网络流量监控-第3章-异常流量监测
Netflow 网络异常流量的监测原理
Netflow 网络异常流量的监测原理Netflow 对网络数据的采集具有大覆盖小成本的明显优势，在Netflow在安全领域的应用与传统的DPI的方式和系统扫描的方式，却有着明显的不同。
使得这类产品在定位和实现的功能上和传统大IDS／IPS也不一样。
Network Behavior Anomaly Detection（网络行为异常检测）是NetFlow安全的原理基础。
Netflow流量数据只能分析到协议的第四层，只能够分析到IP 地址、协议和端口号，但是受限制于无法进行包的内容分析，这样就无法得到网络中一些病毒、木马行为的报文特征。
它是从网络流量的行为特征的统计数据进行网络异常的判定的。
网络行为的异常很大一方面是对网络基线数据的违背，反应到一个监控网段范围，往往呈现的就是网络流量的激增和突减。
而在针对网络单个IP的监测的时候分析的是这单个IP来源或者目的IP流量的行为模式，TCP的流量模型等等来进行判断。
GenieATM对网络异常流量的NBAD的检测具体如下面三点：1.1流量异常(Traffic Anomaly) 侦测流量异常模型是将基线模板(Baseline Template)应用于使用者所设定的监测范围内（因特网、互联自治域、子网、路由器、服务器、interface、监测条件等多种模型），流量异常侦测模型主要凭借系统实时对网络中正常流量形成流量基线，再根据网络正常的网络流量模型来动态分析网络中的异常流量，以期最早时间发现网络中流量的激增和突减。
针对不同的网络监测范围，用户可使用定义不同的流量基线模板进行监控。
系统支持自动建立及更新流量基线，也允许管理员手动设定和调整基线的参数和取值期间，并排除某些受异常流量攻击的特定日列入计算，以免影响基线的准确性。
通过参数的设定，系统能根据对网络效能的影响，将网络异常流量的严重性分为多个等级，包括：正常、中度异常(yellow)、高度异常(red)，并允许使用者透过参数设定，对每个检测范围设定合适的参数。
网络安全监控管理制度
第一章总则第一条为确保本单位网络系统的安全稳定运行，防范网络安全风险，保护网络信息安全，根据国家相关法律法规和行业标准，结合本单位实际情况，特制定本制度。
第二条本制度适用于本单位所有网络系统、网络设备和网络用户。
第三条本制度旨在明确网络安全监控管理的职责、任务、方法和要求，确保网络安全监控工作规范化、制度化。
第二章职责与分工第四条网络安全管理部门负责本单位网络安全监控工作的组织实施，具体职责如下：1. 制定网络安全监控管理制度和操作规程；2. 组织实施网络安全监控，及时发现和处理网络安全事件；3. 开展网络安全培训和宣传，提高网络用户的安全意识；4. 配合相关部门开展网络安全检查和评估。
第五条网络管理员负责网络系统的日常监控和维护，具体职责如下：1. 负责网络设备、系统软件的安全配置和升级；2. 监控网络流量、设备状态和系统运行状况；3. 及时发现和处理网络安全事件；4. 跟踪网络安全动态，及时更新安全策略。
第六条网络用户应自觉遵守网络安全法律法规和本单位网络安全管理制度，具体职责如下：1. 严格遵守网络使用规定，不得违规操作；2. 不得传播、下载、使用非法、违规软件和文件；3. 不得进行网络攻击、侵入他人计算机系统等违法行为；4. 及时报告网络安全事件。
第三章监控内容与方法第七条网络安全监控内容包括：1. 网络设备状态监控：监控网络设备运行状态，确保网络畅通；2. 系统安全监控：监控操作系统、数据库、应用软件等系统安全，防范病毒、恶意代码等攻击；3. 网络流量监控：监控网络流量，分析异常流量，发现潜在安全风险；4. 用户行为监控：监控用户行为，发现异常操作，防范内部威胁；5. 安全事件监控：监控网络安全事件，及时响应和处理。
第八条网络安全监控方法包括：1. 安全日志分析：分析安全日志，发现异常行为和潜在风险；2. 安全漏洞扫描：定期进行漏洞扫描，发现和修复系统漏洞；3. 入侵检测：部署入侵检测系统，实时监控网络攻击行为；4. 安全审计：对网络安全事件进行审计，追踪责任人和原因；5. 安全培训：定期开展网络安全培训，提高网络用户的安全意识。
如何进行网络流量监控和分析(Ⅲ)
网络流量监控和分析是当今信息技术领域的热门话题。
随着互联网的快速发展，网络安全问题也变得越来越重要。
如何进行网络流量监控和分析成为了各大企业和组织所关注的重要问题。
本文将从网络流量监控和分析的原理、方法和工具等方面进行探讨。
一、网络流量监控的原理网络流量监控的原理是通过监测网络中的数据流量，来分析网络的状态和性能。
它可以帮助管理员了解网络的负载情况、流量分布、设备状态等信息，以便及时发现和解决网络故障、提高网络性能。
网络流量监控的原理包括数据采集、数据分析和数据展示三个步骤。
首先，需要选择合适的网络流量监控工具，对网络中的数据流量进行采集和记录。
然后，对采集到的数据进行分析，包括流量分布、协议分布、设备状态等方面。
最后，将分析结果以图表或报表的形式展示出来，便于管理员进行查看和分析。
二、网络流量监控的方法网络流量监控的方法主要包括基于硬件的监控和基于软件的监控两种方式。
基于硬件的监控是通过安装网络流量监控设备在网络中实现对流量的监控。
这种方法通常包括交换机端口镜像、路由器 NetFlow 等技术。
交换机端口镜像是通过配置交换机将指定端口的流量镜像到监控设备上，实现对流量的监控。
而路由器 NetFlow 则是通过路由器将流量数据报发送到收集器进行分析，从而了解网络中的流量情况。
基于软件的监控是通过安装监控软件在服务器或工作站上实现对网络流量的监控。
这种方法通常包括网络流量分析工具、网络性能监控工具等软件。
通过这些软件，可以实现对网络流量的实时监控、历史流量的分析、异常流量的检测等功能。
三、网络流量分析的工具网络流量分析工具是用于对网络中的数据流量进行分析和监控的软件。
常用的网络流量分析工具包括 Wireshark、tcpdump、Snort 等。
Wireshark 是一款开源的网络协议分析软件，可以用于对网络数据包的捕获、分析和展示。
它支持多种协议的解析，包括 TCP、UDP、IP、HTTP、SSL 等。
网络流量监控保护措施：检测异常网络流量的重要工具
网络流量监控保护措施：检测异常网络流量的重要工具网络流量监控是一个网络安全领域的重要工作，它可以帮助组织监控和保护其网络资源免受异常流量的威胁。
在网络流量监控中，检测异常网络流量是一个关键的步骤，它可以帮助组织及时采取措施应对潜在的威胁。
在这篇文章中，我将介绍几种检测异常网络流量的重要工具。
1. 漏洞扫描工具：漏洞扫描工具可以扫描网络环境中的潜在漏洞，并提供有关这些漏洞的详细信息。
这些工具可以通过扫描网络设备、操作系统和应用程序等来检测异常网络流量。
它们可以检测到已知的漏洞并提供建议修复措施，帮助组织及时修补漏洞。
2. 入侵检测系统（IDS）：入侵检测系统可以监视网络流量，识别和报告异常行为。
它们通过使用签名检测、统计分析和行为分析等技术来检测入侵行为。
当网络流量中存在异常时，IDS可以及时发出警报，并采取适当的措施来对抗入侵。
3. 流量分析工具：流量分析工具可以对网络流量进行深入分析，识别异常的流量模式。
例如，这些工具可以检测到异常的数据包大小、频率、来源和目的地等方面的模式。
通过对这些异常模式的分析，组织可以发现潜在的网络攻击或恶意行为。
4. 数据包嗅探器：数据包嗅探器是一种能够捕获和分析网络数据包的工具。
它们可以监视网络上的实时流量，并识别异常的数据包。
例如，它们可以检测到通过网络传输的恶意软件、网络钓鱼攻击或数据泄露等异常行为。
数据包嗅探器可以提供关于异常数据包的详细信息，帮助组织采取适当的应对措施。
除了上述工具，还有其他一些重要的措施可以帮助组织检测异常网络流量：1. 定期更新和维护网络设备和应用程序，以修补已知的漏洞，并减少网络攻击的风险。
2. 实施强大且复杂的密码策略，以保护网络设备和用户账户免受恶意攻击。
3. 配置防火墙和入侵防御系统，以过滤和阻止恶意流量。
4. 建立网络安全事件响应计划，以及时应对异常网络流量事件，并降低潜在的损失。
总之，检测异常网络流量是网络安全的重要组成部分。
网络流量知识：网络安全管理中的流量监控
网络流量知识：网络安全管理中的流量监控网络流量知识：网络安全管理中的流量监控随着互联网技术的飞速发展，网络安全已经成为每个人都应该重视的问题。
在这种背景下，对于网络流量的监控也变得越来越重要，这也是保障网络安全的重要一环。
在本篇文章中，我们将会重点探讨网络流量知识及其在网络安全管理中的应用。
一、什么是网络流量网络流量，简单来说，就是指在网络中流动的数据信号或信息。
举例来说，当你在浏览网页时，电脑会向服务器发送一个请求，服务器就会把网页传输回来，这个过程就涉及到了网络流量。
网络流量的分类：1.入流量：指数据从网络外部世界进入到网络内部，如用户访问网页、下载文件等。
2.出流量：指数据从网络内部出发，流向网络外部世界，如电子邮件、上传文件等。
3.内部流量：指数据在网络内部进行传输的情况，如内部通信、内部转发等。
网络流量的单位：在网络流量的监控中，我们通常使用以下单位来度量流量的大小。
1. bps （比特/秒）：表示每秒传输的比特数。
2. Kbps （千比特/秒）：表示每秒传输的千比特数，即1,000比特。
3. Mbps （百万比特/秒）：表示每秒传输的百万比特数，即1,000,000比特。
4. Gbps （十亿比特/秒）：表示每秒传输的十亿比特数，即1,000,000,000比特。
二、为什么需要监控网络流量网络流量监控是网络安全的一个重要组成部分，其作用包括以下三个方面。
1.检测网络异常：通常情况下，网络流量的统计量应该是一个较为固定的值，但是当网络异常发生时，比如黑客攻击、病毒感染、网络拥堵等，就会出现异常的流量情况。
通过监控网络流量，可以及时发现这些异常情况，并及时采取措施修复问题，保障网络安全。
2.优化网络配置：通过监控网络流量，我们可以得到网络各个节点的流量情况，进而进行网络配置的优化。
比如，可以调整路由器的设置，减少网络拥堵；可以对关键节点进行升级，提升网络传输速度等。
3.控制流量成本：网络流量的成本通常来自于互联网服务提供商（ISP），通过监控网络流量，我们可以更好地掌握自己的流量情况，避免无谓的费用浪费。
网络流量监测与分析工具操作技巧
网络流量监测与分析工具操作技巧第一章介绍网络流量监测与分析工具的概念与重要性网络流量监测与分析工具是指用于监测与分析数据网络中数据流量的工具。
随着互联网的快速发展和普及，用户在网络上的行为和数据流量呈现爆炸式增长。
因此，了解和分析网络流量变得至关重要。
网络流量监测与分析工具可以帮助网络管理员实时监测流量、跟踪用户行为、识别异常流量，并提供报告和分析结果，以便了解网络使用情况、优化网络性能以及解决网络问题。
第二章常用的网络流量监测与分析工具2.1 Wireshark（华软课程）Wireshark是一个免费且功能强大的网络封包分析器，支持多种操作系统，包括Windows、Mac OS和Linux等。
Wireshark可以捕获和分析网络数据流量，并提供详细的报告和统计信息。
通过Wireshark，网络管理员可以了解网络流量的来源、目的地、传输协议、传输速率等，并检测和解决网络问题。
2.2 NetFlow Analyzer（SolarWinds）NetFlow Analyzer是一种全面的网络流量分析工具，支持多厂商设备和多种流量采集方式。
它可以监控实时流量、分析历史流量、检测网络异常和威胁，并提供详细的报告和可视化分析结果。
NetFlow Analyzer还支持流量优化、带宽管理和网络容量规划等功能，帮助网络管理员优化网络性能。
2.3 Snort（华为技术有限公司）Snort是一种轻量级的入侵检测系统（IDS），被广泛应用于网络流量监测与分析。
Snort可以实时监测网络流量，并根据预定义的规则进行异常检测和攻击检测。
它可以检测各种网络攻击，如入侵、拒绝服务攻击和恶意软件等，并提供相应的警报和报告。
第三章网络流量监测与分析工具的操作技巧3.1 设置监测目标在使用网络流量监测与分析工具之前，首先需要设置监测目标。
这包括确定要监测的网络设备、流量类型、流量方向和监测时间等。
通过设置监测目标，可以根据具体需求选择合适的监测工具和监测方式。
如何设置网络流量监控来发现异常行为
如何设置网络流量监控来发现异常行为网络流量监控是一项关键的安全措施，用于检测和发现网络中的异常行为。
在当今数字化时代，网络攻击和数据泄露事件频繁发生，因此，设立网络流量监控系统对于保护个人隐私和企业安全至关重要。
本文将探讨如何设置网络流量监控来发现异常行为，以帮助读者更好地保护自己和企业的网络安全。
首先，设置网络流量监控的第一步是选择适合的监控工具。
市场上有许多网络流量监控工具可供选择，如Wireshark、SolarWinds、PRTG等。
这些工具提供了实时的网络流量分析和监控功能，能够帮助用户快速发现异常行为。
在选择工具时，需要考虑自己的需求和预算，并选择功能强大、易于使用的工具。
其次，设置监控规则是网络流量监控的核心。
监控规则是一组预定义的条件，用于检测和识别异常流量。
例如，可以设置规则来监控大量数据传输、异常端口使用、未知协议等。
通过定义监控规则，可以快速识别出潜在的网络攻击和异常行为。
此外，定期更新监控规则也是非常重要的。
网络攻击者的技术不断演进，他们会采用新的攻击方式和技巧来规避监控系统。
因此，定期更新监控规则可以帮助我们及时发现和应对新型的网络攻击。
可以通过参考网络安全专家的建议、订阅安全咨询和漏洞通告等方式来获取最新的监控规则。
另外，设置报警机制是网络流量监控的重要一环。
一旦监控系统检测到异常行为，它应该能够及时向管理员发送警报。
这样，管理员可以立即采取措施来应对潜在的威胁。
报警机制可以通过电子邮件、短信、弹窗等方式实现。
管理员还可以设置多个报警级别，根据严重程度来调整响应措施。
此外，网络流量监控还应该与其他安全措施相结合。
例如，与入侵检测系统（IDS）和入侵防御系统（IPS）相结合，可以进一步提高网络安全性。
IDS可以通过监控网络流量来检测和识别入侵行为，而IPS可以自动阻止和应对入侵行为。
通过与其他安全措施的结合，可以形成多层次的安全防护体系，提高网络的整体安全性。
最后，网络流量监控是一个动态的过程，需要不断优化和改进。
网络流量知识：网络流量分析的异常检测
网络流量知识：网络流量分析的异常检测网络流量分析的异常检测随着互联网的发展，网络已经成为了人们生活和工作中不可或缺的一部分。
然而，网络中存在着各种各样的威胁和安全隐患，如何保证网络的安全和稳定运行就成为了广大用户和企业所关注的问题之一。
近年来，网络流量分析作为一种有效的安全手段，被越来越多的企业和组织所采用。
其中，网络流量分析的异常检测技术是网络安全的重要组成部分。
本文将深入探讨网络流量分析的异常检测技术及其应用。
1.网络流量分析网络流量分析（Network Traffic Analysis，NTA）是指对计算机网络中的数据流进行分析，以发现和识别潜在的网络威胁或错误。
它可以帮助网络管理员在网络上监控流量，分析网络性能和检测攻击等网络问题。
网络流量分析技术主要基于数据包的捕获和分析，它通过对网络传输的信息进行监测和记录，对网络中的通信数据进行分析，包括协议分析、流量流向分析、数据包内容分析和行为分析等各个方面，从而实现对网络流量的管理和优化。
2.异常检测技术网络中存在着许多的安全漏洞和攻击方式，如何检测和防御这些攻击成为了现代网络安全的重要措施之一。
异常检测技术（Anomaly Detection，AD）是实现网络安全的重要手段之一。
异常检测技术基于正常行为的建模和分析，对于不符合正常行为的行为进行识别和分析，从而发现潜在的威胁和安全隐患。
它可以分为基于规则的异常检测和基于机器学习的异常检测两种。
在网络流量分析中，异常检测技术可以用于检测网络中的异常通信和恶意攻击，如DOS、DDOS、扫描、欺骗、木马等行为。
3.网络流量分析的异常检测网络流量分析的异常检测是指通过分析网络流量，检测和识别异常的流量，包括恶意软件、攻击性行为、非预期的网络流量等。
网络流量分析的异常检测具有以下特点：（1）准确性：准确地识别异常流量并排除误报。
（2）实时性：能够在发生异常时及时进行识别和响应。
（3）可操作性：提供有效的解释和分析，帮助网络管理员及时进行处理和应对。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
目的地； 与RADIUS服务器通信的报文流影响用户的安全
性； 这些流的流量异常并不一定导致总流量出现显著的异
常。
本节主要内容
1
异常流量概念
2
链路流量及其异常
3
直接影响网络正常运行的流
4
针对路由协议和设备转发表的攻击
5
与IP报文有关的异常
6
与TCP报文和通信过程相关的异常
链路总流量及其异常
报文长度分布 1、某一长度范围的报文有多少个。 2、一般情况下报文长度分布具有明显的规律。 长报文（1024字节以上）和短报文（<=64字节
） 其他长度的报文很少。 3、某种特定长度的报文数量激增往往是网络异常的
表现。 大量建立连接往往导致线路上瞬时出现大量短报文。
链路总流量及其异常
MF设置为1的IP报文是一个大的IP报文的分片；
偏移字段指出了这个分片在整个IP报文中的位置。例 如，4500字节的IP报文分成三片后，其偏移字段的 值分别为0，1500，3000，且标识符字段相同。
与IP报文有关的异常
与报文分片（fragment）相关的网络攻击 3、分片报文越多，则其传输效率越低。如果发现网
与IP报文有关的异常
与报文分片（fragment）相关的网络攻击
1、传送IP报文的数字链路可以规定一个单个IP报文 的最大长度，即最大传输单元（MTU）。对于一些 大的IP报文进行分片传送。比如一个4500字节的 IP报文在MTU=1500的链路上传输的时候，需要 分成三个IP报文。
2、分片报文使用的偏移字段和分片标志字段（MF） 标识。
1、运行路由协议的路由器可以通过启用路由协议数 据单元的HMAC(Hash message authentication codes,Hash信息验证码)验证 功能避免这种攻击。 2、流量监测系统可以通过发现来源不合法的路由协 议报文来监测这种攻击的发生。
对设备转发表的攻击
1、设备转发表指网络设备（路由器或交换机）上的 一些表项，用于指示报文的转发方向。如MAC地址 表，ARP表，快速转发表。 2、攻击者通过发送合适的数据报，促使设备建立大 量的此类表格，就会使设备的存储资源耗尽，表内容 被破坏，从而不能正常地转发数据报文。
链路总流量及其异常
源IP分布
1、特点
链路中报文或数据流对应的源IP在正常情况下，分布 具有一定的 规律，当异常发生时，往往会引起源 IP分布发生显著变化。
2、举例
正常情况下对某台Web服务器进行访问的源IP很多 ，每个源IP都会产生一些业务，发送一些报文，并 产生相应的数据流，源IP分散相对比较分散。而当 网络中爆发蠕虫攻击，且网络流量主要由蠕虫攻击 流量构成，被感染主机将会尽量试图连接尽可能多 的目标主机，源IP将会在多个数据流中出现，源 IP分布比较集中。
过建立邻接关系来交换路由的本地链路信息，然后 形成一个整网的链路状态数据库。路由器可以很容 易地在该数据库基础上计算出路由表。 2、攻击 攻击者通过冒充合法的路由器与网络中的路由器建立 邻接关系，并向它发送大量的链路状态广播报文， 引导该路由器形成错误的网络拓扑结构，从而导致 整个网络的破坏。
针对路由协议和设备转发表的攻击
7
与ICMP报文相关的攻击和异常
6
其他异常
针对路由协议和设备转发表的攻击
路由协议 路由协议用于在网络设备（路由器）之间交换路由信
息，常见的路由协议有：
1、RIP（Routing Information Protocol,路 由信息协议)
2、OSPF（Open shortest path first,开放最 短路径优先协议）
链路总流量及其异常
目的端口分布 1、特点 链路中报文或数据流对应的目的端口在正常情况下，
分布具有一定的规律，当异常发生时，往往会引起 目的端口分布相对比较分散。 2、举例 例如，正常情况下，合法IP主要访问提供各种业务的 网络服务器，目的的端口分布相对比较分散。如果 攻击者针对服务器某一漏洞进行扫描攻击，其扫描 的目的端口一般较为单一，则当攻击流量占据主导 地位时，目的端口分布将相对比较集中。
针对IS-IS协议的攻击 IS-IS路由协议是一种与OSPF类似的基于链路状
态的路由协议。这种路由协议是通过建立邻居关系， 收集路由器本地链路状态的手段来完成链路状态数据 库同步。因此，可以采取与针对OSPF类似的方法进 行攻击，导致网络路由器的路由表与实际情况不符， 致使网络中断。
如何监测针常流量概念
2
链路流量及其异常
3
直接影响网络正常运行的流
4
针对路由协议和设备转发表的攻击
5
与IP报文有关的异常
6
与TCP报文和通信过程相关的异常
7
与ICMP报文相关的攻击和异常
6
其他异常
直接影响网络正常运行的流
把直接影响网络正常运行的流作为最重要的流 例如: 与DNS服务器的通信直接影响到域名解析的实现； SNMP协议流是否正常会直接关系到网络管理系统
与IP报文有关的异常
伪造的源IP地址 1、一般情况下，路由器在转发报文的时候，只根据
的报文的目地址查路由表，而不管报文的源地址是 什么。一些网络攻击使用伪造的源IP地址，这样会 导致报文接收者向错误的主机（通常是被攻击的对 象）发送应答。
2、流量监测系统能够发现一些这种报文。例如：流 量监测系统一般会对链路两端的IP地址范围有一定 的了解，因此可以发现链路一端的IP 地址作为源 地址却出现在由链路那一端发出的IP报文中。
本节主要内容
1
异常流量概念
2
链路流量及其异常
3
直接影响网络正常运行的流
4
针对路由协议和设备转发表的攻击
5
与IP报文有关的异常
6
与TCP报文和通信过程相关的异常
7
与ICMP报文相关的攻击和异常
6
其他异常
与IP报文有关的异常
1、IP报文的头部是一些事先定义的字段。这些字段 被填入错误的值将导致网络或它连接的主机出现各种 问题。以下是一些典型的例子。 2、IP报头结构
本节主要内容
1
异常流量概念
2
链路流量及其异常
3
直接影响网络正常运行的流
4
针对路由协议和设备转发表的攻击
5
与IP报文有关的异常
6
与TCP报文和通信过程相关的异常
7
与ICMP报文相关的攻击和异常
6
其他异常
链路总流量及其异常
1、链路总流量 网络中一条物理链路上的单位时间流过比特数或者字 节数。 2、单向流量和双向流量 3、上行流量和下行流量 上行流量是指流出到上一级网络的流量；下行流量则 是流入流量。 4、总流量异常 瞬间的流量突变与日常观测的流量规律不符合
流长分布 1、流长 指的是数据流中包含的报文个数。
2、正常流长 正常用户对Web服务器进行访问时，需要首先建立
TCP连接，然后进行业务数据传输，数据流中包含的 报文数量较大。
3、异常流长 异常用户产生的数据流一般相对较小，如扫描攻击等。
对扫描源来说，其目的仅是探测目的服务器端口开放 情况，不需要进行业务数据传输，因此扫描攻击会产 生大量的小数据流。但对于某些攻击流长也较大。
文来维护路由表。一台运行RIP协议的路由器如果 从一个接口上收到了一个路由更新报文，它就会分 析其中包含的路由信息，并与自己的路由表做出比 较，如果该路由器认为这些路由信息比自己所掌握 的要有效，它便把这些路由信息引入自己的路由表 中。
针对路由协议和设备转发表的攻击
针对RIP协议的攻击 一个攻击者向一台运行RIP协议的路由器发送了人为
构造的带破坏性的路由更新报文，后果： 很容易把路由表搞乱，从而导致网络中断。 把数据包指定到某台设备转发，在这台设备中，数
据包既可以被检查，也可以被修改。 模仿任何主机，使得所有应该发送到那台主机的通
信都被发送到攻击者的计算机中。
针对路由协议和设备转发表的攻击
针对OSPF协议的攻击 1、特点 OSPF协议适合于大型网络使用。OSPF路由协议通
异常流量监测
本节主要内容
1
异常流量概念
2
链路流量及其异常
3
直接影响网络正常运行的流
4
针对路由协议和设备转发表的攻击
5
与IP报文有关的异常
6
与TCP报文和通信过程相关的异常
7
与ICMP报文相关的攻击和异常
6
其他异常
异常流量概念
1、在正常情况下，经过多个主机汇聚产生的网络出 口流量具有明显的规律性。流量在瞬间出现违反这种 规律的情况，即出现了异常流量，往往表示网络本身 出现了异常。例如网络中某个设备损坏，或者网络受 到了攻击。 2、本节讨论通过网络流量监测手段可能看到的网络 异常流量及其含义。
链路总流量及其异常
会话数、报文数 1、链路总流量也可能用单位时间报文数或单位时间
连接（也可能会被叫做会话数、流数）来表示。 2、会话数和单位时间字节数之间并无恒定的比例关
系 3、单位时间报文数或者连接数发生突变，往往也是
意味着网络中出现了某种问题。例如： 发出大量连接请求 响应大量连接请求 在短时间内迅速建立大量连接 4、超短连接
与IP报文有关的异常
LAND攻击 1、一种更为特别的伪造源IP地址的方式是在报文中
使用目的IP地址作为源IP地址。这种报文被主机 接收后会导致不可预期的后果。因此常常被作为一 种恶意攻击的手段。
2、LAND攻击：攻击者向目标主机发送一个源和目 的IP地址相同的TCP SYN报文。这导致目标主机 接收到这个SYN报文后向自己发送一个 SYN/ACK报文，进一步发送一个ACK确认报文 ，建立一个“空”连接。如果攻击者发送了足够多 的这类报文，则目标主机可能因为内存耗尽而最终 不能提供正常的服务。