流量采集包括流量镜像、采集过滤、报文存储三个阶段。

     通过在被采集数据的网络设备上做端口流量镜像，包括千兆、万兆以太网端口、分光器、分流器等，将流量报文原始数据发到采集探针的采集端口。

     由采集端口按采集流量的配置，对所有流量、或指定IP的流量，按指定部分报文长度或整个报文存储到采集探针的存储空间上。

     在流量采集存储的过程中，通过DPI/DFI识别和高性能计算。基于流量统计、质量计算、行为分析、异常监控等多种模型，对数据流量的会话和流量统计。并生成丰富的TCP协议指标以及应用交易指标，为可视化分析提供多个维度的数据源。

可视化分析是基于时间、网络空间、协议层次三个维度，进行用户、应用、服务器、端口、地区国家运营商、网络质量等多个对象的数据图形统计。

基于时间 ，分析状态和趋势；

基于网络空间，分析问题影响范围、访问关系；

基于协议层次，进行应用识别、原始数据分析。

通过对用户网络访问行为进行审计分析，记录用户的上网行为。包括DNS、搜索引擎、邮件、HTTP_GET、HTTP_POST、FTP、TELNET、虚拟帐号、数据库、VPN、移动定位等。行为分析以图形可视方式，实现对用户上网行为的直观呈现。

在进行采集和数据处理时，数据包原始会话日志数据通过多个维度进行分类汇总、聚合成多个数据表，入库到回溯数据库中。在进行回溯分析时，回溯分析界面对物理地址、IP地址、应用、网段、地区、物理/IP/TCP/UDP会话等多个数据表进行展示。并且可以对数据进行2-3级钻取，查看数据流量和协议详细统计指标，可以下载数据包，可以进行web解码。

对指定历史时间段的数据进行多级多层可视化报表呈现、实现快速定位检索，以便快速取证、分析问题。可以通过多个维度作为多溯的首层选取范围，维度包括IP地址、网络应用。