蓝队宝典 | 异常流量阻断技战法分析与应用

关注

原创最新推荐文章于 2026-10-16 10:02:13 发布 1.7k 阅读 AI 写同款· GEO 优化 ›

异常流量检测项目目标是为了检测网络异常流量，防止网络攻击行为，本人参与了初期的工作，进行了文献阅读-数据处理-模型构建-参数优化工作。网络攻击行为主要分为Dos、U2R、Probe等，其对应的流量异常特征为集合异常、点异常、上下文异常。点异常指指单个数据样本相对于周围数据被视为异常的情况；上下文异常指数据实例在特定上下文中异常，但在其他情况下不属于异常的情况；集合异常指相关数据实例的集合作为一个整体是异常的，即使单个值可能是正常的。由于攻击行为大多能体现在流量特征方面，因此项目首先从简单的单变量流量时间序列阅读详情

异常流量的定义

在网络环境中，流量是指通过网络设备（如路由器、交换机等）传输的数据包集合。异常流量通常指偏离正常网络行为模式的流量，这些流量可能由于硬件故障、恶意软件传播或网络攻击等原因引发。异常流量不仅是网络攻击的重要手段，也可能由于配置错误或系统故障引发。

异常流量的分类

通信异常：包括由于设备故障、线路问题、用户操作失误等导致的流量中断或波动。例如，路由器端口故障引起的流量中断，或某些突发事件（如硬件故障、设备过载等）导致的网络带宽剧烈波动。通常表现为短时间内的流量急剧增减，如数据包大量丢失或网络延迟显著增加。
恶意软件传播：恶意软件（如病毒、蠕虫等）在网络中的传播会导致流量异常。典型表现是带宽消耗异常激增，特别是在蠕虫病毒传播时，恶意流量会占用大量网络资源，造成网络拥塞甚至瘫痪。这种流量异常通常在某一时间段内集中爆发，并伴随特定端口或协议的异常流量。
网络攻击：网络攻击行为（如 DDoS 攻击、暴力破解、端口扫描等）通常会在短时间内产生大量异常流量，这些攻击不仅具有高频率、大流量的特征，还可能对目标系统产生致命打击。攻击流量分布广泛，且有明显的周期性或随机性。
数据传输异常：包括由于不当配置或意外操作导致的数据传输异常，如数据包重复发送、数据传输失败等。这些异常往往出现在网络协议不一致或网络环境不稳定时，会导致数据完整性和传输效率受到影响。当然也包括黑客利用目标环境中允许的通讯协议（如：HTTP，DNS，ICMP等）进行数据泄露，此时这些通讯协议的特征与正常情况的数据传输特征会有所不同。
其他异常：误操作、系统错误等其他因素也可能导致异常流量。这些异常通常不具备明显的攻击特征，但如果不及时处理，可能会引发更严重的问题。

异常流量的危害

异常流量对网络系统的危害主要体现在以下几个方面：

业务中断：异常流量可能导致网络资源的过度消耗，进而导致正常业务的中断。例如，DDoS 攻击常常使服务器资源耗尽，导致合法用户无法访问。业务中断不仅影响用户体验，还可能对企业声誉和经济利益造成重大损失。
安全威胁：异常流量可能是攻击者实施攻击的前兆，例如端口扫描、暴力破解等行为可能导致系统被攻破，进而造成数据泄露或系统瘫痪。这类威胁常常隐蔽且破坏性强，需要及时检测和防御。
性能下降：异常流量占用了大量网络资源，可能导致网络性能下降，如网络延迟增加、吞吐量减少等。这些问题会影响正常用户的网络体验，进而影响业务运营效率。

网络入侵方式与阶段性行为分析

边界突破阶段的入侵方式

边界突破阶段通常是攻击者入侵目标系统的第一步，主要通过以下几种方式进行：

信息收集：攻击者通常首先进行信息收集，目标是了解目标网络的基本结构、开放的端口、运行的服务等信息。这些信息可以通过公开资源、社会工程、网络扫描等手段获得。攻击者可能使用工具如 WHOIS 查询、NSlookup 以及扫描工具来获取网络信息。
漏洞扫描：获取基础信息后，攻击者会对目标网络进行漏洞扫描，寻找系统或应用程序中的漏洞。常见的漏洞扫描工具如 Nmap、Nessus 等，可以帮助攻击者识别开放的端口和可能存在的漏洞。扫描可能包括查找未打补丁的软件、开放的管理端口以及未受保护的服务。
边界突破：一旦发现漏洞，攻击者会尝试通过漏洞进行外网渗透，获取服务器的控制权。常见的渗透方式包括 SQL 注入、跨站脚本（XSS）、文件上传漏洞利用等。例如，通过 SQL 注入攻击者可以访问数据库中的敏感信息或获得系统权限。

内网潜伏阶段的渗透行为

在成功入侵打点并实现持久化后，攻击者通常会尝试在内网中进一步扩大影响范围，主要通过以下几种方式：

横向移动：在获取边界区域的据点的初步权限后，攻击者通常会尝试在内网中进行横向移动，以扩大对更多设备和服务的控制权。例如，利用被攻陷的服务器作为跳板，攻击者可以尝试访问其他内部网络设备或工作站。
权限提升：攻击者可能会利用内网中的其他漏洞或错误配置，尝试提升自身权限。例如，从普通用户权限提升至管理员权限，以获得更大的控制权。权限提升可能通过利用本地提权漏洞、破解服务密码或利用错误配置的服务来实现。
数据窃取或破坏：在提升权限后，攻击者可能开始执行最终目的，如窃取敏感数据、破坏系统文件或植入后门程序。这一阶段的攻击行为通常非常隐蔽，攻击者会尽量减少被检测到的可能性，以延长对系统的控制时间。

异常流量的检测方法

基于固定阈值的检测方法

固定阈值检测是最简单的异常流量检测方法，通过设定一个或多个预定义的阈值，当网络流量超过这些阈值时，系统会触发警报或采取阻断措施。该方法实现简单，适用于大多数常见的检测场景，但对流量动态变化适应性差，容易导致误报或漏报。

特征值匹配检测

特征值匹配检测通过建立异常行为特征库，将当前网络中的流量特征与已知特征进行匹配，识别异常流量。它能够有效检测已知的攻击行为，但对未知威胁无效，且特征库的维护需要消耗大量资源。

数据统计与分析方法

通过对历史数据进行统计分析，建立正常流量的基准模型，并与当前流量对比，以判断是否存在异常。此方法适合检测渐进式的异常行为，但对历史数据依赖性强，实时性不足。

基于数据挖掘与机器学习的智能检测

利用数据挖掘和机器学习技术，通过对大量流量数据进行分析和训练，生成检测模型，并不断优化，提高检测精度。该方法在面对复杂和未知攻击时表现出色，但计算资源消耗大，模型解释性差。

▌Web 工作机制与现代应用的安全挑战

Web 服务模式与通信流程

Web 服务模式是现代互联网中最常见的架构之一。用户通过浏览器发送 HTTP 请求，Web 服务器根据请求解析数据，并返回对应的资源或执行相应的应用程序。

典型通信流程：

用户通过浏览器访问 Web 页面，发送 HTTP 请求。
Web 服务器接收请求后，解析请求中的 URL，根据其指向的资源进行处理。
如果请求的是静态内容（如 HTML、CSS、图片等），服务器直接从存储中读取并返回。
如果请求的是动态内容（如查询数据库、执行脚本等），则由应用服务器执行相应的业务逻辑。
执行完成后，服务器将生成的响应内容打包成 HTTP 响应，返回给客户端。

Web 安全的现代挑战

随着 Web 技术的发展，Web 应用的复杂性也在增加，这带来了更多的安全挑战：

跨站脚本攻击（XSS）：攻击者通过注入恶意脚本到 Web 页面，使得其他用户在访问该页面时执行这些脚本，导致信息泄露或会话劫持。
跨站请求伪造（CSRF）：攻击者诱导用户点击恶意链接或表单，利用用户的身份执行未授权的操作，如转账、修改账户信息等。
SQL注入：攻击者通过在输入字段中插入恶意 SQL 语句，绕过应用程序的验证机制，直接对数据库进行操作，从而窃取或篡改数据。

▌多层次检测与阻断策略的设计与实现

基础版异常流量分析系统架构

为了有效应对异常流量，设计了多层次的检测与阻断策略。系统整体架构包括以下几个部分：

流量采集层：负责网络流量的实时采集和镜像，提供原始数据给后续分析模块。常用工具包括 Packet Capture Tools（如 tcpdump、Wireshark）用于捕获网络包，以及 NetFlow/sFlow 用于采集网络流量的元数据。当然也有相当比例的企业部署了商业化Tap交换机产品以实现更灵活的流量采集与编排。
数据处理层：对采集到的流量数据进行清洗、解析和特征提取，为后续的分析提供结构化的数据。数据清洗通过 Python 或 Logstash 进行，协议解析则使用 Wireshark 或 Bro/Zeek 等工具。现在已经有相当比例的企业部署了商业化的全流量分析产品对数据包进行解析与威胁分析。
异常检测层：通过多种检测技术（如阈值检测、行为分析、机器学习等）识别异常流量。例如，固定阈值检测可以在 Suricata 或 Snort 中设置流量阈值规则，行为分析则通过 Zeek 分析流量模式。
响应与阻断层：根据检测结果，采取相应的自动化响应措施，如流量限制、封禁 IP、报警等。常用工具包括 Ansible、SaltStack 等实现自动化响应流程，结合防火墙规则更新和 SDN（软件定义网络）技术进行动态调整。
可视化与监控层：通过可视化工具如 Kibana、Grafana 实时监控网络流量状态、检测结果，并生成报告以供进一步分析和决策。

进阶版多层过滤流量检测和阻断系统

进阶版系统通过分层次的检测和响应机制，能够实时监控、分析和阻断各种网络威胁，保护组织的网络环境和关键业务免受攻击和入侵。系统架构分为以下七个层次：

数据采集与初步过滤层：从各个网络区域采集流量，使用常见工具进行初步过滤，并根据流量类型进行分类和标签化。
行为分析层：利用基线检测和深度包检测（DPI）技术，分析流量行为，识别异常活动，并将可疑流量标记进入下一步处理。
特征匹配与高级检测层：通过 IDS/IPS 系统匹配已知威胁特征，结合机器学习模型检测未知威胁，动态调整规则库以提高检测准确度。
自动化响应与人工干预层：使用自动化工具进行响应，同时保留人工干预选项，确保处理复杂场景的灵活性。
封禁策略层：实施 IP 封禁、协议封禁和应用层封禁，并根据检测结果动态调整封禁策略。
封禁策略反制应对层：处理攻击者的反制行为，结合多层封禁和诱骗策略增强防御。
综合评估与反馈优化层：持续收集数据进行评估，优化检测模型和策略，确保系统的长期有效性。

▌实际应用与优化措施

异常流量检测系统的部署与实践

在实际部署中，异常流量检测系统的策略需要根据具体业务和网络结构进行优化。常见的部署方式包括：

边界部署：在网络边界处部署检测系统，监控外部威胁。
内部部署：在核心网络或数据中心内部部署，用于监控内部流量异常，防止内部威胁扩散。
混合部署：结合边界和内部部署，实现多层次的流量监控。

常见应用场景

针对特定的网络攻击场景，提出了针对性的检测与反制措施：

非正常 User-Agent 请求检测：通过检测非正常的 User-Agent 字段，识别并阻断由自动化工具或脚本生成的请求。技术实施包括在 WAF 中配置自定义规则，结合频率限制来过滤高频请求。
基于地理位置的访问控制：限制来自特定国家或地区的访问，尤其当目标系统只在特定区域（如国内）运行时。技术实施包括利用 GeoIP 插件对访问请求进行地理位置判断，自动封禁来自高风险地区的 IP 地址。
单一 IP 的异常请求检测：通过设置请求频率阈值，当 IP 超过设定的请求频率后，自动封禁并记录其行为模式进行进一步分析。技术实施包括通过防火墙规则和访问控制列表进行基于 IP 的过滤和封禁。