绿盟科技 × 英特尔联手！Fastjoy+AI 实现加密流量检测性能飞跃

流量特征分析工具的性能及智能化水平对于网络安全防御体系而言至关重要。尽管开源Joy库已奠定坚实基础，但在应对复杂流量时，仍面临诸多瓶颈问题，迫切需要技术革新。绿盟科技深度整合英特尔推出的Fastjoy框架，结合了英特尔深厚的底层硬件加速能力与AI开发加速套件，有效促进了网络安全防御体系的智能化与高效化，为网络安全行业树立了新的标杆。

——绿盟科技CTO 叶晓虎

NO.1

加密流量检测成为网络监管的重要需求

网络攻击、电信诈骗以及暴恐影音视频传播等网络威胁事件频繁发生，网络流量分析作为网络安全监管的重要手段，其作用愈发凸显。随着国内外网络安全法律法规的不断完善以及用户网络安全意识的逐步提升，加密技术在互联网领域得到了广泛应用，部分场景下加密流量占比已超过90%，这给传统网络监管手段带来了严峻挑战。

当前，加密流量检测主要依托三种技术。其一为传统的DPI检测技术，该方法在技术实现层面最为成熟，然而在加密流量检测场景下效果不佳，以规避审查为主要目标的加密协议基本不会留存可供检测的固定特征，限制了该技术方法的应用。其二是基于流量指纹的Ja3/Ja3s/Ja4+检测技术，此技术在TLS加密流量检测中应用较为广泛，具备一定的检测成效。不足之处在于，该类技术需要详细分析验证加密网络工具流量指纹，指纹维护负担较重；并且在面对以伪装成正常TLS流量为主要手段的加密网络工具时，检测效果较差。其三是基于AI模型的加密流量检测，该技术无需依赖预定义规则和深度协议解析，能够适配复杂加密协议，具备自适应与持续进化的潜力，可显著降低人工维护成本，在加密流量检测领域的应用愈发广泛。基于AI模型检测技术同样面临一些技术挑战，例如对算力和内存资源要求较高，在端侧部署场景下对设备运行压力较大，检测效果会受到影响。

绿盟科技网络流量检测类产品积极应对加密流量所带来的网络威胁挑战，以综合威胁探针（UTS）产品为典型代表，全面实现了上述三种加密流量检测技术，具备强大的检测能力，多次在客户实际应用场景中检测出加密流量攻击案例。为了打造更优质的产品，绿盟科技正在持续探索基于AI模型检测加密流量的优化方案。

NO.2

绿盟科技使用英特尔Fastjoy增强基于AI的加密流量检测方案

绿盟科技综合威胁探针（NSFOCUS UTS）是一款面向全行业的全流量威胁检测探针，其集成了绿盟科技多年来在安全研究及威胁检测领域的能力，运用规则引擎、虚拟沙箱、威胁情报、机器学习等技术，具备识别范围广泛、检测精准、互联互通的特性，可针对不同场景开展高级威胁的检测与分析，并对安全事件进行回溯。

该产品功能丰富多样，内置多重检测引擎，涵盖入侵检测、web安全检测、加密流量检测、恶意文件检测、动态查杀、5G检测、异常行为检测、威胁情报等功能，能够精准发现不同场景下的高级威胁；具备全面的威胁回溯和取证能力，除对全流量和告警日志进行存储外，还支持基于会话的全流量存储和恶意流量存储，可通过日志和原始PCAP包确定攻击事件，及时开展回溯取证工作；支持灵活可定义的日志插件，兼容市面上主流的接口协议，有助于增强客户全流量检测分析的能力。

图1 绿盟科技综合威胁探针（NSFOCUS UTS）能力架构

图2 绿盟科技加密流量检测技术架构

在加密流量检测业务领域，绿盟科技综合威胁探针（NSFOCUS UTS）产品具备丰富多样的技术手段。通过与绿盟科技安全研究团队在指纹特征、AI模型方面开展的持续性研究以及优化更新工作相结合，该产品取得了显著的业务成效，充分验证了加密流量检测方法的可行性。即便如此，绿盟科技综合威胁探针（NSFOCUS UTS）仍在不断对技术方案进行优化，致力于打造更具市场竞争力的产品。为解决AI模型于加密流量检测领域应用过程中所遭遇的性能欠佳、占用存储资源过多等问题，绿盟科技深度整合英特尔推出的新一代流量特征分析框架——Fastjoy。

Fastjoy深度融合了英特尔先进的硬件加速技术、高性能网络数据处理引擎VPP（Vector Packet Processor）以及先进的AI工具库 oneAPI，实现了对开源流量特征采集工具 Joy 库的全方位技术革新。在技术协同方面，Fastjoy 构建了从硬件加速到框架优化的全栈式 AI 协同体系。在硬件层面，Fastjoy 依托英特尔处理器平台，原生集成英特尔?深度学习加速（英特尔?DL Boost）技术与英特尔?高级矢量扩展512（英特尔?AVX-512）指令集，该硬件级加速能力为流量特征的实时提取和复杂模型的在线推理提供了强大的算力支持。在软件栈层面，Fastjoy与面向英特尔?架构深度优化的AI生态体系实现无缝对接，集成英特尔?oneDNN（深度神经网络库）和oneDAL（数据分析库），有效提高了流量特征检测算法的运行速度。这种全栈协同能力不仅解决了原方案在内存资源占用和处理性能方面的固有弊端，还构建了“硬件加速 - 框架优化 - 模型部署”的完整技术闭环。同时，Fastjoy集成的高性能AI库可适配面向不同业务的AI模型，支持拓展多种应用场景。

绿盟科技综合威胁探针产品集成该成果后，显著提高了加密流量检测业务的处理性能，能够实现实时检测功能；同时减轻了内存资源压力，降低了设备成本。更为关键的是，基于AI模型的加密流量检测能力可拓展部署至其他网关类产品，从而增强了绿盟科技产品的市场竞争力。

NO.3

测试配置和参考性能结果

1. 英特尔? 至强? 6 SoC平台

英特尔? 至强? 6 SoC采用性能核心，单插槽平台中提供高达72个性能核和卓越的每瓦性能。该SoC专为边缘和网络应用设计，支持PCIe 5.0 通道，集成多种加速器，包括QAT、集成以太网和vRAN Boost等，支持英特尔?AMX技术以加速矩阵运算，并支持扩展指令集AVX512。相比前代提供更高内存带宽，并显著增强内置英特尔?加速引擎，优化虚拟化无线接入网络 (vRAN)、媒体、人工智能等应用。

图 3 英特尔? 至强? 6 SoC 提供强大性能与连接能力

2. Fastjoy与Joy性能对比

我们在英特尔? 至强? 6 SoC平台上对Fastjoy和Joy的性能表现进行了对比测试，测试拓扑分别如图4和图5所示。测试机与被测设备通过网卡直接连接，连接带宽为25Gbps。网络数据报文从测试机端口发出，经过被测设备后返回至测试机端口。在此过程中，Fastjoy基于VPP进行报文接收，处理完成后由VPP转发报文，实现内联处理。Joy则通过Linux内核提供的AF_PACKET套接字读取报文，并不影响报文在内核中的转发，属于旁路处理。

图4 Fastjoy性能测试拓扑

图5 Joy性能测试拓扑

本测试采用的测试数据集为VPN-nonVPN dataset (ISCXVPN2016)。该数据集涵盖了多种类别应用在不同协议下产生的流量，具体包含电子邮件、浏览器操作、文件传输、视频通话等场景所生成的网络数据。值得注意的是，数据集中的各类流量均分别包含普通会话流量与基于 VPN 的会话流量两种形态，且整体包含的报文数量达到千万级别，这一特性使其能够充分满足网络流量分析及检测相关研究的需求。

图6 数据预处理流程

为便于后续测试工作的顺利开展，对该数据集进行了系统性的数据处理。针对格式不符合预设标准的报文进行了筛选与删除，以确保数据的规范性；并且对部分长度超出合理范围的超长数据报文实施了截断处理，避免异常数据对分析结果产生干扰；最后将经过前两步处理的所有报文汇总整合为单个的报文捕获（PCAP）文件，提升数据使用的便捷性。经过上述处理后，最终得到的数据集大小为 17G，共计包含 2194 万个报文，其中报文大小的范围为最低 64 字节至最高 8900 字节，能够为后续研究提供稳定且规范的数据支撑。

图7 Fastjoy vs Joy 吞吐量结果对比

由图7可以得到，在英特尔? 至强? 6 SoC平台上，Fastjoy相比于Joy的性能提升了23倍。在8 核环境中，Fastjoy尚未发挥出最大性能，此时流发生器Trex达到发包速率上限。相比于Joy，Fastjoy在多个方面进行了优化设计，包括收包方式、流老化算法、数据包调度、内存管理等，详细信息见表1。

表1 Fastjoy和Joy关键技术对比

测试结果表明，Fastjoy基于软件优化设计和利用硬件特性的多重优化手段带来了流量分析处理场景下的性能飞跃，同时在功能实现上与Joy兼容。这充分说明了Fastjoy助力用户实现流量分析领域解决方案升级的能力，使得用户获得性能提升的同时无需过多的开发成本。

3. Fastjoy与Joy在业务场景中的性能对比与分析

使用绿盟科技原流量检测方案（采用Joy库）与集成Fastjoy后的新方案进行性能对比测试。两方案已确认功能一致，测试数据选用某场景采集的实际流量，共约40w条流；测试平台选用绿盟科技已发布产品的硬件平台（英特尔?酷睿? i7系列CPU）。测试数据统计如下：

图8 业务场景中Joy与Fastjoy内存占用对比

图9 业务场景中Joy与Fastjoy处理时延对比

测试结果表明Fastjoy性能提升明显，在英特尔?酷睿? CPU上有4.5倍性能提升，同时内存资源占用下降37.5倍。内存方面得益于深度集成英特尔?深度学习加速技术和工具库，能够高效处理流量特征数据，减少了特征数据在内存中的缓存处理，显著降低了内存资源占用。

NO.4

未来展望

绿盟综合威胁探针（NSFOCUS UTS）作为一款面向全行业的全流量威胁检测探针产品，定位于实战化场景，对检测能力和高性能有着强烈的需求。产品团队始终专注于功能革新和性能提升，英特尔在软硬件协同方面取得的丰富成果，使双方在性能升级和场景深化方面具有广阔的合作前景。

依托英特尔? 至强? 6 SoC在硬件层面的CPU高级指令集加速技术，以及软件层面的高性能流量特征采集工具Fastjoy、AI模型加速推理部署工具库OpenVINO和oneDAL等技术，绿盟综合威胁探针（NSFOCUS UTS）在显著提高加密流量检测性能的同时，还有望增强其他检测能力的精准度和响应速度，深化威胁回溯能力，借助硬件加速技术提升PCAP包存储与分析效率，确保取证的及时性，从而为全行业客户提供更加高效、低功耗的高级威胁防御解决方案。

作者：（按姓氏笔画排序）

绿盟科技：赵洪亮 彭添

英特尔：王立岩 王栋 胡雪焜 倪红军

点击“”查看《绿盟科技 × 英特尔联手！Fastjoy+AI 实现加密流量检测性能飞跃》完整技术方案白皮书

点击“”查看报告完整版