资源描述：
《网络异常流量监测技术在电信ip网的应用》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。
1、网络异常流量监测技术在电信IP网的应用●I●网络安全专题2005年5月30日E—mail:sjg@CWW.net.cn责编宿建光美编王群芳网络异常流量监测技术在电信IP网的应用由于『P网络环境的开放性以及『Pv4在设计时缺乏对安全问题的周详考虑,目前IP网络安全形势严峻,从2001年的红色代码,蓝色代码,到2004年的冲击波,震荡波等蠕虫病毒,无不造成大规模的网络中断,带来了大量的资源浪费和数以亿计的经济损失.蠕虫病毒攻击和分布式拒绝服务攻击,利用网络服务系统服务的漏洞或利用网络资源,系统资源的有
2、限性,再有就是利用网络协议和认证机制自身的不完善性,通过在短时间内发动大规模网络攻击,消耗特定资源,实现拒绝服务攻击的攻击目标.田此,在众多的网络安全威胁中,蠕虫病毒攻击和分布式拒绝服务攻击是最难以实现有针对性的主动防御的一类网络攻击.电信IP网络面临十分严峻的网络安全形势,迫切需要实现针对恶性蠕虫和大规模拒绝服务攻击的安全控制,增强网络的自防御能力.在目前众多的网络安全技术中,网络流量异常监测技术是解决异常流量问题的首要技术手段.一,网络异常流量监测技术现状与发展趋势1.网络异常流量监测技术现状
3、根据对网络异常流量的采集方式可将网络异常流量监测技术分尥基于网络流量全镜像的监测技术,基于SNMP的监测技术和基于Nefflow的监测技术三种常用技术.(I)基于网络流量全镜像的监测技术网络流量全镜像采集是目前IDS主要采用的网络流量采集模式.其原理是通过交换机等网络设备的端口镜像或者通过分光器,网络探针等附加设备,实现网络流量的无损复制和镜像采集.和其他两种流量采集方式相比,流量镜像采集的最大特点是能够提供丰富的应用层信息.(2)基于SNMP的流量监测技术.基于sNMP的流量信苜采集,实质上是通
4、过提取网络设备Agent提供的MIB(管理对象信息库)中收集一些具体设备及流量信息有关的变量.基于SNMP收集的网络流量信息包括:输入字节数,输入非广播包数,输入广播包数,输入包丢弃数,输入包错误数,输入未知协议包数,输出字节数,输出非广播包数,输出广播包数,输出包丢弃数,输出包错误数,输出队长等.(3)基于Netflow的流量监测技术.口中国电信股份有限公司广州研究院金华敏庄一嵘Neiflow~'ti信息采集是基于网络设备提供的Netflow~f[$[I实现的网络流量信息采集,在此基础上实现的流
5、量信息采集效率和效果均能够满足网络流量异常监测的需求.表1对以上三种流量监测技术进行了比较.在综合比较三种技术之后,不难得出以下结论:基于Netflow的流量监测技术能够满足网络流量异常分析的需要,且信息采集效率高,适合在电信级『P网络中应用.2.网络异常流量监测技术发展趋势目前网络异常流量监测技术呈现迅猛发展的态势,技术和产品不断推陈出新,涌现了许多有代表性的产品,例如Arbor,NTG,NetScout等厂商都推出了相应的产品.目前电信级IP网网络异常流量监删技术,主要以基于Netflow的监
6、测技术为主,如中国电信等电信IP6剐络运营商均部署了基于Netflow监测技术的网络异常流量监测产品和系统.从这些产品的警,并随着时间积累,会将告警逐步升级.因此,这种智能化的流量学习能力可以更加精确地掌握网络中实际的正常流量的情况,为判断异常流量提供有力的依据.(2)蠕虫攻击特征检测.网络蠕虫攻击一般在流量,协议,攻击端口以及攻击行为方面会具有一定的特征.因此,在对这类网络蠕虫攻击进行监测时可以根据其特征进行判断.此类产品一方面可以根据流量自学习功能掌握正常流量的基础,分析判断出一些异常流量,并
7、提取这些流量特征,还为今后的分析判断提供参考和借鉴;另一方面,此类产品和系统,建立有一套蠕虫攻击特征的分发和收集系统,不断从其他监测点收集新的异常特征,又不断将这些特征分发到域内的监测系统中.因此,这种智能化的蠕虫攻击特征检测可以提高已知蠕虫特征的攻击监测准确性,也可以提高监测未知蠕虫攻击的能力.(3)攻击源的自动追溯.攻击源的自表1三种流量监测技术比较表系统已经可以与异常流量过滤系统(如CiscoGuard)进行联动,也可以通过宣告黑洞路由,提供AcL过滤策略等方式与路由设备进行交互来有效地处理
8、异常流量.二.异常流量监测技术在电信『P网络的应用在互联网日益成为国家关键信息基础设施的今天,互联网上日益频繁的网络安全事件对互联网安全构成了严峻挑战.电信IP网是国家骨干互联网和国家关键信息基础设施的核心组成部分,其网络安全应急响应体系建设显得尤为迫切和重要.而跚络应急响应体系的重要环节之一就是监测,尤其是对网络异常流量的监测工作.没有及时地发现安全问题,就谈不上高效地做出应急响应.因此,异常流量监测技术在整个网络安全应急响应体系中占有十分重要的地位.完全流量镜像SNMPNetf
