提前做好网络安全分析，运维真轻松（二）

背景

某汽车总部已部署NetInside流量分析系统，使用流量分析系统提供实时和历史原始流量。汽车配件电子图册系统是某汽车集团的重要业务系统。本次分析重点针对汽车配件电子图册系统进行预见性分析，以供安全取证、性能分析、网络质量监测以及深层网络分析

报告内容

本报告内容主要为：

整体流量分析、异常分析。

分析时间

报告分析时间范围为：2022-04-04—2022-04-10，时长共计7天。

环境准备

分析结论

系统几秒钟定位至问题根本原因，通过输出报告方式，总体流量、连接异常过程详细演示。

1. 总体网络流量平均每小时100Mbps，最大时超过441Mbps，显示了流量最大的前5个IP和前5个应用全天的变化趋势。

2. 发现网络中存在连接异常，172.17.254.243主机与172.24.17.94/95建立连接时，出现连接重传，有部分请求出现连接失败的现象。

详细分析内容

流量分析

总流量分布趋势，最大时超过441Mbps。

流量最大的前5个IP地址，流量分布趋势。

流量最大的前5个应用分布趋势，其中TCP:1556流量达到439Mbps。

系统在4月9日自动发现，tcp:1556不常见的应用端口流量特别大。

异常分析

正常的基于TCP的网络流量，都是先建立TCP连接，再传输数据，然后断开连接。

而网络中经常存在中毒系统、配置错误等问题，导致网络中存在单向请求现象，这些信息也会在网络流量中体现。

NetInside自动发现大量连接请求，但对方没有响应的行为，统计为失败数。

“其它组”工作组异常分析，出现3577次失败访问，IP为172.17.254.243平均每小时发送6480个请求，其中有3600个请求失败。

下载原始数据报文，所有的异常行为都会留有网络痕迹，通过系统下载172.17.254.243的原始报文，把当时的流量拿出来做分析。

访问失败分析，通过下载数据包分析，该异常是会话建立连接时出现重传，需要释放掉该连接，重新建立导致。

建议

通过对汽车配件电子图册“其它组”工作组异常分析，运维同事认为此问题会影响系统其他应用的性能，需要排查具体原因并禁止此行为的单向发送。