新聞中心
【安全實(shí)戰(zhàn)】當(dāng)流量異常遇到“鷹眼”回溯
在復(fù)雜的網(wǎng)絡(luò)環(huán)境中，流量如同信息流的脈絡(luò)，貫穿著每一個連接與通信。而出現(xiàn)異常流量，往往預(yù)示著硬件故障、惡意軟件或網(wǎng)絡(luò)攻擊的危機(jī)。異常流量不僅是網(wǎng)絡(luò)惡意攻擊的重要手段，也可能由配置錯誤或系統(tǒng)故障引發(fā)，帶來多種危害：
1、業(yè)務(wù)中斷：異常流量可能導(dǎo)致網(wǎng)絡(luò)資源過度消耗，使正常業(yè)務(wù)中斷。DDoS攻擊便是典型例證，它常使服務(wù)器資源枯竭，合法用戶因此無法訪問。此情況不僅損害用戶體驗(yàn)，還會嚴(yán)重影響企業(yè)聲譽(yù)和經(jīng)濟(jì)利益。
2、安全威脅：異常流量往往是攻擊的前奏，如端口掃描、暴力破解等，這些行為可能攻破系統(tǒng)，引發(fā)數(shù)據(jù)泄露或系統(tǒng)癱瘓。此類威脅隱蔽性強(qiáng)，破壞性大，必須及時檢測并防御。
3、性能下降：異常流量占用大量網(wǎng)絡(luò)資源，導(dǎo)致網(wǎng)絡(luò)性能下降，如延遲增加、吞吐量減少，進(jìn)而影響用戶的網(wǎng)絡(luò)體驗(yàn)，拖慢業(yè)務(wù)運(yùn)營效率。
因此，對內(nèi)部異常流量進(jìn)行細(xì)致分析是日常運(yùn)維工作中不可或缺的一環(huán)。
近日，某單位就遭遇了一次異常流量的挑戰(zhàn)。該單位內(nèi)部流量匯總復(fù)雜，出于安全保障考慮，其互聯(lián)網(wǎng)出口的關(guān)鍵位置旁路部署了安博通“鷹眼”全流量取證系統(tǒng)，進(jìn)行全方位、全時段的流量數(shù)據(jù)采集和留存，并提供鏈路黑管可視化的全鏈路監(jiān)控能力和網(wǎng)絡(luò)性能管理的故障分析定位能力，為其網(wǎng)絡(luò)安全保駕護(hù)航。
客戶異常流量情況
該系統(tǒng)日常反饋的流量流速穩(wěn)定在2MB/S左右。然而，某周六，預(yù)警信號突然響起，設(shè)備反饋流量流速突破8MB/S。通過圖形化報表反饋，該流量流速遠(yuǎn)大于日常水平。單位本部人員均表示，在該時間段內(nèi)并未進(jìn)行任何相關(guān)操作。這一異常情況，立即引起了單位領(lǐng)導(dǎo)的重視，并安排我司與內(nèi)部運(yùn)維人員迅速展開排查分析。
異常流量分析過程
面對此突發(fā)情況，我們首先調(diào)用負(fù)載分析頁面，通過流速趨勢圖報表，鎖定了異常流量的時間區(qū)間在當(dāng)天3：00—4：20左右。
隨后，通過調(diào)用鏈路回溯界面，發(fā)現(xiàn)其中異常流量主要涉及兩個應(yīng)用：輿情專用和釘釘，涉及將近3.5G的總流量。這兩個應(yīng)用在該單位內(nèi)部主要用于信息查詢下載、業(yè)務(wù)界面登錄以及信息上傳。通過進(jìn)一步分析，我們鎖定了兩個關(guān)鍵的IP地址：XX.XX.XXX.244和XXX.XX.69.239。
為了更深入了解異常流量的具體來源，我們調(diào)用設(shè)備日志查看界面，基于上述兩個IP，在3-4點(diǎn)階段查詢了對應(yīng)HTTP請求日志。結(jié)果發(fā)現(xiàn)主要是業(yè)務(wù)網(wǎng)頁請求和API接口調(diào)度請求，內(nèi)容涉及內(nèi)部線路隱患申請審批、相關(guān)文件上傳等。其中，網(wǎng)頁瀏覽主要發(fā)生在某一特定端口，確認(rèn)是移動終端登錄訪問，用于隱患信息的增加和上傳。
而HTTP文件上傳則通過另一API端口進(jìn)行，涉及大量MP4格式視頻和JPG格式圖片。
分析結(jié)論
通過“鷹眼”全流量取證系統(tǒng)，我們完成整個異常流量的分析工作。發(fā)現(xiàn)主要是某個人員在凌晨3點(diǎn)多用手機(jī)大量上傳MP4格式視頻和JPG格式圖片，從而導(dǎo)致流量流速飆升，異于日常流量流速。因此，安排人員查詢兩個IP和相關(guān)電話號碼。
單位內(nèi)部人員反饋該移動終端IP屬于管轄單位的相關(guān)負(fù)責(zé)人員，他在該段時間基于日常業(yè)務(wù)需求，一次性上傳本周的線路隱患圖片和視頻，因此出現(xiàn)異常流量流速問題。整個情況屬于內(nèi)部員工正常行為，排除了硬件故障、惡意軟件傳播或網(wǎng)絡(luò)攻擊等問題。為保障內(nèi)部網(wǎng)絡(luò)流量的正常運(yùn)行，單位安排相關(guān)人員更新了移動IP信息。
最后，我司就本次分析內(nèi)容與單位領(lǐng)導(dǎo)進(jìn)行了詳細(xì)匯報。領(lǐng)導(dǎo)表示，盡管本次異常流量只是虛驚一場，但該單位作為國家重要單位，“面對異常流量問題，寧可麻煩分析，也不能放過任何隱患！”同時，領(lǐng)導(dǎo)對“鷹眼”系統(tǒng)的流量存儲和回溯能力給予了高度評價。
在安全實(shí)戰(zhàn)中，安博通“鷹眼”全流量取證系統(tǒng)可多維度線索回溯、綜合研判，有效檢測調(diào)查可疑主機(jī)、人員和行為線索，形成可置信、可閉環(huán)、可關(guān)聯(lián)的流量回溯體系。
