基于NetFlow做网络流量分析,需要深入了解异常流量产生的原理及特征
本文从NetFlow数据角度,对异常流量的种类、产生后果、数据包类型、流向等多个方面进行分析。
1. 异常流量种类
目前,对互联网造成重大影响的异常流量主要有以下几种:
1.1.拒绝服务攻击(DoS)
DoS攻击使用非正常的数据流量攻击网络设备或其接入的服务器,致使网络设备或服务器的性能下降,或占用网络带宽,影响其它相关用户流量的正常通信,最终可能导致网络服务的不可用。
DoS可以利用TCP协议的缺陷,通过SYN打开半开的TCP连接,占用系统资源,使合法用户被排斥而不能建立正常的TCP连接。
多个伪造的源IP同时向一个目的IP发起TCP SYN攻击
典型特征如下:
- 目的IP固定的一个或几个,源IP随机
- 协议类型|包数量|字节数|流数量 呈现
6|1|40|1
的特点
1.2.分布式拒绝服务攻击(DDoS)
DDoS把DoS又发展了一步,将这种攻击行为自动化,