Linux进程网络流量统计方法及实现

最新推荐文章于 2024-07-19 03:48:28 发布

付江

最新推荐文章于 2024-07-19 03:48:28 发布

阅读量1.2w

点赞数 1

分类专栏：云计算云安全文章标签：滴滴云云安全 Linux 云服务器网络安全

本文链接：https://blog.csdn.net/java060515/article/details/83653616

版权

本文介绍了在Linux系统中如何结合/proc目录下的网络状态文件和进程文件描述符，利用libpcap库抓包来统计进程级网络流量。通过解析报文、建立连接与inode映射、更新缓存等步骤，实现细粒度的流量采集，适用于主机流量安全分析和网络监控。

摘要由CSDN通过智能技术生成

1 前言

在某些应用安全场景需要结合进程级网络连接、流入流出流量等数据直接分析出进程的异常。例如，在内网主机上是否存在持续恶意外传敏感数据的现象、在网络监控时发现服务器大量带宽被占用但不清楚由系统具体哪个进程占用。为此都需要获取更细粒度的进程级网络流量数据直接锁定异常服务。

在Linux系统中都有相应开源工具采集网络连接、进程、流量等信息，像netstat命令查看主机网络连接信息，一般包括最基本的五元组信息(源地址、目标地址、源端口、目标端口、协议号)；ps命令采集进程信息，包括pid, user, exe, cmdline等；iftop命令获取网卡的实时流量数据。

同时在linux /proc目录下可直接读取主机级网络流量数据，例如/proc/net/snmp提供了主机各层IP、ICMP、ICMPMsg、TCP、UDP详细数据，/proc/net/netstat文件InBcastPkts、 OutBcastPkts、InOctets、OutOctets字段能获取主机的收发包数、收包字节数据。

但很可惜没有一个细粒度进程级流入流出网络流量数据。为此，本文旨在分享实现一种统计Linux进程级网络流量方式。

2 基础数据

涉及linux /proc目录下网络状态文件/proc/net/tcp、/proc/net/udp，进程文件描述符目录/proc/pid/fd。

2.1 网络状态文件

以tcp的状态文件为例/proc/net/tcp:

sl  local_address rem_address   st tx_queue rx_queue tr tm->when retrnsmt   uid  timeout inode
6: 0100007F:22B8 00000000:0000 0A 00000000:00000000 00:0000000