17、高级Ourmon技术：自动化数据包捕获与异常检测

高级Ourmon技术：自动化数据包捕获与异常检测

在网络监控和安全领域，我们常常会遇到各种异常情况。这些异常可能表现为数据包数量的突然激增、特定服务的异常流量等。Ourmon是一款强大的网络监控工具，它提供了一些高级技术，能够帮助我们更好地应对这些异常情况。本文将深入探讨Ourmon的自动化数据包捕获功能以及相关的异常检测触发器，同时通过实际案例展示如何分析捕获到的数据包。

1. 自动化数据包捕获概述

在网络监控中，异常检测是一项重要任务，但往往我们只能发现异常的存在，却难以找到合理的解释。例如，可能会遇到数据包计数的突发高峰，但不清楚攻击者是谁、使用了何种数据包以及攻击目标是什么。Ourmon的自动化数据包捕获功能为解决这些问题提供了一种有效的手段。

在 ourmon.conf 文件中，可以开启各种自动化数据包捕获触发器。当某个整数计数器（如扫描器的数量）达到某个阈值时，Ourmon会将接下来的N个数据包记录到一个文件中。这个文件是tcpdump格式的，可以使用任何支持pcap库的嗅探软件进行回放，如Ourmon、Snort、tcpdump和WireShark等。

所有触发器在安装Ourmon时默认是关闭的，这是一个高级功能，需要在做好准备后再启用。自动化数据包捕获虽然有助于解释异常事件，但会给探测系统带来较大的开销，主要是因为在正常的Ourmon探测采样周期内会有大量的文件I/O操作。

2. 触发器配置语法

所有触发器在 ourmon.conf 文件中的语法大致相同：