欢迎关注:1,欢迎关注本博客,你可点击右手边的【QQ邮件订阅】订阅本博客!2,本博客推出江湖救急计划,主要为工作中遇到疑难杂症的兄弟提供远程技术支持和分析,如有需要,请在江湖救急计划页面给我留言!

交换机内部报文处理流程

作者:易隐者 发布于:2012-11-20 21:05 Tuesday 分类:参考资料

       交换机作为网络基础设施中不可或缺的组成部分,是最为常见的中间设备之一,其内部报文的处理流程如下图所示:

点击查看原图

       此图来自于互联网,仅供大家参考。

阅读全文>>

标签: 交换机 中间设备 报文 报文处理流程

评论(0) 引用(0) 浏览(8055)

异常流量分析方法——发现-定位-管控

作者:易隐者 发布于:2012-11-8 21:50 Thursday 分类:网络分析

       我们在实际工作环境中遇到各种影响网络系统和业务正常运行的异常流量的概率远远高于遇到疑难故障的概率,在我的博客里已经将疑难杂症的分析方法和思路做了非常深入的阐述(大家可参考《疑难故障分析常规流程和思路》、《疑难网络故障的分析方法和原理之关联分析法》、《疑难网络故障的分析方法和原理之对比分析法》等文),并且我为此撰写了大量的疑难故障的实际分析和解决的案例,我在《疑难故障分析常规流程和思路》一文中,仅仅简单的提到“全局捕包确认异常类型和源头”等寥寥数字,这并不是我疏忽,而是当这些异常流量足以对网络和业务应用产生较为严重影响的时候,其在流量的特性上往往具有较为明显的特征,因此站在网络分析技术的角度,我认为针对这些异常流量的分析是一件非常简单的事情,只要通过简单几个分析步骤和流程,即可快速的定位。
       但是这些看似简单的方法和流程,对于一些不了解网络分析技术或网络分析初学者来说,却是一件令人头疼的事情,我曾在工作中数次遇到朋友问我:为什么不把这些最常遇到的异常流量问题的分析方法和思路,简单明了的写出来,以助初学者快速入手呢?
       我想的确有道理,把这些东西写出来,让更多的朋友能够利用我写的分析方法和思路解决实际工作过程中遇到的问题,岂不是一件快事?但是考虑到高彦刚老师在其《实用网络流量分析技术》一书中,已经对蠕虫、P2P、环路、ARP病毒等常见异常流量的分析案例做了专业的介绍,在此我将不再将高老师已经做过的、非常优秀的事情再做一遍,我主要将异常流量分析的方法和思路总结为一个简单易懂的、通用的分析流程。据此流程,你可以快速的分析定位大部分的异常流量。
       该方法并不局限于任何一款具体的网络分析产品和工具,只要你熟练掌握某一种网络分析工具(wireshark、omnipeek、科来或其他),都可以按照这个分析方法,快速的分析定位大部分的异常流量。

什么是异常流量

       严格的来讲,正常业务流量之外的流量,都应该归类为异常流量的范畴。但是,除了在工业控制系统等生产网络环境中,可以这样定义异常流量之外,其他的办公网络环境如此严格的定义异常流量都是不合适的。因为在普通的办公网环境下很难保证网内交互的都是业务流量。
       在办公网络环境下,办公端系统的应用和管理是非常丰富和复杂的,我们难以做到让每个办公终端在固定的时间内只运行某些固定的业务系统,相反,这些办公终端会根据不同的使用者特性和个人偏好,在不同的时段运行的大量的应用进程,这些进程中可能包含正常的办公应用的进程,也可能包含大量依托于互联网的非业务应用进程,甚至可能包含使用者自己都不知道的第三方插件、木马、病毒等进程。因此,我们还需要定义一个应用更为广泛的狭义上的异常流量。

       狭义范畴上的异常流量主要指:病毒、蠕虫、木马、垃圾应用(P2P下载/在线视频/在线游戏等)、攻击(各种DOS攻击流量)等影响网络和业务正常运行的流量。
       如此一来,我们便明确了我们需要分析的对象了,如果你是一个初学者,这样是不是感觉更具体一点?是不是有种找到靶心的感觉,哈哈。话不多说,还是跟我一起来开启这趟分析之旅吧。

异常流量分析方法和思路

       按照我个人的经验,我将异常流量的分析方法归纳为三大步骤和五个过程,分别为
发现-定位-管控三大步骤和Whether-Who-What -Where-How五个过程。如下图所示: 

点击查看原图

发现-定位-管控三大步骤

点击查看原图

Whether-Who-What -Where-How五个过程

发现-定位-管控三大步骤:
发现(Discovery):及时发现当前网络环境中是否存在异常流量。
定位(Location):通过分析定位出异常流量的根源、类型、运作模式以及具体的主机位置,为下一步的管控提供全面的信息。
管控(Control):利用现有资源,及时实现对异常流量的管理和控制,消除异常流量对网络和业务正常运转的影响。

Whether-Who-What -Where-How五个过程:
Whether:通过分析,大致判断网络内部是否存在异常流量?
Who:若存在异常流量,异常流量都与谁有关?
What:异常流量是什么类型的?异常流量的运作机制怎样?
Where:异常流量相关的主机都在什么位置?
How:如何实现对异常流量的及时管理和控制?
       这三大步骤和五个具体分析过程是相互关联的。下面我们将这三大步骤和五个具体分析过程关联起来进行阐述。

阅读全文>>

标签: 交换机 TCP wireshark omnipeek 防火墙 IPS 科来 中间设备 UDP 抓包 DOS 攻击 行为特征 发包频率 异常流量 蠕虫 木马 P2P 扫描 TCP会话 UDP会话 平均包长 平均每秒包数 利用率

评论(0) 引用(0) 浏览(17279)

如何跟踪分析数据经过中间设备后的变化以及这些变化给客户端与服务器带来的影响

作者:易隐者 发布于:2012-8-20 21:20 Monday 分类:网络分析

       中间设备会对经过它的数据报文进行修改、检测、丢弃等处理,这些操作对交互数据的客户端与服务器都会产生相应的影响,这些影响在客户端与服务器端可能会导致不同的外在表现。我们在实际分析定位疑难应用故障时,需要了解清楚中间设备对数据报文做了哪些处理以及这些处理动作对客户端与服务器产生了哪些影响。
       我们如何分析中间设备对数据报文的处理动作、报文进出中间设备的差异以及这些差异给客户端服务器带来的影响呢?一般情况下,我们可以按照下面的步骤来进行分析:

1,数据报文在中间设备的进口和出口同时抓包

      在数据报文进入中间设备前的位置以及数据报文被中间设备转发后的位置同时抓包。

2,将设备进出口的同一数据流关联起来

       如何将设备进出口的同一数据流关联起来?在中间设备未做NAT的情况下,我们一般根据五元组信息就可以直接关联了,此案例就是如此关联的;在做NAT的情况下,如果仅仅是源地址做了改变而源端口未改变的话,我们就可以利用源端口、目的地址、目的端口和协议类型来进行关联,如《某地矿局网页打开慢故障分析案例》就是利用四元组关联的;如果在做NAT时,数据流的源地址、源端口都变化了,我们还可以通过数据流的应用信息进行关联。
       具体到每个数据包的关联,则主要通过IP标识字段或数据包应用层数据进行关联。
       具体关联的原理请参见《疑难网络故障的分析方法和原理之关联分析法》一文。

3,根据数据交互情况,分别画出数据交互过程图

       在我们将中间设备进出口的同一数据流和具体数据包关联起来之后,我们就可以画出数据在中间设备前后的交互过程图示。
       这个交互过程,可以自己手动画出来,也可以利用工具自动生成,例如在wireshark中,我们可以使用“flow graph”生成数据交互视图,如下所示: 

点击查看原图


       在科来2010版本中,我们也可以利用“TCP会话”视图中的“时序图”功能,自动生成交互视图,如下所示: 

点击查看原图


        在分别生成了中间设备进出口的数据交互流图之后,我们就可以把他们关联起来一起做对比分析了。

4,通过设备进出口数据交互的图示的对比和具体数据包的关联,发现改动和影响

       通过设备进出口数据交互的图示的对比和具体数据包的关联,我们就可以查看出中间设备对数据报文的处理动作以及这些处理动作对客户端和服务器的具体影响了。下图为一个样例图: 

点击查看原图

阅读全文>>

标签: 关联分析 中间设备 数据包被更改

评论(0) 引用(0) 浏览(7737)

Powered by 易隐者 基于emlog 皖ICP备12002343号-1