原创案例文章：安徽淮南矿业集团网络分析案例

公司介绍

淮南矿业（集团）有限责任公司，是全国520家大型企业集团和安徽省17家重点企业之一。现有9对生产矿井，6对在建矿井，资产总额199亿元。淮南矿业集团已经被国家列为十三个亿吨级煤炭基地和六个大型煤电基地之一！
淮南矿区的开发建设一直受到党和国家的重视，得到中央和安徽省各级领导的关怀与支持。江泽民同志在视察淮南时，亲笔题词“发展煤电化，建设能源城”！

网络现状
随着淮南矿业集团信息化的发展，越来越多的关键业务应用运行在计算机网络上，这些应用大大提高了企事业单位的生产效率和生产质量，成为提高淮南矿业集团在煤炭行业竞争力的重要砝码。
与此同时，生产监控系统、工业电视系统、电力调度系统、视频会议系统、OA系统、管理信息系统等信息化系统的广泛应用，淮南矿业集团的业务对计算机网络的依赖程度日益增加，网络是否运行良好直接关系到企业业务的正常运行。
随着淮南矿业集团公司信息化的不断深入，公司目前的生产与经营对网络的依赖性也越来越大。生产监控系统、工业电视系统、电力调度系统、视频会议系统、OA系统、管理信息系统（包含生产、安全、人事等）、Internet和Intranet信息发布系统等都必须7x24小时的高质量运行，这就要求网络管理人员不仅要保证网络的持续安全运行、具备良好的传输性能等；还要及时发现和排除网络故障，预知网络潜在的安全隐患、网络瓶颈等信息。

被动式防御的缺陷
目前，淮南矿业集团网络具有规模大、用户数量多、关键应用多等特点，目前的网络管理和安全防范基础方面都已经做的很扎实。在网络出口安装防火墙及防病毒网关、部署了IDS进行网络入侵检测、网络内部部署了行为审计系统、桌面管理系统等一系列保护措施，但实践证明，这些传统的被动式的网络防御手段并不能完全保障企业网络的可持续运行，对现有网络运行情况来看，它的缺陷主要表现在以下几个方面：
1. 网络和应用问题分析能力不足；
2. 缺乏对网络问题的预判能力；
3. 缺乏对应用问题的监控能力；
4. 缺乏对网络性能的优化能力；
5. 对网络安全问题的分析能力不足；
因此，传统的被动式的网络管理方式不能满足企业对网络可用性、可靠性和安全性的需求，为了能让网络系统持续高效安全的运行，面对当前网络管理和安全管理的不足，淮南矿业集团网络管理方面迫切需求如下：
1. 强大的网络分析能力；
2. 网络问题的预判能力；
3. 应用问题的及时发现能力；
4. 对网络长期的监控、分析能力；
科来软件基于对淮南矿业集团网络管理和安全管理的深刻理解，并结合自身的协议分析产品和服务理念，为淮南矿业集团提供了完整、高效的网络分析解决方案。

 

科来网络通讯分析系统解决方案
作为国内领先的网络分析技术解决方案的提供商和服务商，科来软件一直致力于提供最完善的解决方案和最坚实的技术保障和服务，自主研发的科来分析系统是国内网络测试、监控、协议分析、故障诊断和性能管理领域上的先行者和领导者。
科来网络通讯分析系统采用旁路方式接入网络，可以对整个网络或任意网段进行网络分析，安装部署后不会对原有的网络结构和网络性能有任何影响。
首先，我们在核心交换机上部署科来网络通讯分析系统，这样网络管理人员可以全面掌握网络运行的相关参数，包括总流量、数据包、内部访问和各种应用所占网络带宽等；然后我们在运行综合业务管理系统和安全生产管理系统的交换机上部署科来网络通讯分析系统以保证企业的关键业务和关键设备能正常运行，结合淮南矿业集团公司网络特点，淮南矿业集团公司科来网络通讯分析系统部署图如下（图1）：
 

（图1　淮南矿业集团网络分析部署图）
目前淮南矿业集团信息分公司、各通信站已经各自分别部署科来网络通讯分析系统，为了加强全集团公司的网络管理、安全、故障解决、性能管理等方面的共同需求，需要在集团公司所属各分公司、矿区及其他单位的网络核心位置各部署科来网络通讯分析系统一套，从而实现全集团公司的整体、统一管理。

 

单一故障解析
在成功部署科来网络通讯分析系统后，极大的提高了淮南矿业集团网络故障的处理效率，特别是针对相对复杂的网络故障的处理，起到了非常明显的作用，将整个网络运行信息完全展现出来，彻底改变了企业传统的摸着石头过河的网络管理方式，只有对整个网络运行情况了然于胸，才能轻松、快速的处理各种网络问题。
    在一次网络故障的检测中，我们只用了不到20分钟的时间就成功解决了网速中断的故障。当时的网络现象表现为办公网异常缓慢，网络访问中断，防毒墙、IDS等设备均无异常，查看路由器状态，发现利用率达到了90％，并且一直居高不下，重启设备后仍然没得到解决。于是通过科来网络通讯分析系统在网络出口抓包，我们看到，科来网络通讯分析系统的“协议”视图中，10分钟左右的时间，IP Fragment数据包达到了5.77G的流量，占整个流量的13.2%，如图2所示：
 

（图2 IP Fragment数据包分布图）
于是我们通过“数据包”视图，查看该协议具体的通讯数据包，如图3所示：

 

 
（图3 IP Fragment数据包具体通讯情况图）
在图3中，我们可以发现，在很短的时间内（基本是在几十微妙的时间段），主机10.37.*.110向IP为218.61.*.13的主机发送了大量的IP分片数据包。我们再打开具体数据包的“解码”视图，如图4所示：

 

 （图4 IP分片包的解码图）
通过具体分析这些数据包的详细解码，我们可以发现，这个分片包中的数据全是用0来填充，也就是说并不是真正意义的数据，是伪造的数据通讯，因此，我们可以进一步的肯定这是一个恶意的分片攻击行为。进一步检查10.37.*.110这个主机，发现其被植入了恶意的木马程序，不断发送大量发送这种伪造的数据包，从而使路由器过载，导致网络访问中断。

应用效果分析
因此，通过科来网络通讯分析系统实时、全面的分析能力，对集团的网络管理带来了很大的实际应用价值：
 改善了网络管理能力和管理方式，变被动为主动，对网络故障的处理效率提升了70％左右的时间，实现信息化建设的提升，从而提高了整个企业生产效率；
 保持网络的正常运行，提高企业在相关行业中的形象；
 快速排查网络安全隐患，保障了关键业务畅通，如DDOS攻击、蠕虫病毒攻击等，不仅威胁各类业务服务器的安全，而且对正常的业务办公也有很大的影响，实施科来网络通讯分析系统后，至少4次将各类攻击消除在了萌芽状态，最大程度减少重大事故出现几率；
 快速准确的故障定位与排查大幅降低故障带来的损失，提高了故障处理的准确性和及时性，为企业节约了大量的网络管理和维护成本；
 极大程度的减轻了网络管理人员的工作量，以前针对IP地址冲突这样一些简单的故障，也要跑来跑去，花上30分钟左右的时间，现在，通过科来网络通讯分析系统的专家诊断，一目了然的就可以看到产生冲突的IP与MAC，提高了网络管理人员的工作效率；
 全面掌握网络的资源利用情况、查找网络瓶颈，优化网络传输，同时为服务的扩展提供原始依据；
 提供网络基准线参考以及性能优化依据，大大降低了企业信息化投入成本，减少了不必要的信息投资；

 

项目总结
畅通的网络是保障企业顺利办公和生产的前提，面对目前多样化的应用系统以及形形色色的网络攻击，如何才能保障网络的畅通性与安全性，这对每一个企业都是巨大的挑战。“在成功部署科来网络通讯分析系统以及经过一段时间的运行后，为集团公司网络的正常运行起到了非常关键的作用，在今年1月和4月，出现网络拥塞、丢包、网络访问异常缓慢的故障时，通过科来网络通讯分析系统抓包分析，发现问题为蠕虫病毒以及IP分片攻击导致的故障，在排查网络问题时为我们节约了大量的时间。”集团公司信息中心沈先生如是说。

由于煤炭行业的特殊性，保障了集团公司网络正常、安全的运行，同时也就间接的保障了企业的安全生产，从而实现经济效益的最大化。通过科来网络通讯分析系统的实时监测和分析，为淮南矿业集团高效率的网络管理提供了有力的保障。