网络安全防护与风险评估手册.docxVIP

网络安全防护与风险评估手册

第1章网络态势感知与威胁情报

1.1全域流量分析与异常检测

利用Flowsig等开源流量分析工具对全业务网段的TCP协议报文进行深度清洗，识别出95%以上的常规业务流量，仅保留包含异常特征（如端口跳跃、加密协议混淆、非标准长度数据包）的“可疑流量包”，确保后续分析聚焦于高价值数据。基于流数据特征，配置基于孤立森林算法的实时检测引擎，设定阈值如下：单个包大小超过50KB且包含多个随机端口组合（如22,3389,445）的包，标记为“横向移动”嫌疑；连续5个包的时间间隔小于2秒，标记为“攻击包群”特征。

对筛选出的可疑流量包进