基于数据包分析的网络攻击诊断研究.docxVIP

基于数据包分析的网络攻击诊断研究　【 摘 要 】 近年来，网络攻击手段愈加丰富、隐蔽性更强，入侵检测、态势感知等安全防护技术虽能发挥重要作用，但针对有些攻击方式则难以监测其攻击行为，在排查诊断攻击时也收效有限。论文研究提出通过捕获数据包并对其进行分析，将网络从原来封闭的黑盒子，变为可直观展现的详细数据，进而诊断定位网络攻击的方法，并列举了相应的实例。该方法能够快速诊断定位网络攻击源及攻击手段，并且解决常规分析手段难以分析的疑难攻击问题。?　　【 关键词 】 数据包分析；数据包捕获；网络攻击；攻击诊断?　　【 Abstract 】 Recent years， the means of network attacks are increasingly rich， and more concealed. Meanwhile， Intrusion detection， situational awareness and other security technology can play an important role， but for some attacks it is difficult to monitor its aggressive behavior， and is also limited success when troubleshooting diagnosis attack. The paper proposes a method for the diagnosis of attacks targeting network by capturing and analyzing data packets. So， the detailed data of network can be visually show. Additionally， the paper lists the corresponding instance. This method can quickly diagnose and locate the source and means of network attacks，and solve difficult problems of the conventional methods difficult to analyze.?　　【 Keywords 】 packet analysis； packet capture； network attack； attack the diagnosis?　　1 引言?　　随着企业信息化建设的快速发展，网络规模愈加庞大，应用系统、数据库、中间件等软件产品和主机、网络、安全等硬件设备更为复杂，恶意攻击和安全威胁的排查难度难度明显增大[1]。通常，网络管理者监测的重点在于网络是否可用、负载是否正常、关键应用是否访问正常。但当前很多网络攻击可在不影响应用或影响不大的的情况下获取内部数据信息，造成敏感信息泄密。例如，SQL注入攻击。另外，有些攻击方式隐蔽性很强，入侵检测系统等常规安全设备很难监测其攻击行为[1] [2]。?　　针对以上问题，本文研究提出通过捕获数据包并对其进行分析，进而诊断定位网络攻击的方法。?　　2 数据包捕获?　　数据包的捕获是对其进行分析的基础，根据数据包传输方式的不同分共享式和交换式两大类。共享式捕获即：将数据包捕获程序接入到集线器（Hub），则任何一个端口传输的数据都可被捕获，无需对集线器进行任何设置[3]。交换式捕获涉及多种方法。?　　（1）端口镜像：把交换机某个或多个端口（Vlan）的数据镜像到其他端口的方法，即通过对交换机进行配置，实现将某个端口的数据包拷贝一份到其他端口上。?　　（2）测试入口点（Test Access Point，TAP）捕获：通过分路器、分光器直接获取网络链路上的物理信号而获取流量，可复制到多个端口、汇聚到个别端口，也可根据一定规则过滤出需要的数据。?　　（3）MAC洪泛捕获：通过向交换机发送大量Mac地址，造成交换机内容寻址存储器（Content Addressable Memory， CAM）表溢出，此时交换机会将数据包在广播域中泛洪，从而捕获数据包。该方法会造成网络堵塞，导致网络性能下降。?　　（4）ARP欺骗捕获：地址解析协议（Address Resolution Protocol， ARP）欺骗通过向目标主机发送伪造的ARP应答包，将目标主机网关的MAC地址修改为攻击者的主机MAC地址，同时向目标主机网关发送伪造的ARP应答包[4]。攻击者作为“中间人”， 目标主机的数据都经过它中转，如此，窃取到目标主机的通信数据。?　　3 数据包分析技术的应用?　　数据包分析是指通过解析网络中最小人工可读数据，以