流量突发分析

安全牛web 安全工程师笔记

1. 网络回溯分析

----dump数据包----然后分析数据包

----最真实，最全面

2.网络回溯分析的作用

----了解  行为规律

----发现 异常

----证明 取证，证明

3. 回去流量方式

----交换机镜像

----tap

4. 应用

----流量异常

----蠕虫

----木马僵尸

----DOS

----渗透攻击等

5. 突发流量

----影响

--------拥塞

----常见原因

--------P2P 等大数据传输

--------网络设备配置问题

--------DoS

--------蠕虫爆发

--------主机，操作系统的异常

--------网络设备故障

分析步骤

----找到源头

--------应用

--------IP

---------会话

通过回溯发现蠕虫

----蠕虫是一个传播工具，可以通过自己在网络上传播

----通过邮件，及时漏洞

----os的网络漏洞

蠕虫的行为特征

----扫描端口和漏洞

----网络层

--------同大量主机会话

--------大多是发包，每个会话流量少

--------会话层

木马和僵尸网络的分析方法

----木马通过方向连接到控制端

----可能的特征：可以的域名解析（肉鸡用于找到控制端）

----木马的活动阶段

--------域名解析----上线连接----可以的心跳