網絡技術是從1990年代中期發展起來的新技術,它把互聯網上分散的資源融為有機整體,實現資源的全面共享和有機協作,使人們能夠透明地使用資源的整體能力并按需獲取信息。資源包括高性能計算機、存儲資源、數據資源、信息資源、知識資源、專家資源、大型數據庫、網絡、傳感器等。 當前的互聯網只限于信息共享,網絡則被認為是互聯網發展的第三階段。 一、前言近年來,隨著互聯網在全球的迅速發展和各種互聯網應用的快速普及,互聯網已成為人們日常工作生活中不可或缺的信息承載工具。然而,伴隨著互聯網的正常應用流量,網絡上形形色色的異常流量也隨之而來,影響到互聯網的正常運行,威脅用戶主機的安全和正常使用。 本文從互聯網運營商的視角,對互聯網異常流量的特征進行了深入分析,進而提出如何在網絡層面對互聯網異常流量采取防護措施,其中重點講述了NetFlow分析在互聯網異常流量防護中的應用及典型案例。 二、NetFlow簡介 本文對互聯網異常流量的特征分析主要基于NetFlow數據,因此首先對NetFlow做簡單介紹。 1. NetFlow概念 NetFlow是一種數據交換方式,其工作原理是:NetFlow利用標準的交換模式處理數據流的第一個IP包數據,生成NetFlow 緩存,隨后同樣的數據基于緩存信息在同一個數據流中進行傳輸,不再匹配相關的訪問控制等策略,NetFlow緩存同時包含了隨后數據流的統計信息。 一個NetFlow流定義為在一個源IP地址和目的IP地址間傳輸的單向數據包流,且所有數據包具有共同的傳輸層源、目的端口號。 2. NetFlow數據采集 針對路由器送出的NetFlow數據,可以利用NetFlow數據采集軟件存儲到服務器上,以便利用各種NetFlow數據分析工具進行進一步的處理。 Cisco提供了Cisco NetFlow Collector(NFC)采集NetFlow數據,其它許多廠家也提供類似的采集軟件。 下例為利用NFC2.0采集的網絡流量數據實例: 211.*.*.57|202.*.*.12|Others|localas|9|6|2392 |80|80|1|40|1 出于安全原因考慮,本文中出現的IP地址均經過處理。 NetFlow數據也可以在路由器上直接查看,以下為從Cisco GSR路由器采集的數據實例,: gsr #att 2 (登錄采集NetFlow數據的GSR 2槽板卡) LC-Slot2>sh ip cache flow SrcIf SrcIPaddress DstIf DstIPaddress Pr SrcP DstP Pkts Gi2/1 219.*.*.229 PO4/2 217.*.*.228 06 09CB 168D 2 Gi2/1 61.*.*.23 Null 63.*.*.246 11 0426 059A 1 本文中的NetFlow數據分析均基于NFC采集的網絡流量數據,針對路由器直接輸出的Neflow數據,也可以采用類似方法分析。 3. NetFlow數據采集格式說明 NFC 可以定制多種NetFlow數據采集格式,下例為NFC2.0采集的一種流量數據實例,本文的分析都基于這種格式。 61.*.*.68|61.*.*.195|64917|Others|9|13|4528| 135|6|4|192|1 數據中各字段的含義如下: 源地址|目的地址|源自治域|目的自治域|流入接口號|流出接口號|源端口|目的端口|協議類型|包數量|字節數|流數量 4. 幾點說明 NetFlow主要由Cisco路由器支持,對于其它廠家的網絡產品也有類似的功能,例如Juniper路由器支持sFlow功能。 NetFlow支持情況與路由器類型、板卡類型、IOS版本、IOS授權都有關系,不是在所有情況下都能使用,使用時需考慮自己的軟硬件配置情況。 本文的所有分析數據均基于采自Cisco路由器的NetFlow數據。 網絡的神奇作用吸引著越來越多的用戶加入其中,正因如此,網絡的承受能力也面臨著越來越嚴峻的考驗―從硬件上、軟件上、所用標準上......,各項技術都需要適時應勢,對應發展,這正是網絡迅速走向進步的催化劑。 |
溫馨提示:喜歡本站的話,請收藏一下本站!