网络安全态势感知-全流量安全分析之数据范围

参考了部分互联网内容，数据范围主要包括以下几个方面：

●完整内容数据(PCAP)

        进行数据包分析时，常用到以下三种基本技术：

        包过滤：通过各个协议的元数据或者载荷中的字段或者字段的值来分离数据包。

        模式匹配：通过对数据包的内容进行快速搜索，搜索到那些感兴趣的关键词、字符串、名称或协议模式。可以将关键词组合成正则表达式，采用辅助工具进行模式匹配。

        协议字段分析：从所捕获到的数据包中提取出协议字段中的数据。

●提取内容数据

          包字符串数据是从包捕获数据中导出来的，是介于包捕获数据和会话数据之间的一种数据格式，该数据格式包括报文协议报头中提取的明文字符串。其粒度接近于包捕获数据，但在容量上比包捕获数据更容易管理，并且可以存储较长时间。包字符串数据兼具包捕获数据的完整和会话数据的速度，对存储空间要求也不那么高，且可以根据用户需求进行自定义，因此是一种比较理想且恰当的网络安全数据类型。

●会话数据

          会话数据最常见的是标准的五元组数据

          会话数据最常见的类型有两种：NetFlow和IPFIX。

          NetFlow提供网络流量的会话级视图，记录下每个事务的信息。一个NetFlow流被定义为在一个源IP地址和目的IP地址间传输的单向数据包流，且所有数据包具有共同的传输层源、目的端口号。Netflow是会话数据的标准形式，它详细描述了网络流量的“谁、什么、何时、何地”。