網(wǎng)絡日志分析與流量控制
來源：原創(chuàng) 時間：2018-02-09 瀏覽：0 次此外，如果普通客戶端感染了Slamper Worm，則可能會受到病毒感染或其他針對HTTP的攻擊。此外，如果普通客戶端感染了Slamper Worm，那么它很可能會受到病毒感染或HTTP攻擊行為的影響?？梢灾繧P地址是網(wǎng)段中的SQL漏洞掃描。使用Netflow分析DoS攻擊流量的DoS攻擊使用非正常數(shù)據(jù)流量攻擊網(wǎng)絡設(shè)備或其訪問服務器，從而導致網(wǎng)絡設(shè)備或服務器的性能下降，或者影響其他相關(guān)用戶流量的正常通信。例如，DoS可以利用TCP協(xié)議的缺陷，通過SYN打開半開放的TCP連接，消耗系統(tǒng)資源，并導致合法用戶無法建立正常的TCP連接。以下是典型的多數(shù)式攻擊的凈流數(shù)據(jù)實例，其中多個偽造源IP將TCP SYN攻擊地址定位到目標IP。
11L*68.。攻擊的共同點是SYN泛濫，其特點是設(shè)置了TCP報頭中的SYN，并且存在大量SYN特征包。FAG位以Netflow輸出格式提供，這為我們判斷SYN攻擊創(chuàng)造了條件，因此檢測SYN攻擊的條件是：在5分鐘內(nèi)生成大量fag-2數(shù)據(jù)包，正常連接不產(chǎn)生那么多NAG=2的數(shù)據(jù)包，因此閾值可以設(shè)置為5000。
如果主機發(fā)送的fag-2數(shù)據(jù)包數(shù)量超過1000個，則該主機被視為正在發(fā)起攻擊。以下是SYN字符的凈流實例。STP Siffi Proto Pkts Octet 133.13.各種DDoS攻擊。筆畫的特點是在短時間內(nèi)產(chǎn)生大量的數(shù)據(jù)包，因此，即使我們不知道攻擊包的特性，也可以在Netflow的輸出結(jié)果中找到異常流，這為及時檢測和預防網(wǎng)絡中的不安全因素提供了一種有效的手段。
假設(shè)ADSL撥號用戶從Internet上的ftp服務器下載可疑文件，在客戶端PC上留下下載日期和時間戳信息。在本地訪問服務器上，您還可以看到在適當?shù)臅r間將特定的IP地址分配給客戶端PC，并且客戶端的家庭電話號碼可以通過ISP端的ANI(自動號碼識別)日志與Internet撥號信息相關(guān)聯(lián)。同時，ISP路由器記錄FTP下載/上傳網(wǎng)絡流量日志(通常保留30天)，這是至關(guān)重要的。最后，F(xiàn)TP服務器上有完整的下載記錄。連接是從客戶端啟動的。從FTP服務器下載分為四個階段，分別是客戶端身份驗證、路由器轉(zhuǎn)發(fā)和FTP服務器接收下載。在每個階段，都有記錄信息，包括用戶帳號、登錄時間、IP端口、數(shù)據(jù)包大小和日期。時間戳等等。日志信息存儲在不同的設(shè)備上。即使某些日志被損壞到一定程度(例如篡改IP、丟失一些日志等)，它也不會影響整個世界。對于調(diào)查人員來說，進行計算機網(wǎng)絡取證特別重要，希望能吸引管理人員的注意。在某些情況下，設(shè)備不支持Netflow。如何監(jiān)視流量？這個環(huán)境還有一個解決方案，就是使用Probe.UseProbe生成默認版本格式的凈流消息。
探測最初是一個在BSD環(huán)境中運行的軟件。它可以將NIC接口接收到的數(shù)據(jù)轉(zhuǎn)換成Netflow數(shù)據(jù)，并發(fā)送到Netflow分析儀。通過部署這樣的OSSIM服務器，我們可以將網(wǎng)絡流量鏡像到OSSIM服務器。網(wǎng)絡流量分析。OSSIM服務器在網(wǎng)絡流量分析器中，探測器由以下三個工具組成：從遠程主機發(fā)送數(shù)據(jù)流。上升：NetFlow分析圖形前端Fdump：NetFlow收集模塊.。
有關(guān)OSSM結(jié)構(gòu)，請參閱本書第14章。本文介紹了利用網(wǎng)絡流量分析數(shù)據(jù)包的過程。首先，在網(wǎng)絡接口上接收數(shù)據(jù)。探測程序根據(jù)一定的規(guī)則和格式將采集到的數(shù)據(jù)轉(zhuǎn)換成Netflow格式，并發(fā)送到系統(tǒng)的555端口。存儲在varrcachefdump/flow/目錄中，最后由Web前端程序讀取，通過端口555接收數(shù)據(jù)，并在前臺Web接口上以情景感知的形式顯示結(jié)果?！W(wǎng)絡?！髁浚@示效果在OSSM的右側(cè)導航欄可以查看分析。
