资源描述：
《TCP异常连接分析案例.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。
1、CSNA网络分析专家CSNA网络分析专家案例分析报告报告提交时间2011-10-28报告提交人刘辰2011年10月目录1.故障现象描述11.1.故障现象描述11.2.基境描述12.分析方案设计22.1.分析目标22.2.分析设备部署23.分析情况23.1・基本流量分析2TCP异常分析44.分析结论9故障现象描述1.1.故障现象描述一大型国企总部的某区域网络，在内网防火墙上发现大量TCP半连接,疑似DOS攻击，暂时未对内网服务器造成破坏性问题。由于大量TCP产生原因未明，调用了应急人员来解决。1-2.基本环境描述基本网络拓扑如下:图表
2、1网络基本拓扑网用户访问互联网流量，必须通过代理服务器中转访问。流量走向如上图红色标出线条，用户访问代理服务器需要经过内网三层交换、内网防火墙，其中在三层交换上旁路了大容量存储的网络分析设备，实现了对流量的回溯分析能力。第1页网络分析报告就是在内网的这台防火墙上发现了大量的TCP连接。分析方案设计分析目标找岀产生大量TCP的原因，定位到具体主机。需要重点分析的是TCP会话部分。分析设备部署由于网络中以及部署了回溯的流量分析设备，只需要把故障出现时的流量分析即可，通过科来的网络分析系统2010回放已保存的数据包。分析情况3.1.基本流
3、量分析首先利用科来网络分析系统的安全分析方案,对网络中的DOS攻击、蠕虫网络分析报告病毒、TCP扫描等进行智能分析。图表2此数据包共选取了3分31s的数据包，总流量为2.389GB。十字节数利用率每2.389GB4,796.920100.000%960.502Mbps219,956广摄謔0B00.000%0bps0塞搔沆量7.133KB660.004%3.712Kbps4图表3总流量数据包大小分布分析，65-127的小包为2.683.048个#明显较多。目数据包大少分布字节数利用率12&25552.151MB282,181256-5
4、1136.921MB；—101,340512-1023228.837MB366,2531024-1517293.517MB223.773>=15181.612GB1,140,32519.775%19.775Mbps12,72512.321%12.321Mbps3,99665.928%65.928Mbps12,915100.000%137.074Mbps12,420100.000%654.149Mbps53,866图表4数据包大小分布TCP会话分析，TCP连接数过多，并且存在大量TCP复位包。CSNA网络分析专家-网络分析报告aTCP
5、ScitTCP同步发送305,419TCP同步216,1373643271TCRgf^t60,838图表5TCP统计DNS分析,查询数量明显大于回应数据，有大量DNS请求没有得到回应。0DNS分忻DNS曲5,89打DNS回应686图表6DNS分析安全问题诊断：存在疑似DOS攻击问题，需针对性分析。s安全分析统计媚剧堰虫病毒发生地址191舸炬凹。披击帧」56紹履到D®击地址6可疑击0TCFW扫描进顾0ARP攻击雄地0图表7安全分析统计32TCP异常分析在对基本流量分析后，对网络中主机tcp同步发送数据进行排名分析。迪鱼也§需鱼c”名字
6、字亏ssatcpb步发送▼tcps涉it认接牧发邈阴&包发送/接收（sws包）ttxtcp^s210.78.238.2282.327MB34.68711.1783.3672.55623.5092.103.625
7、10.78J38SSfi字节W字节。♦字节12834B0556B278B10.78.238.228:119210.78.238.228:2479610.22.16^0:808010.78.238.228:2479710.22.16.20:80801101010.78.238.228:5098710.22.16.20^080H
8、TTP074B0B0420B278B0468B308B0210B142B74B698B776B352B10.78.23&22&365610.22.16.20:80808S4B10.78.238.228:206910.22.1620808010.78.238.228:376910.22.16^0:8080311247B766B10.78.238.228:365710.22.16.20:80801283480556B278B0179B68B0420B346B0556B278B10.78.178.871.520MB22.8589.7483
9、^913.26513.110L343,32010.78.178.151.467MB22.0659.4273.1563.14612.6381.343.19910.59.4.121.189MB17.8867.6312.5662.54110
