《网络安全知识体系》
安全运营和事件管理(五):
网络聚合:网络流
数据包捕获的庞大规模使得需要获取网络活动的综合视图。这就需要在相对较低的层上对流量的综合聚合视图。网络聚合是用于计算共享某些特性(如源、目标、协议或接口)的数据包的机制。当数据包通过其接口时,网络设备将执行这些计数。
Netflow是一种广泛使用的网络监控工具,用于检测和可视化网络中的安全事件。简而言之,该协议记录流经路由器网络接口的数据包标头的计数器。最初由思科开发,现已标准化为IPFix,RFC7011。
由于Netflow是由网络设备提供商开发的,因此它在网络中集成得非常好,并广泛用于网络管理任务。它是标准化的,即使商业名称不同,支持该技术的制造商也会收集类似的信息。它最强大的用途当然是可视化网络通信和关系,并突出显示通信模式。可视化分析提供了一种用户友好的方式来了解异常及其影响。因此,Netflow也被广泛用于网络安全任务。
但是,Netflow可能会在计算和存储方面受到性能下降的影响。处理计算Netflow计数器的数据包需要访问路由器CPU(中央或接口板上)。这大大降低了网络设备的性能。较新的路由器现在能够在硬件层生成网络流记录,从而限制了性能影响。另一种方法是跨越或分路网络接口,并独立于路由设备生成网络流记录。
最初,为了限制CPU性能影响,运营商通常在采样模式下部署Netflow,其中每千个数据包中只有一个被分析。因此,Netflow记录的视图可能非常有限,并且可能完全错过未达到采样规模的事件。因此,除了大规模的拒绝服务事件之外,很难仅依靠采样的Netflow来确保安全。
往期更精彩:
原文始发于微信公众号(祺印说信安):网络安全运营和事件管理(五):网络聚合-网络流
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
点赞
https://cn-sec.com/archives/1360191.html
复制链接
复制链接
-
左青龙
- 微信扫一扫
-
-
右白虎
- 微信扫一扫
-
评论