互联网安全防护与应急响应手册.docx

互联网安全防护与应急响应手册

第1章网络安全态势感知与基础防御

1.1网络流量分析与异常检测

利用NetFlow或sFlow技术对核心网段进行流量采样，设定采样周期为10秒，采集接口IP地址、协议类型（TCP/UDP）及端口号，以便后续在大数据平台中进行实时清洗。在流量分析引擎中导入预设的基线规则库，将正常办公场景下的数据速率（如1Gbps以内）和时延（5ms）作为基准线，一旦检测到单条连接建立时间超过30秒或数据速率突增1000%即触发告警。

结合主机行为分析（HBA）模型，将用户的SSH登录频率、文件传输大小及访问IP白名单作为特征向量，当