网络入侵检测系统之Suricata(二)

Running mode

Sruciata由线程和队列组成，数据包在线程间传递通过队列实现。线程由多个线程模块组成，每个线程模块实现一种功能。

Suricata有多种运行模式，这些模式与抓包驱动和IDS/IPS选择相关联。抓包驱动如：pcap, pcap file，nfqueue，ipfw，dpdk或者一个特有的抓包驱动等。Suricata在启动时只能选择某个运行模式。如-i选项表示pcap， -r表示pcapfile，-q表示nfqueue等。每一种运行模式都会初始化一些threads，queues等。模式的具体任务是由线程模块来完成。根据线程和线程模块的组织方式的不同，我们可以./suricata --list-runmodes查看运行模式，运行模式又细分为**“autofp”, “single”,“wokers”**

通常情况下workers性能最好，因为网卡驱动确保数据包平均分担到Suricata处理线程，每一个线程包含数据包处理完整的流水线；

• Single mode
  
  

• Workers
  

  线程模块是对packet处理任务的抽象。线程模块大概有以下几种：

  1.Receive模块：
  收集网络数据包，封装成Packet对象后将其传递给Decode线程模块2.

  2.Decode模块：
  对Packet按协议4层模型(数据链路层、网络层、传输层、应用层)进行解码，
  获取协议和负荷信息，解码完成后将 Packet传递给FlowWorker线程模块。
  该模块主要是进行packet解码，不处理应用层。应用层由专门的应用层解码模块处理

  3.FlowWorker模块：
  对packets进行分配flow，Tcp会话管理，TCP重组，应用层数据解析处理，Detect规则检测

  4.Verdict模块：
  根据Detect模块检测的结果，对drop标记的包需要做丢弃处理

  5.Respon