通过设备日志分析识别业务流的方法.docVIP

精品论文 参考文献 通过设备日志分析识别业务流的方法 Method of Device Log Analysis to Identify the Traffic Flow 　　张建星ZHANG Jian-xing曰栾俊廷LUAN Jun-ting（中移全通系统集成有限公司，石家庄050021）（China Mobile System Integration Co.，Ltd.，Shijiazhuang 050021，China） 　　摘要院网络安全在企业信息化中的位置越来越重要，越来越多的网络和系统需要防火墙设备进行安全防护。防火墙设备上的安全策略部署质量的高低，是防火墙设备是否起到安全防护作用的关键。但对于企业网络中众多复杂的各种应用，其数据流向往往比较复杂。本文针对企业网防火墙策略发现问题，提出一种采用网络设备日志分析实现识别业务流的方法，该方法可以低成本、高效率的发现网络中的业务流，进而为防火墙策略的部署提供依据。 　　Abstract: Network security in the enterprise information is more and more important, and more and more network and systems needfirewall security for security protection. The level of security policy deployment quality is a key for whether the firewall device play the roleof security protection. But for many complex applications in enterprise network, its data flow is often more complicated. According to theproblems of enterprise network firewall policy, this paper proposes a method that using network device log analysis to identify the trafficflow. The method can discovery network traffic with low-cost, high-efficiency, and thus provide the basis for the deployment of firewallpolicy. 　　关键词院防火墙；网络安全；安全策略Key words: firewall；network security；security policy 　　中图分类号院TP393 文献标识码院A 文章编号院1006-4311（2014）10-0223-020 　　引言在企业网络的网络管理及项目建设上，防火墙的应用越来越广泛。在一张网络中部署的防火墙数目小到五六台多则十几台、几十台。为了使每台防火墙真正起到安全控制的作用，每台防火墙都要根据实际的访问需求制定出成百上千条安全策略。每条安全策略都要有针对性的对合法的数据流予以允许通过，对非法的数据流予以拒绝。在网络应用日益复杂的今天，如何对现网数据流进行识别（统计、分析）是摆在工程技术和网络维护人员面前的一个重要课题。 　　1 目前的识别方法及问题目前，数据流的识别主要采用的技术有Netflow/Sflow和SPAN 技术。 　　Netflow/Sflow 技术主要是支持该技术的数据节点设备上启用该特性，通过采集服务器到节点设备上采集数据，然后对数据进行分析整理得到网络中的数据流信息。 　　Netflow/sFlow 技术能对数据网络的通信流量进行详细的行为模式分析和计量，并提供网络运行的详细统计数据。 　　但是，NetFlow/sFlow 支持情况受设备类型、板卡类型、软件版本、软件授权等条件制约，某些厂商设备甚至需要采购专用硬件。 　　SPAN 技术（镜像抓包）是一种基于被动侦听原理的网络分析方式。使用这种技术，可以监视网络的状态、数据流动情况以及网络上传输的信息。当信息以明文的形式在网络上传输时，可以使用网络监听的方式来进行记录、分析。将网络接口设置在监听模式，可以将网上传输的源源不断的信息截获。但是，这种技术需要把整个数据包的信息都记录下来，包含对于数据流分析基本没有用处的data 信息，这样就需要处理大量的无关信息，分析效率比较低，而且对于已经部署IDS、流量清洗等设备的节点，受到网络端口镜像SESSION 数量的限制，而无法实施。 　　2 解决办法利用在路由器、交换机、防火墙设备普遍支持的访问控