垃圾邮件行为分析

《垃圾邮件行为分析》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、垃圾邮件行为分析科來冋溯分析系统最新的3.1版增加了很多新功能，丰富的实时警报功能就是其中Z~o3.1版的实时警报功能与3.0版和比可以说是一次质的飞跃，新版的警报功能即可以基于字节数、数据包数量、平均包长、TCP特征统计等流量统计信息设置警报，还可以设置邮件敏感字、可疑域名检测以及报文特征值的警报。利用这些灵活的警报功能可以让网管人员及时发现各种故障和安全隐患。木文就是一个利川科来回溯分析系统3.1版流量警报功能发现内网主机发送垃圾邮件的实例。背景介绍木文的网络环境是-•家中国教育网川户的网络，内网使川公有IP地址，在其互联网出口部署科來冋溯分析服务器，72

2、4小时捕获互联网入出站流最。山于内网使用公有IP地址没有做NAT,因此内网主机会直接而对來讯互联网的各种威胁，端口扌：描就是其中较常见的行为Z—。为了及时监测端口扫描的行为，我们在分析服务器上设置了旨在发现特定端口的主机扫描行为的警报，如下图。科來冋溯分析系统3.1版可以灵活的利用与或逻辑关系设置复杂的警报触发条件。这个警报就是监测网络中任意应用,如果某应用1秒钟内数据包数量超过100个，并且平均包长小于72字节则触发警报。通常来自互联网主机扫描会针对特定服务端口（如MSSQL1433端口），短时间内向一个网段内毎个1P发送连接请求，如果发现有某主机有TCP同

3、步确认冋应则与该主机建立TCP连接，而后进一步尝试漏洞攻击或弱口令尝试。由于TCP同步包和同步确认包都没有上层数据，因此这种主机扫描行为的数据包都很小，-•般不会超过72字节。设置这个警报的初衷虽然是发现主机扫描行为,但是在实际使用时意外的发现某台内网主机在发送垃圾邮件时触发了这个警报。主机扫描警报的基本效果在设置案例中的主机扫描警报之前,我们要发现主机扫描行为通常是在“TCP分析”趙势图中找TCP同步包的异常峰值，但是如果流最较大的网络屮範範广3秒的主机扫描行为所触发的TCP同步包增加往往会被忽略。例如案例中的网络工作时段TCP同步包量在每秒400^600之

4、间，偶尔每秒增加100个并不是非常明显，因而很多主机扫描行为没冇被及时发现。在设置了案例中的警报Z后，我们可以在控制台的趋势图中直观的看到每--次主机扫描的警报，同时在警报日志视图看到主机扫描所针对的应川服务，甚至不用切换到“TCP分析”趋势图,如下图所示。/O开始刃/•回溯分析x时间飜分类寄g名称2011/12/1311:04:49攻击▲低蓟口扫猶全烏APP勰MSSQL平均包长：64<722011/12/1311:04:57攻击▲%蓟口扫猶全烏APP勰MSSQL平均包长：64<72幺概要统计］网峯族PUB址网段统计物理地址［1P会话物理会话TCP会话［UDP

5、会话窖报日志济暈警阖2/2］令所有警报流量警报蚪稱堪字筈报可疑域名检测警报特征值检测畫报从上图中可以看到选中时段内有两次针对MSSQL应用的疑似主机扫描行为。3.1系统还増加了针对选中对彖的分析功能（如选中某应用或某TP地址），在这里我们选中其中某警报日志条目，点击鼠标右键，选择“分析”菜单项，就可以针对选屮时段的MSSQL应用进行单独分析，这样可以快速判断警报是否误报，如下图。SM分侨QIW3（网塔庖用）•分侪XK网塔应用2011/12/13110441-110509600Kbps400Kbps200Kbps0bps■…■12M3110400110430a1

6、10600^LfiSIS2011/12/1>11:04:492011/12JJ分忻攻主囲零3!佞▲低剛8应用IPffifttIPeiSTb

7、B.98¥143364B.109♦143364B.44143364B.91V1433"3▼1433hMPfeB推虐站内网所有IP的TCP1433«口建立会话个轴包60710648-11/ZB2011/12/1311:04:492011/12/1311:04:492011/12/1311:04:492011/12/13"g492011/12/1311:04:492011/12/1311^)4:492011/12/1311:04:492011/12/1311:04:49201V12/1311:04:492011/12/1311K)4:492011/12/1311:

8、04:492011/12/1311^)