网络日志分析与流量控制
来源：原创 时间：2018-02-09 浏览：0 次此外，如果普通客户端感染了Slamper Worm，则可能会受到病毒感染或其他针对HTTP的攻击。此外，如果普通客户端感染了Slamper Worm，那么它很可能会受到病毒感染或HTTP攻击行为的影响。可以知道IP地址是网段中的SQL漏洞扫描。使用Netflow分析DoS攻击流量的DoS攻击使用非正常数据流量攻击网络设备或其访问服务器，从而导致网络设备或服务器的性能下降，或者影响其他相关用户流量的正常通信。例如，DoS可以利用TCP协议的缺陷，通过SYN打开半开放的TCP连接，消耗系统资源，并导致合法用户无法建立正常的TCP连接。以下是典型的多数式攻击的净流数据实例，其中多个伪造源IP将TCP SYN攻击地址定位到目标IP。
11L*68.。攻击的共同点是SYN泛滥，其特点是设置了TCP报头中的SYN，并且存在大量SYN特征包。FAG位以Netflow输出格式提供，这为我们判断SYN攻击创造了条件，因此检测SYN攻击的条件是：在5分钟内生成大量fag-2数据包，正常连接不产生那么多NAG=2的数据包，因此阈值可以设置为5000。
如果主机发送的fag-2数据包数量超过1000个，则该主机被视为正在发起攻击。以下是SYN字符的净流实例。STP Siffi Proto Pkts Octet 133.13.各种DDoS攻击。笔画的特点是在短时间内产生大量的数据包，因此，即使我们不知道攻击包的特性，也可以在Netflow的输出结果中找到异常流，这为及时检测和预防网络中的不安全因素提供了一种有效的手段。
假设ADSL拨号用户从Internet上的ftp服务器下载可疑文件，在客户端PC上留下下载日期和时间戳信息。在本地访问服务器上，您还可以看到在适当的时间将特定的IP地址分配给客户端PC，并且客户端的家庭电话号码可以通过ISP端的ANI(自动号码识别)日志与Internet拨号信息相关联。同时，ISP路由器记录FTP下载/上传网络流量日志(通常保留30天)，这是至关重要的。最后，FTP服务器上有完整的下载记录。连接是从客户端启动的。从FTP服务器下载分为四个阶段，分别是客户端身份验证、路由器转发和FTP服务器接收下载。在每个阶段，都有记录信息，包括用户帐号、登录时间、IP端口、数据包大小和日期。时间戳等等。日志信息存储在不同的设备上。即使某些日志被损坏到一定程度(例如篡改IP、丢失一些日志等)，它也不会影响整个世界。对于调查人员来说，进行计算机网络取证特别重要，希望能吸引管理人员的注意。在某些情况下，设备不支持Netflow。如何监视流量？这个环境还有一个解决方案，就是使用Probe.UseProbe生成默认版本格式的净流消息。
探测最初是一个在BSD环境中运行的软件。它可以将NIC接口接收到的数据转换成Netflow数据，并发送到Netflow分析仪。通过部署这样的OSSIM服务器，我们可以将网络流量镜像到OSSIM服务器。网络流量分析。OSSIM服务器在网络流量分析器中，探测器由以下三个工具组成：从远程主机发送数据流。上升：NetFlow分析图形前端Fdump：NetFlow收集模块.。
有关OSSM结构，请参阅本书第14章。本文介绍了利用网络流量分析数据包的过程。首先，在网络接口上接收数据。探测程序根据一定的规则和格式将采集到的数据转换成Netflow格式，并发送到系统的555端口。存储在varrcachefdump/flow/目录中，最后由Web前端程序读取，通过端口555接收数据，并在前台Web接口上以情景感知的形式显示结果。→网络。→流量，显示效果在OSSM的右侧导航栏可以查看分析。
