网络安全系列-XV: 网络异常流量的种类及特征

基于NetFlow做网络流量分析，需要深入了解异常流量产生的原理及特征
本文从NetFlow数据角度，对异常流量的种类、产生后果、数据包类型、流向等多个方面进行分析。

1. 异常流量种类

目前，对互联网造成重大影响的异常流量主要有以下几种：

1.1.拒绝服务攻击（DoS）

DoS攻击使用非正常的数据流量攻击网络设备或其接入的服务器，致使网络设备或服务器的性能下降，或占用网络带宽，影响其它相关用户流量的正常通信，最终可能导致网络服务的不可用。

DoS可以利用TCP协议的缺陷，通过SYN打开半开的TCP连接，占用系统资源，使合法用户被排斥而不能建立正常的TCP连接。

多个伪造的源IP同时向一个目的IP发起TCP SYN攻击

典型特征如下：

• 目的IP固定的一个或几个，源IP随机
• 协议类型|包数量|字节数|流数量 呈现 6|1|40|1 的特点

1.2.分布式拒绝服务攻击（DDoS）

DDoS把DoS又发展了一步，将这种攻击行为自动化，