数据包
- 根据网络协议的类型，数据包有不同的格式。数据包通常由两部分组成：数据包报头和它的有效负载
- 报头负责引导包在网络中传输，并标记包的源信息。在许多数据收集方法中，报头对于识别和过滤数据包变得很重要。一些基于报头的方法，根据报头中包含的IP地址、端口和协议将数据包分类为多个流。有效负载包含在通信各方之间交换的数据，尽管其中一些数据可以被加密
- libpcap函数库提供了收集数据包流的所有内容的功能
- 网络流量的最小传输单元是一个包，每个包包括一个或多个报头和一个有效负载。例如，超文本传输协议(HTTP)包包含14字节媒体访问控制(MAC)层头、20字节互联网协议(IP)层头、20字节传输控制协议(TCP)层头、非固定长度的HTTP头以及有效负载。传统的ids可以应用于从这些标题中提取各种特征。