云oa管理基礎知識：如何分析云oa異常流量

本文從互聯(lián)網(wǎng)運營商的視角，對互聯(lián)網(wǎng)異常流量的特征進行了深入分析，進而提出如何在云oa層面對互聯(lián)被過濾廣告網(wǎng)異常流量采取防護措施，其中重點講述了NetFlow分析在互聯(lián)網(wǎng)異常流量防護中的應用及典型案例。

云OA系統(tǒng)基礎知識一、NetFlow簡介

本文對互聯(lián)網(wǎng)異常流量的特征分析主要基于NetFlow數(shù)據(jù)，因此首先對NetFlow做簡單介紹。

云oa系統(tǒng)基礎知識1. NetFlow概念

NetFlow是一種數(shù)據(jù)交換方式，其工作原理是：NetFlow利用標準的交換模式處理數(shù)據(jù)流的第一個IP包數(shù)據(jù)，生成NetFlow 緩存，隨后同樣的數(shù)據(jù)基于緩存信息在同一個數(shù)據(jù)流中進行傳輸，不再匹配相關的訪問控制等策略，NetFlow緩存同時包含了隨后數(shù)據(jù)流的統(tǒng)計信息。

一個NetFlow流定義為在一個源IP地址和目的IP地址間傳輸?shù)膯蜗驍?shù)據(jù)包流，且所有數(shù)據(jù)包具有共同的傳輸層源、目的端口號。

云oa系統(tǒng)基礎知識2. NetFlow數(shù)據(jù)采集

針對路由器送出的NetFlow數(shù)據(jù)，可以利用NetFlow數(shù)據(jù)采集軟件存儲到服務器上，以便利用各種NetFlow數(shù)據(jù)分析工具進行進一步的處理。

Cisco提供了Cisco NetFlow Collector(NFC)采集NetFlow數(shù)據(jù)，其它許多廠家也提供類似的采集軟件。

下例為利用NFC2.0采集的云oa流量數(shù)據(jù)實例：

　　211.*.*.57|202.*.*.12|Others|localas|9|6|2392

　　|80|80|1|40|1

出于安全原因考慮，本文中出現(xiàn)的IP地址均經(jīng)過處理。

NetFlow數(shù)據(jù)也可以在路由器上直接查看，以下為從Cisco GSR路由器采集的數(shù)據(jù)實例，：

　　gsr #att 2(登錄采集NetFlow數(shù)據(jù)的GSR 2槽板卡)

　　LC-Slot2>sh ip cache flow

　　SrcIf SrcIPaddress DstIf DstIPaddress Pr SrcP DstP Pkts

　　Gi2/1 219.*.*.229 PO4/2 217.*.*.228 06 09CB 168D 2

　　Gi2/1 61.*.*.23 Null 63.*.*.246 11 0426 059A1

本文中的NetFlow數(shù)據(jù)分析均基于NFC采集的云oa流量數(shù)據(jù)，針對路由器直接輸出的Neflow數(shù)據(jù)，也可以采用類似方法分析。

3. NetFlow數(shù)據(jù)采集格式說明

NFC 可以定制多種NetFlow數(shù)據(jù)采集格式，下例為NFC2.0采集的一種流量數(shù)據(jù)實例，本文的分析都基于這種格式。

　　61.*.*.68|61.*.*.195|64917|Others|9|13|4528|

　　135|6|4|192|1

數(shù)據(jù)中各字段的含義如下：

源地址|目的地址|源自治域|目的自治域|流入接口號|流出接口號|源端口|目的端口|協(xié)議類型|包數(shù)量|字節(jié)數(shù)|流數(shù)量

云oa系統(tǒng)基礎知識4. 幾點說明

NetFlow主要由Cisco路由器支持，對于其它廠家的云oa產(chǎn)品也有類似的功能，例如Juniper路由器支持sFlow功能。

NetFlow支持情況與路由器類型、板卡類型、IOS版本、IOS授權都有關系，不是在所有情況下都能使用，使用時需考慮自己的軟硬件配置情況。

本文的所有分析數(shù)據(jù)均基于采自Cisco路由器的NetFlow數(shù)據(jù)。

三、利用NetFlow工具處理防范云oa異常流量

從某種程度上來講，互聯(lián)網(wǎng)異常流量永遠不會消失而且從技術上目前沒有根本的解決辦法，但對網(wǎng)管人員來說，可以利用許多技術手段分析異常流量，減小異常流量發(fā)生時帶來的影響和損失，以下是處理云oa異常流量時可以采用的一些方法及工具：

1. 判斷異常流量流向

因為目前多數(shù)云oa設備只提供物理端口入流量的NetFlow數(shù)據(jù)，所以采集異常流量NetFlow數(shù)據(jù)之前，首先要判斷異常流量的流向，進而選擇合適的物理端口去采集數(shù)據(jù)。

流量監(jiān)控管理軟件是判斷異常流量流向的有效工具，通過流量大小變化的監(jiān)控，可以幫助我們發(fā)現(xiàn)異常流量，特別是大流量異常流量的流向，從而進一步查找異常流量的源、目的地址。

目前最常用的流量監(jiān)控工具是免費軟件MRTG，下圖為利用MRTG監(jiān)測到的云oa異常流量實例，可以看出被監(jiān)測設備端口在當天4：00至9：30之間產(chǎn)生了幾十Mbps的異常流量，造成了該端口的擁塞(峰值流量被拉平)。

如果能夠?qū)⒘髁勘O(jiān)測部署到全網(wǎng)，這樣在類似異常流量發(fā)生時，就能迅速找到異常流量的源或目標接入設備端口，便于快速定位異常流量流向。

有些異常流量發(fā)生時并不體現(xiàn)為大流量的產(chǎn)生，這種情況下，我們也可以綜合異常流量發(fā)生時的其它現(xiàn)象判斷其流向，如設備端口的包轉(zhuǎn)發(fā)速率、云oa時延、丟包率、云oa設備的CPU利用率變化等因素。

2. 采集分析NetFlow數(shù)據(jù)

判斷異常流量的流向后，就可以選擇合適的云oa設備端口，實施Neflow配置，采集該端口入流量的NetFlow數(shù)據(jù)。

以下是在Cisco GSR路由器GigabitEthernet10/0端口上打開NetFlow的配置實例：

　　ip flow-export source Loopback0

　　ip flow-export destination *.*.*.61 9995

　　ip flow-sampling-mode packet-interval 100

　　interface GigabitEthernet10/0

　　ip route-cache flow sampled

通過該配置把流入到GigabitEthernet10/0的NetFlow數(shù)據(jù)送到NetFlow采集器*.*.*.61，該實例中采用sampled模式，采樣間隔為100:1。

3. 處理異常流量的方法

(1)切斷連接

在能夠確定異常流量源地址且該源地址設備可控的情況下，切斷異常流量源設備的物理連接是最直接的解決辦法。

(2)過濾

采用ACL(Access Control List)過濾能夠靈活實現(xiàn)針對源目的IP地址、協(xié)議類型、端口號等各種形式的過濾，但同時也存在消耗云oa設備系統(tǒng)資源的副作用，下例為利用ACL過濾UDP 1434端口的實例：

　　access-list 101 deny　 udp any any eq 1434

　　access-list 101 permit ip any any

此過濾針對蠕蟲王病毒(SQL Slammer)，但同時也過濾了針對SQL Server的正常訪問，如果要保證對SQL Server的正常訪問，還可以根據(jù)病毒流數(shù)據(jù)包的大小特征實施更細化的過濾策略(本文略)。

(3)靜態(tài)空路由過濾

能確定異常流量目標地址的情況下，可以用靜態(tài)路由把異常流量的目標地址指向空(Null)，這種過濾幾乎不消耗路由器系統(tǒng)資源，但同時也過濾了對目標地址的正常訪問，配置實例如下：

　　ip route 205.*.*.2 255.255.255.255 Null 0

對于多路由器的云oa，還需增加相關動態(tài)路由配置，保證過濾在全網(wǎng)生效。

(4)異常流量限定

利用路由器CAR功能，可以將異常流量限定在一定的范圍，這種過濾也存在消耗路由器系統(tǒng)資源的副作用，以下為利用CAR限制UDP 1434端口流量的配置實例：

　　Router# (config) access-list 150 deny udp any any eq 1434

　　Router# (config) access-list 150 permit ip any any

　　Router# (config) interface fastEthernet 0/0

　　Router# (config-if) rate-limit input access-group rate-limit 150 8000 1500 20000

　　conform-action drop exceed-action drop

此配置限定UDP 1434端口的流量為8Kbps。

四、常見蠕蟲病毒的NetFlow分析案例

利用上訴方法可以分析目前互聯(lián)網(wǎng)中存在的大多數(shù)異常流量，特別是對于近年來在互聯(lián)網(wǎng)中造成較大影響的多數(shù)蠕蟲病毒，其分析效果非常明顯，以下為幾種蠕蟲病毒的NetFlow分析實例：

1. 紅色代碼 (Code Red Worm)

2001年7月起發(fā)作，至今仍在云oa流量中經(jīng)常出現(xiàn)。

　　211.*.*.237|192.*.148.107|65111|as1|6|72|

　　3684|80|80|3|144|1

　　211.*.*.237|192.*.141.167|65111|as1|6|36|

　　4245|80|80|3|144|1

　　211.*.*.237|160.*.84.142|65111|as1|6|72|

　　4030|80|80|3|144|1

NetFlow流數(shù)據(jù)典型特征：目的端口80, 協(xié)議類型80，包數(shù)量3，字節(jié)數(shù)144。

2. 硬盤殺手(worm.opasoft，W32.Opaserv.Worm)

2002年9月30日起發(fā)作，曾對許多云oa設備性能造成影響，2003年后逐漸減少。

　　61.*.*.196|25.|*.156.106|64621|Others|6|36|

　　1029|137|17|1|78|1

　　61.*.*.196|25.*.156.107|64621|Others|6|36|

　　1029|137|17|1|78|1

　　61.*.*.196|25.*.156.108|64621|Others|6|36|

　　1029|137|17|1|78|1

NetFlow流數(shù)據(jù)典型特征：目的端口137，協(xié)議類型UDP，字節(jié)數(shù)78。

3. 2003蠕蟲王 (Worm.NetKiller2003，WORM_SQLP1434，W32.Slammer，W32.SQLExp.Worm)

2003年1月25日起爆發(fā)，造成全球互聯(lián)網(wǎng)幾近癱瘓，至今仍是互聯(lián)網(wǎng)中最常見的異常流量之一。

　　61.*.*.124|28.*.17.190|65111|as1|6|34|4444|

　　1434|17|1|404|1

　　61.*.*.124|28.*.154.90|65111|as1|6|70|4444|

　　1434|17|1|404|1

　　61.*.*.124|28.*.221.90|65111|as1|6|36|4444|

　　1434|17|1|404|1

NetFlow流數(shù)據(jù)典型特征：目的端口1434，協(xié)議類型UDP，字節(jié)數(shù)404

4. 沖擊波 (WORM.BLASTER，W32.Blaster.Worm)

2003年8月12日起爆發(fā)，由其引發(fā)了危害更大的沖擊波殺手病毒。

　　211.*.*.184|99.*.179.27|Others|Others|161|0|

　　1523|135|6|1|48|1

　　211.*.*.184|99.*.179.28|Others|Others|161|0|

　　1525|135|6|1|48|1

　　211.*.*.184|99.*.179.29|Others|Others|161|0|

　　1527|135|6|1|48|1

典型特征：目的端口135，協(xié)議類型TCP，字節(jié)數(shù)48

5. 沖擊波殺手(Worm.KillMsBlast，W32.Nachi.worm，W32.Welchia.Worm)

2003年8月18日起發(fā)現(xiàn)，其產(chǎn)生的ICMP流量對全球互聯(lián)網(wǎng)造成了很大影響，2004年后病毒流量明顯減少。

　　211.*.*.91|211.*.*.77|Others|Others|4|0|0|

　　2048|1|1|92|1

　　211.*.*.91|211.*.*.78|Others|Others|4|0|0|

　　2048|1|1|92|1

　　211.*.*.91|211.*.*.79|Others|Others
 

【推薦閱讀】

◆泛普網(wǎng)管軟件專區(qū)

◆泛普云oa系統(tǒng)管理專區(qū)

◆云oa系統(tǒng)員工資低是怎么造就的？

◆云oa系統(tǒng)軟件已逐步向云oa系統(tǒng)管理軟件升級