科来网络分析系统简单故障查找.pptVIP

利用科来分析大流量攻击 1.在IP端点中利用总流量排序可以看到流量非常大的主机 2.定位这台机器到会话视图中可以看到它与某个IP地址有大流量的数据交互，而且基本上都是接受的流量 3.看其具体的数据包，可以看到有明显的填充特征 可以看到明显的填充现象，所以该地址受到了填充攻击 攻击定位 定位难度：可以通过查找大流量的交互主机进行分析，根据其网络特征进行定位，但是攻击IP地址可能是伪造的IP地址 定位方法：通过大流量主机的IP地址可以定位到该主机。如果是伪造的，只能在最接近攻击主机的二层交换机（一般通过TTL值，可以判断出攻击源与抓包位置的距离）上抓包，定位出真实的攻击主机MAC，才可以定位攻击机器。 谢谢！ * 蠕虫病毒种类繁多， 科来网络分析系统常见故障查找简介 查看网络基本运行情况 查看网络的带宽利用率和每秒产生多少位流量，如果利用率达到50%以上，网络中就存在拥塞的情况 看平均包长，通常网络的平均包长在500-700字节，如果过小，网络中可能存在病毒或是攻击 TCP同步发送和TCP同步确认发送比值应在1:1，如果有大量的TCP同步发送，网络中可能存在基于TCP的病毒或攻击 如果在概要视图中发现有异常的话，我们可以到IP端点视图中看具体异常的主机 如果是利用率过大，流量大，可以通过字节排序来找到流量靠前的主机 如果是TCP统计异常，可以通过TCP会话来排序，找到流量靠前的主