文章总结： PacketScope是清华大学团队开发的基于eBPF的端侧协议栈通用防御框架，通过动态追踪分组处理轨迹构建协议交互全景图，结合大模型分析实现内核级分组可视化、安全分析和零延迟防御。该系统具备协议栈交互行为可视化追踪、大模型驱动实时攻击识别防御、低成本部署三大特性，已在Linux服务器环境中验证可有效识别阻断复杂网络攻击。项目提供图形化Web界面并计划扩展多协议追踪和跨主机协同分析能力。 综合评分： 87 文章分类： 网络安全,安全工具,解决方案,应用安全,云安全

PacketScope：端侧协议栈防御的“智能铠甲”

原创

赛博新经济 赛博新经济

赛博新经济

2025年7月30日 11:39 广东

在小说阅读器读本章

去阅读

PacketScope是一种基于eBPF的端侧协议栈通用防御框架。通过在协议栈处理路径上动态观测、实时感知每一个分组单元在系统内的处理轨迹，绘制协议交互全景图，再辅助以大模型分析，PacketScope实现了协议栈内核级别的分组可视化、安全性分析与零延迟防御。

  项目地址https://github.com/Internet-Architecture-and-Security/PacketScope

图1 互联网基础设施与TCP/IP分层协议栈

01

端侧协议栈防御面临的挑战

在现代互联网架构中，TCP/IP协议栈是数据高效传输和可靠通信的核心载体。然而，随着网络规模的不断扩大、网络应用生态的不断演化，协议栈安全面临着前所未有的挑战。

(1) 攻击路径不可见：攻击行为往往藏匿于合法连接中，难以定位实际攻击源或者恶意socket连接

(2)协议交互复杂：TCP、UDP、ICMPv4/ICMPv6、Wi-Fi、5G等协议层之间交叉影响，漏洞利用往往由多个协议组合触发

(3) 传统工具盲区明显：大多数监控工具只能在用户态或网络边缘层面进行采样，难以深入协议栈内部获取协议交互的细粒度精确信息，无法辅助后续的安全决策

(4) 调试诊断困难：一旦出现安全问题或网络异常，排查和复现成本极高，缺乏系统化工具支持

图2 协议攻击频发且隐蔽难发现

02

技术创新PacketScope：一种基于eBPF的协议栈通用防御框架

为应对上述挑战，清华大学徐恪教授团队基于近十年协议栈安全研究积累，研发了PacketScope_v1.0项目。项目提出了一种创新性解决方案：通过eBPF技术，在协议栈处理路径上动态观测、实时感知每一个分组单元在系统内的处理轨迹，绘制协议交互全景图，再辅助以大模型分析，实现协议栈内核级别的分组可视化、安全性分析与零延迟防御。

    PacketScope通过实时观测追踪网络分组穿越协议栈交互信息、构建细粒度协议交互图，查找定位交互风险点及性能处理瓶颈点。此外通过统计分析协议分组处理延迟、跨协议交互频率，对关键路径动态插桩，捕获 socket连接状态。通过调用团队研发的TrafficLLM流量大模型、以及DeepSeeK、ChatGPT等通用大模型，PacketScope实现了对攻击流量实时分析、规则生成、及拦截阻断。通过eBPF XDP等方式导入分组流量到大模型。大模型依据交互式网络攻击特征提示，对流量进行深入分析，判别socket连接行为，识别恶意攻击威胁，并生成eBPF安全过滤规则，支持内核级协议栈防御。

    PacketScope为用户带来了三大核心特性：

（1）协议栈交互行为的可视化与追踪审计。PacketScope打破了协议栈“黑盒”限制，实现从网络入口到内核处理再到应用交付的全过程分组追踪。通过构建协议交互全景图，用户可精准识别协议交叉干扰、路径异常和异常连接行为，为调试诊断、系统优化和安全审计提供坚实基础。

图3 函数级网络协议交互图

（2）大模型驱动的实时攻击识别与防御。利用大模型智能分析与eBPF内核拦截机制，PacketScope可对复杂、混合、跨协议攻击进行实时识别、快速响应、动态阻断。该能力显著优于传统规则匹配类工具，尤其适用于检测隐藏在合法连接中的高隐蔽性威胁。

图4 大模型驱动的分组数据流安全性分析

（3）低成本部署与便捷使用体验。PacketScope采用eBPF轻量级部署架构，运行成本低、兼容性强，可直接应用于线上生产环境。配套的图形化Web界面与API接口，使得普通用户也能高效配置与使用。

图5 PacketScope用户使用接口

03

实践效果：面向真实服务器的安全与运维

PacketScope_v1.0已在Linux 6.8等多个服务器环境中进行部署测试，能够对服务器协议栈交互行为进行细粒度分析，识别和阻断交互式复杂网络攻击，显著降低安全事件的响应成本。

已关注

关注

重播 分享 赞

关闭

观看更多

更多

退出全屏

切换到竖屏全屏退出全屏

赛博新经济已关注

分享视频

，时长04:59

0/0

00:00/04:59

切换到横屏模式

继续播放

[ ]

进度条，百分之0

播放

00:00

/

04:59

04:59

倍速

全屏

倍速播放中

0.5倍 0.75倍 1.0倍 1.5倍 2.0倍

超清 流畅

继续观看

PacketScope：端侧协议栈防御的“智能铠甲”

观看更多

原创

,

PacketScope：端侧协议栈防御的“智能铠甲”

赛博新经济已关注

分享点赞在看

已同步到看一看写下你的评论

视频详情

tutorial演示视频

04

展望：协议栈“黑盒”将被逐步打开

PacketScope项目的研发，是对协议栈可观测性及交互式隐蔽网络攻击有效防御的一次关键探索和推进。在AI赋能网络空间安全转型的大趋势下，我们通过PacketScope项目将逐渐打开端侧协议栈复杂交互的“黑盒”，推动终端安全从外部防御向内部认知演进，从事后响应向实时防护迈进。

    未来，我们计划在下一个版本中将继续拓展：

    (1) 大模型赋能的协议交互全景图瓶颈/风险点的检测分析、到定位确认、再到优化修复的一体化能力

    (2) 多协议追踪能力，实现应用级协议HTTP、QUIC、SCTP等的细粒度分析

    (3) 跨主机协同分析能力，实现管理域内多主机内核协议栈的高效管理与防御

如需进一步了解 PacketScope，欢迎访问我们的项目主页：https://github.com/Internet-Architecture-and-Security/PacketScope

    我们期待与安全社区、互联网研究者、系统工程师携手，共同打造面向未来的协议栈安全基石。

    后续我们将陆续推送PacketScope_v1.0版本的详细安装及使用教程，敬请期待！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：赛博新经济 赛博新经济 赛博新经济《PacketScope：端侧协议栈防御的“智能铠甲”》