (71)申请人 北京天融信网络安全技 术有限公司 地址 100085 北京市海淀区上地 东路1号院 3号楼四层 申请人 北京天融信科技有限公司 　 北京天融信软件 有限公司 (72)发明人 范菁　 (74)专利代理 机构 北京超凡宏宇专利代理事务 所(特殊普通 合伙) 11463 代理人 杨奇松 (51)Int.Cl. H04L 43/0876(2022.01) H04L 43/16(2022.01) H04L 47/10(2022.01)H04L 49/9005(2022.01) H04L 9/40(2022.01) G06F 9/54(2006.01) G06F 12/0871(2016.01) (54)发明名称 一种流量采集方法、 装置、 电子设备及存储 介质 (57)摘要 本申请实施例提供一种流量采集方法、 装 置、 电子设备及存储介质， 涉及数据安全技术领 域。 该方法包括利用预设的流量捕捉线程获取数 据包； 解析所述数据包， 并提取所述数据包的关 键特征， 以生成关键字； 根据所述关键字将所述 数据包分发至对应的数据包缓存队列， 以将所述 数据包存储至所述数据包缓存队列中； 利用预设 的流量处理线程获取对应的数据包缓存队列中 的数据包， 以对所述数据包进行流量处理操作， 采用单流量捕捉线程和多流量处理线程的结构， 将流量捕捉和流量处理两个步骤分离， 从而实现 对网络数据包的高效捕捉， 解决现有方法容易丢 包的问题。 权利要求书2页 说明书8页 附图5页 CN 114189462 A 2022.03.15 CN 114189462 A 1.一种流 量采集方法， 其特 征在于， 所述方法包括： 利用预设的流 量捕捉线程获取 数据包； 解析所述数据包， 并提取 所述数据包的关键特 征， 以生成关键 字； 根据所述关键字将所述数据包分发至对应的数据包缓存队列， 以将所述数据包存储至 所述数据包缓存队列中； 利用预设的流量处理线程获取对应的数据包缓存队列中的数据包， 以对所述数据包进 行流量处理操作。 2.根据权利要求1所述的流量采集方法， 其特征在于， 在所述根据 所述关键字将所述数 据包分发至对应的数据包缓存队列 的步骤之前， 所述方法还包括创建多个数据包缓存队 列： 根据预设的流量处理线程的个数N， 初始化N个数据包缓存队列， 并将所述数据包缓存 队列标记为[队列1]到[队列N]； 对每个所述数据包缓存队列设置 M个缓存节点， 并标记为[节点 N1]到[节点 NM]； 设置所述缓存节点的数据包缓存区和缓存状态， 所述缓存状态包括 “未缓存”、“正在缓 存”和“已存满”。 3.根据权利要求2所述的流量采集方法， 其特征在于， 所述根据 所述关键字将所述数据 包分发至对应的数据包缓存队列， 以将所述数据包 存储至所述数据包缓存队列中， 包括： 根据所述关键 字选取对应的数据包缓存队列[队列i]； 对所述[队列i]的 “正在缓存 ”节点[节点 ij]进行判断； 若所述[节点ij]的缓存区剩余空间不足以放下所述数据包， 则将所述[节点ij]的状态 设置为“已存满”； 从所述[队列i]的 “未缓存”状态节点中选择一个新节点[节点ik]， 并将所述[节点ik]的 状态设置为 “正在缓存 ”并将所述数据包 存入所述[节点 ik]中； 对所述[节点 ik]判断是否缓存成功。 4.根据权利要求3所述的流量采集方法， 其特征在于， 所述对所述[节点ik]判断是否缓 存成功， 包括： 对所述[节点 ik]进行超时判断； 若所述[节点ik]置于“正在缓存 ”状态的时间超过预设阈值， 则将所述[节点ik]的状态 设置为“已存满”； 从所述[队列i]的 “未缓存”状态节点中选择另外一个新节点， 直至所述数据包缓存成 功。 5.根据权利要求1所述的流量采集方法， 其特征在于， 所述利用预设的流量处理线程获 取对应的数据包缓存队列中的数据包， 包括： 流量处理线程[处 理线程i]遍历查询[队列i]下的[节点 i1]到[节点 iM]的状态； 当[节点ik]的状态是“已存满”时， 从所述[节点ik]的数据包缓存区中取出数据 包， 对所 述数据包进行识别、 解析、 分析、 审计操作； 在处理完[节点ik]的数据包缓存区中的所有数据包后， 将[节点ik]的状态置为 “未缓 存”。 6.一种流 量采集装置， 其特 征在于， 所述装置包括：权　利　要　求　书 1/2 页 2 CN 114189462 A 2采集模块， 用于利用预设的流 量捕捉线程获取 数据包； 解析模块， 用于解析 所述数据包， 并提取 所述数据包的关键特 征， 以生成关键 字； 缓存模块， 用于根据所述关键字将所述数据包分发至对应的数据包缓存队列， 以将所 述数据包 存储至所述数据包缓存队列中； 处理模块， 用于利用预设的流量处理线程获取对应的数据包缓存队列中的数据包， 以 对所述数据包进行流 量处理操作。 7.根据权利要求6所述的流 量采集装置， 其特 征在于， 所述缓存 模块包括： 队列选取模块， 用于根据所述关键 字选取对应的数据包缓存队列[队列i]； 判断模块， 用于对所述[队列i]的 “正在缓存 ”节点[节点 ij]进行判断； 状态设置模 块， 用于若所述[节点ij]的缓存区剩余空间不足以放下所述数据包， 则将所 述[节点ij]的状态设置为 “已存满”； 节点选取模块， 用于从所述[队列i]的 “未缓存”状态节点中选择一个新节点[节点ik]， 并将所述[节点 ik]的状态设置为 “正在缓存 ”并将所述数据包 存入所述[节点 ik]中； 缓存判断模块， 用于对所述[节点 ik]判断是否缓存成功。 8.根据权利要求7 所述的流 量采集装置， 其特 征在于， 所述缓存判断模块包括： 超时判断模块， 用于对所述[节点 ik]进行超时判断； 超阈值设置模块， 用于若所述[节点ik]置于“正在缓存 ”状态的时间超过预设阈值， 则将 所述[节点 ik]的状态设置为 “已存满”； 节点选择模块， 用于从所述[队列 i]的“未缓存”状态节点中选择另外一个新节点， 直至 所述数据包缓存成功。 9.一种电子设备， 其特征在于， 所述电子设备包括存储器以及处理器， 所述存储器用于 存储计算机程序， 所述处理器运行所述计算机程序以使所述电子设备执行根据权利要求1 至5中任一项所述的流 量采集方法。 10.一种可读存储介质， 其特征在于， 所述可读存储介质中存储有计算机程序指令， 所 述计算机程序指 令被一处理器读取并运行时， 执行权利要求 1至5任一项 所述的流量采集方 法。权　利　要　求　书 2/2 页 3 CN 114189462 A 3