2015年中國可視化與可視分析大會

1、DB行為日志字段：time （時間），sip （源IP） , dip （目的IP） , proto （協(xié)議），2015 年中國可視化與可視分析大會數(shù)據(jù)可視分析挑戰(zhàn)賽題目詳細描述題目背景TSZNet公司是一家知名的互聯(lián)網(wǎng)公司，起初的核心業(yè)務(wù)是為普通用戶提供互聯(lián)網(wǎng)服務(wù)，隨著技術(shù)的成熟和規(guī)模的擴大，近幾年開始為企業(yè)和政府機構(gòu)提供定制化的互聯(lián)網(wǎng)服務(wù)。該公司內(nèi)部運行著很多業(yè)務(wù)系統(tǒng)，比如人事管理平臺，內(nèi)部BBS， WiKi 等等。這些內(nèi)部業(yè)務(wù)系統(tǒng)每天都有很大的流量。不幸的是，某幾天，公司內(nèi)部某個系統(tǒng)出現(xiàn)了安全問題，導致該公司的內(nèi)部數(shù)據(jù)遭到泄露。該公司想了解那幾天到底發(fā)生了什么事情， 流量中存在哪些模式，

2、隨著時間的推移，這些模式發(fā)生了哪些變化， 變化的動機是什么？但分析大量的多源網(wǎng)絡(luò)安全日志數(shù)據(jù)是一個巨大的挑戰(zhàn)，因此，公司將這次“安全問題“相關(guān)的網(wǎng)絡(luò)安全日志數(shù)據(jù)提供出來，希望參賽者能以網(wǎng)絡(luò)安全分析人員的身份，采用可視分析技術(shù)對這些數(shù)據(jù)進行分析， 幫助公司找到上述問題的答案，并為公司提供網(wǎng)絡(luò)安全改進方案。挑戰(zhàn) 1( mini challenge )1介紹： 本題關(guān)注對正常網(wǎng)絡(luò)流量日志數(shù)據(jù)的分析。公司將提供一周的 tcpflow 日志數(shù)據(jù)， 希望參賽者找到公司內(nèi)部網(wǎng)絡(luò)的客戶端和服務(wù)器， 分析公司內(nèi)網(wǎng)的網(wǎng)絡(luò)體系結(jié)構(gòu)，總結(jié)公司內(nèi)網(wǎng)的正常網(wǎng)絡(luò)通信模式有哪些。數(shù)據(jù)：一周的tcpflow (TCPW議層的數(shù)

3、據(jù)傳輸記錄)日志，正常流量dport （目的端口），uplen （上行字節(jié)數(shù)），downlen （下行字節(jié)數(shù)）問題：（1）找出TSZNet公司內(nèi)部網(wǎng)絡(luò)中的客戶端與服務(wù)器，并給出該公司網(wǎng)絡(luò)的體系結(jié)構(gòu)拓撲圖；（2）對TSZNet公司內(nèi)部網(wǎng)絡(luò)中的服務(wù)器進行分類，分類標準不限，比如按照功能、按時間特點、按行為特點、按流量特點等等；（3）說明TSZNet公司內(nèi)部網(wǎng)絡(luò)的“客戶端-服務(wù)器”，“客戶端-客戶端”，“服務(wù)器-服務(wù)器”之間的常規(guī)通信模式。挑戰(zhàn) 2（ mini challenge ）2介紹 ： 本題關(guān)注對 “安全問題 ” 的分析。 公司同時提供了兩周四種網(wǎng)絡(luò)安全日志數(shù)據(jù)，希望參賽者通過對這些數(shù)據(jù)的協(xié)

4、同分析，找出網(wǎng)絡(luò)中異常的通信模式和事件，并綜合分析這次 ”安全問題 “發(fā)生的原因、時間、相關(guān)網(wǎng)絡(luò)資源、演化過程以及造成的結(jié)果。數(shù)據(jù)：兩周的tcpflow日志，flow （HTTP Header數(shù)據(jù)記錄）日志，DB行為（SQL 語句執(zhí)行記錄）日志，登錄結(jié)果類（ FTR SMTP、POP、SMBs DataBase登錄記錄）日 志，包含正常和異常流量tcpflow 日志字段： time （時間）， sip （源IP），dip （目的IP），proto （協(xié)議），dport （目的端口），uplen （上行字節(jié)數(shù)），downlen （下行字節(jié)數(shù)）flow 日志字段：time（時間），sip （源 I

5、P） , sport （源端口），dip （目的 IP） , dport（目的端口），method （請求類型），uri （統(tǒng)一資源標識符），host （域名），UserAgent （瀏覽器端的用戶代理）port （目的端口）， sql_info （sql 語句）登錄結(jié)果類日志字段：time（時間），sip （源IP） , sport （源端口），dip （目的IP）, dport （目的端口），proto （協(xié)議），passwd （登錄密碼），info （登錄信息），user （登 陸用戶）問題 ：（1）找出這兩周可能存在的異常通信模式（異常事件），異常標準不限，如訪問或被訪問量突變、周期行為模式、連接模式變化、活躍時段變化、行為不符合主機角色等等；（2）找出這些異常通信模式中