新聞中心
【HW實(shí)踐】業(yè)務(wù)系統(tǒng)被攻破？全流量回溯取證幫你“后發(fā)制敵”
講一個恐怖故事：在HW場景中，防守方的業(yè)務(wù)系統(tǒng)被攻破了。
還有“翻盤”的機(jī)會嗎？別擔(dān)心，當(dāng)然有！
防守方如果能在短時間內(nèi)定位問題，并給出證據(jù)鏈和分析過程，反而能大大加分！
那么，要如何抓住這個機(jī)會，對攻擊者追蹤溯源呢？讓我如此這般說給你聽。
全流量回溯取證，發(fā)現(xiàn)網(wǎng)絡(luò)流量中的“暗潮”
追蹤溯源對防守方提出了更高要求，除了必要的網(wǎng)絡(luò)邊界安全設(shè)備和防護(hù)系統(tǒng)，還需要全流量回溯取證技術(shù)，從網(wǎng)絡(luò)流量中快速發(fā)現(xiàn)并定位異常行為，還原完整的攻擊過程，讓安全運(yùn)維人員有的放矢，及時分析獲取攻擊者定位和攻擊手段。
安博通網(wǎng)絡(luò)流量安全分析系統(tǒng)基于全流量回溯取證技術(shù)，將安全探針分布式部署在網(wǎng)絡(luò)的關(guān)鍵節(jié)點(diǎn)，實(shí)現(xiàn)對網(wǎng)絡(luò)通訊數(shù)據(jù)包的高性能實(shí)時分析。
系統(tǒng)采集網(wǎng)絡(luò)數(shù)據(jù)流量并進(jìn)行全包存儲，通過數(shù)據(jù)挖掘、結(jié)構(gòu)化數(shù)據(jù)處理、可視化呈現(xiàn)，實(shí)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)的實(shí)時可視分析、流量回溯分析、流量異常分析和數(shù)字取證，快速定位異常行為，大幅提升關(guān)鍵業(yè)務(wù)保障力度和問題處置效率。
實(shí)踐出真知，三步實(shí)現(xiàn)“后發(fā)制敵”
光說不練假把式，只有又說又練的才是真把式。在HW演練中，某銀行就用實(shí)踐得出了真知。
該銀行的門戶網(wǎng)站被紅方攻擊，出現(xiàn)內(nèi)網(wǎng)大量主機(jī)資源過高甚至耗盡、網(wǎng)站大面積無法訪問等情況。
旁路部署的安博通網(wǎng)絡(luò)流量安全分析系統(tǒng)，立即對相關(guān)流量鏡像展開檢測。
Step 1 正常/故障流量采樣對比：業(yè)務(wù)正常時，大包占比高，多為本地IP訪問，各項(xiàng)指標(biāo)較常規(guī)；業(yè)務(wù)故障時，流量中0-64字節(jié)報文極多，1000字節(jié)以上報文的占比約為1% 。
同時，還發(fā)現(xiàn)了大量境外IP。
Step 2 深入分析，得出結(jié)論：境外IP地址對互聯(lián)網(wǎng)地址發(fā)送了大量TCP同步包（SYN），頻率極高，且其中帶有填充數(shù)據(jù)。SYN數(shù)據(jù)包是TCP建立連接時使用的握手同步數(shù)據(jù)包，不應(yīng)存在任何應(yīng)用層數(shù)據(jù)。但分析發(fā)現(xiàn)該數(shù)據(jù)包中有HTTP數(shù)據(jù)，內(nèi)容全部為0，明顯為偽造數(shù)據(jù)包。
基本可以判定，門戶網(wǎng)站服務(wù)器感染惡意程序，對互聯(lián)網(wǎng)地址進(jìn)行大流量DOS攻擊。
Step 3 全流量回溯取證：通過數(shù)據(jù)庫抓取400w+疑似攻擊的境外IP，經(jīng)過流量分析，對比正常/故障時段的網(wǎng)絡(luò)流量、數(shù)據(jù)包大小、報文詳細(xì)載荷等，成功反查到攻擊方的具體行為，回溯DDoS攻擊的完整過程，并輸出有效、可關(guān)聯(lián)的證據(jù)鏈條。
多維度發(fā)現(xiàn)安全風(fēng)險，長時間溯源取證分析，安博通網(wǎng)絡(luò)流量安全分析系統(tǒng)只需三步，就可以幫助用戶“后發(fā)制敵”。
除HW場景外，系統(tǒng)還適用于網(wǎng)絡(luò)性能管理場景，例如面向業(yè)務(wù)、網(wǎng)絡(luò)和用戶的流量性能監(jiān)控分析，以及網(wǎng)絡(luò)業(yè)務(wù)故障的界面判定與問題定位等。挖掘網(wǎng)絡(luò)流量中的寶藏，讓數(shù)據(jù)創(chuàng)造更多價值！
