使用Netflow进行的一次异常网络流量的分析

一、Netflow技术简介

          Netflow是一种Cisco开发的基于流的流量分析技术，其中每条流主要包含以下字段，源IP地址，目的IP地址，源端口号，目的端口号，IP协议号，服务类型，TCP标记，字节数，接口号等，所以一条流就是网络上的一次连接或者会话。Netflow可以采集进出端口的所有流量，通过分析这些数据，网络管理员可以确认一些事情，比如源和目标的流量，网络拥塞的原因等。Netflow采集的数据除了存放在本地的cache中，也可以采用UDP协议的9996端口输送给第三方的Netflow分析器，借助可视化的分析工具可以快速排错。Netflow是一个轻量级的分析工具，它只取了报文中的一些重要字段而没有包含原始数据，如果要对数据进行深度分析还得抓包。下图是用wireshark抓包工具抓到的Netflow原始报文，见（图一）：

图一 Netflow协议报文

二、案例分析

        边界路由器出口的流量异常增大，平时端口的流入速率为1.5-2Mbps，突然陡增到30-40Mbps，见（图二）

图二 异常的路由器端口流量图

图三 应用流量分布图

分析应用流量分布，发现排名第一的应用竟然是ICMP（图三），第一反应是网络遭到Ping of death攻击，接着对ICMP应用的来源和目的进行分析，发现两个疑点，一个是本端边界路由器的IP与远端互联设备的IP源发出的流量最多，见（图四）；另一个是边界路由器上有大量目标非本地网络的流量；从第一点的现象看，好像存在路由环；从第二点的现象看是有一条汇总路由指向这台边界路由器。登录路由器查看路由表和配置，发现自己在引入路由时由于疏忽把一条汇总路由误引入到了错误的路由区域中，导致了整个企业网上的未知流量都向边界路由器上来回丢，直到icmp报文的ttl值耗尽才被丢弃。问题解决办法是在引入路由时采用策略路由，对相应的路由进行过滤。

图四 ICMP协议报文分布图

图五 正常的路由器端口流量图

        本案例是由于配置错误导致的流量异常，病毒和恶意软件也会引起流量异常，它们会经常利用一些系统漏洞来进行流量攻击，当然网络资源总是有限的，一些正常的应用也会把网络带宽耗尽，造成网络延时和网络丢包，所以具体情况要具体分析。