某系统异常流量安全分析案例

异常分析原理

正常的基于TCP的网络流量，都是先建立TCP连接，再传输数据，然后断开连接。而网络中经常存在中毒系统、配置错误等问题，导致网络中存在单向请求现象，这些信息也会在网络流量中体现。

NetInside自动发现大量连接请求，但对方没有响应的行为，统计为失败数。

异常分析

名为“其它组”出现63.9万次失败访问。

XXX.XXX.68.191失败分析，通过分析，该异常是由于XXX.XXX.68.191每隔几秒访问一次192.168.2.16的15674端口，对方没有响应造成。

同样对XXX.XXX.78.32分析。

XXX.XXX.78.32失败分析，通过分析，该异常是由于XXX.XXX.78.32每隔几秒访问一次192.168.2.16的15674端口，对方没有响应造成。

通过上述对2个主机异常分析，结果相同，可能是由于系统中安装某终端或应用配置错误导致。

同理，NetInside系统会发现类似的网络异常行为。