网络安全与应急响应手册（执行版）.docxVIP

网络安全与应急响应手册（执行版）

网络安全与应急响应手册（执行版）

第一章网络安全态势感知与监测

第一节网络流量分析与异常检测

在流量分析阶段，需部署基于深度包检测（DPI）的中间件，对TCP连接进行特征指纹匹配，识别出非标准的业务端口扫描行为。利用滑动窗口算法对历史流量数据进行归一化处理，设定基线阈值，当单IP在5分钟内发送超过1000个SYN包时，系统自动标记为潜在攻击源。

接着，通过机器学习模型对流量包进行实时分类，将包含大量ICMP重定向和DNS重绑定特征的流量判定为“重定向攻击”，并阻断该连接。随后，分析UDP协议包的随机端口选择模式