suricata中flow和stream的区别

https://www.w3cschool.cn/notebook/notebook-6tps2l2o.html

[popexihi: 原文讲的很不错推荐阅读]
读书笔记: https://www.diigo.com/annotated/375978de8e456d98b933a099748e44c4

Flow和Stream

在suricata中flow配置的是网络流方面的选项，而stream则专门针对TCP协议的重组进行配置。

flow

flow在概念上比较大，它和一次网络连接比较相似。Suricata通过五元组（协议，源IP，源端口，目的IP，目的端口）来识别流量中的数据包是否属于同一个流：

持续的跟踪网络中的流需要占用大量的内存，为了控制占用的内存不至于太大，这里有几个选项需要配置。memcap表示最大跟踪流量所使用的内存，默认为128MB；由于suricata是通过五元组计算出一个hash值判断数据包属于哪个流，hash_size指的就是这个hash表的大小；Prealloc表示预先分配的内存，这样在识别流的时候会有更好的性能；emergency-recovery表示的是当前占用的内存大于memcap时进入内存紧急模式（emergency-mode），需要删除的流的百分比（相对于prealloc来说），这里表示需要删除30%的prealloc设置的空间的流，而删除的原则是根据后面会配置的flow-timeouts也就是超时时间来确定，如果没有流超时则会设置更严格的超时时间，如果还是没用suricata会删除最久未使用过的流；prune_flows表示处于紧急模式的时候每新增一条流将会删除掉旧的流的数量：

flow-timeouts

上一节中提到的流的超时时间在此处设置。由于协议的不同，因此需要对不同的协议设置不同的阶段，对应的超时时间也会不同。TCP协议包括新建连接，建立连接和关闭连接，UDP只有新建连接和建立连接两个阶段。

TCP新建连接就是三次握手，建立连接则是完成三次握手之后，而关闭连接则是reset数据包或是关闭tcp连接的四次握手。UDP新建连接是只有一方发送数据包，建立连接则是两方都发送数据包。下面是TCP、UDP、ICMP和default（其他协议）的超时配置，没有emergency前缀的是正常模式下的超时，带有emergency前缀的是在内存紧急模式下的超时时间：