网络流量分析 | 流量分析基础

流量分析是网络安全领域的一个子领域，其主要重点是调查网络数据，以发现问题和异常情况。本文将涵盖网络安全和流量分析的基础知识。

网络安全与网络中的数据

网络安全的两个最关键概念就是：认证（Authentication）和授权（Authorization）。目前已经有多种工具、技术和方法可以确保及衡量这两个关键概念的实施情况，并进一步提供连续性和可靠性。网络安全运营包含了三个基本控制层级，以确保最大限度地提供安全管理。

基本的网络安全控制层级

层级	描述
物理层级	防止未经授权的物理接触或破坏网络设备及基础设施
技术层级	保护网络数据的机密性、完整性、可用性，阻止未经授权的逻辑访问
管理层级	通过政策和流程规范安全管理，确保安全措施的一致性和持续性

在这些控制层级下有两种主要方法和多个要素。下面将列出网络安全运营中常用的几个要素。

两种主要方法

访问控制	威胁控制
网络安全的起点。它是一套确保身份验证和授权的控制措施	检测和预防网络上的异常/恶意活动，它包含内外部流量数据探测器

访问控制中的关键要素

名称	描述
防火墙保护	基于预设的安全规则，控制网络流量进出，拦截可疑或恶意流量
网络访问控制（Network Access Control, NAC）	在设备接入网络前验证其合规性，确保设备符合安全策略
身份和访问管理（Identity and Access Management, IAM）	集中管理用户身份及其对资源的访问权限
负载均衡	优化资源分配，提升数据处理效率与可用性
网络分段	通过逻辑隔离，限制用户或设备的横向移动
虚拟专用网络（Virtual Private Networks，VPN）	建立加密通道，保障远程通信安全
零信任模型	默认不信任任何用户或设备，持续验证访问请求

威胁控制中的关键要素

名称	描述
入侵检测和预防系统（Intrusion Detection/Prevention System，IDS/IPS）	监控网络流量，识别并响应异常或攻击行为
数据防泄漏（Data Loss Prevention，DLP）	防止敏感数据被非法外泄
终端保护	保护接入网络的各类设备安全
云安全	保障云上资源（如SaaS应用、虚拟机）的安全性
安全信息和事件管理（Security Information and Event Management，SIEM）	集中分析日志数据，实现威胁检测与合规管理
安全编排自动化与响应（Security Orchestration Automation and Response，SOAR）	在单一平台内协调不同人员、工具和数据之间的任务，以实现自动化安全运营流程，提升事件响应效率
网络流量分析与网络检测响应（Network Detection and Response，NDR）	通过深度流量分析发现隐蔽威胁

典型的网络安全运营操作

部署	配置	管理	监控	维护
- 设备与软件安装 - 初始配置（设置设备的IP地址、默认路由等） - 自动化部署：使用脚本或工具批量配置设备	- 功能配置（如防火墙规则、VPN参数） - 初始网络访问配置（如子网划分）	- 安全策略实施（如制定密码复杂度规则） - NAT 与 VPN 实现 - 威胁缓解：隔离受感染设备，阻断恶意IP的流量	- 系统监控 - 用户活动监控 - 威胁监控 - 日志与流量捕获	- 升级与安全更新 - 规则调整 - 许可证管理 - 配置更新

托管安全服务

可能由于预算、员工技能和组织规模等原因，并非每个组织都有足够资源为特定的安全域创建专门的组，因此托管安全服务（Managed Security Services，MSS）产生了。MSS 是外包给服务提供商的服务，这些服务提供商被称为托管安全服务提供商（Managed Security Service Providers，MSSP）。如今大多数MSS都具有时间和成本效益，可在内部或外包进行，易于参与且能简化管理流程。

MSS中也有诸多要素，其中最常见的要素列于下表。

MSS常见要素

名称	描述
网络渗透测试	通过模拟外部或内部攻击者的手段，来评估网络的防御能力
漏洞评估	系统化识别、分类和量化网络环境中的安全漏洞
事件响应	通过标准化流程快速处置安全事件，最小化损失
行为分析	通过监控用户与系统行为，识别偏离正常模式的异常活动

**Q1：**哪个安全控制层级包含创建安全策略？

**答：**管理层级

**Q2：**哪个访问控制元素与数据指标一起管理数据流？

**答：**负载均衡

**Q3：**哪种技术有助于关联不同的工具输出和数据源？

答：SOAR

网络流量

流量分析是一种拦截、记录、监控和分析网络数据和通信模式的方法，用于检测和应对系统健康问题、网络异常和威胁。网络是一个丰富的数据源，因此流量分析对安全和操作问题非常有用。运营问题包括系统可用性检查和性能测量，安全问题包括网络异常和可疑活动检测。

流量分析是网络安全中使用的基本方法之一，是网络安全运营中的一部分。在流量分析中有两个主要技术：

流量分析中的两个主要技术

流量分析	数据包分析
从网络设备中收集数据。这类分析旨在通过数据汇总提供统计结果，而不进行深入的数据包级调查。 - 优势：易于收集和分析 - 劣势：不提供完整的数据包细节，无法了解事件发生的根本原因	收集所有可用的网络数据。应用深入的数据包级调查——通常也称为深度数据包检测（Deep Packet Inspection，DPI）——来检测和阻止异常数据包和恶意数据包。 - 优势：提供完整的数据包详细信息，以了解事件的根本原因 - 劣势：对时间和技能有要求

流量分析的优势有：

• 提供全面的网络可视性
• 有助于为资产跟踪提供全面的基准
• 有助于检测、应对异常和威胁

虽然安全工具/服务的广泛使用以及向云计算的日益转变，迫使攻击者改变战术和技术，以避免被发现，但是网络数据是一种纯粹而丰富的数据源。即使是经过编码/加密的数据，也能通过意想不到的模式/情况提供价值。因此，对于任何想要检测和应对高级威胁的安全分析人员来说，流量分析仍然是一项必备技能。

流量分析初尝试

如图所示，有若干PC机，它们中间有终端会发送一些恶意请求包，我们需要按照日志来揪出它们。日志内容如下：

**Q4：**识别和过滤恶意 IP 地址，会得到Flag，要过滤哪两个IP地址？

此处只需关注IP地址，我们主要看 IDS/IPS System。我们发现10.10.99.99这个IP有多次登录尝试和Metasploit的流量，这个必有问题，先过滤它。然后虽然10.10.99.74也有可疑的ARP行为，但是相比起来，10.10.99.62是100%的 Bad Traffic，因此更应该先过滤后者。

所以这一题我们需要过滤的只有10.10.99.99和10.10.99.62这两个IP地址。

**Q5：**识别和过滤恶意 IP 地址和端口地址，会得到Flag，要过滤哪三个目标端口？

此处只需要关注 Traffic Analyzer的结果。结合上一题的分析，我们重点关注IP与10.10.99.99、10.10.99.74和10.10.99.62有关的日志内容。整理出来发现有这四个：

其中的21端口是FTP所用，因此为了可能的服务可用性，这个端口不应被过滤。因此我们要过滤的三个端口号就是4444、7777和2222。