案例江海證券回溯分析案例

1、 江海證券回溯分析案例采用科來(lái)回溯分析系統(tǒng)來(lái)查看和分析服務(wù)應(yīng)用中一些數(shù)據(jù)流和各服務(wù)器的流量情況，并通過(guò)控制臺(tái)選擇一部分流量異常的數(shù)據(jù)包并下載分析。（一）帶寬利用率滿載江海證券為辦公網(wǎng)所劃分的帶寬總體為20Mbps，其中10Mbps為電信，另一條10Mbps是聯(lián)通線路。經(jīng)過(guò)測(cè)試發(fā)現(xiàn)江海證券辦公網(wǎng)利用率時(shí)刻處于滿載狀態(tài)。對(duì)問(wèn)題主機(jī)進(jìn)行定位，發(fā)現(xiàn)192.168.0.79等節(jié)點(diǎn)發(fā)現(xiàn)UDP包大量傳輸，經(jīng)鑒定是下載行為。因?yàn)檫@些主機(jī)的下載，導(dǎo)致了帶寬利用率被占滿，其他業(yè)務(wù)和應(yīng)用變慢、或網(wǎng)絡(luò)時(shí)斷時(shí)續(xù)。經(jīng)過(guò)分析后，江海證券技術(shù)人員進(jìn)入路由器管理，對(duì)響應(yīng)的節(jié)點(diǎn)進(jìn)行了控制和帶寬上的限制，在行為上添加了一些策略。最

2、后，問(wèn)題得到了解決。（二）蠕蟲(chóng)病毒對(duì)江海證券的互聯(lián)網(wǎng)（交易網(wǎng)）進(jìn)行整體檢測(cè)，該網(wǎng)絡(luò)總體帶寬為300兆，承載公司所有的互聯(lián)網(wǎng)業(yè)務(wù)。打開(kāi)“協(xié)議”頁(yè)面，發(fā)現(xiàn)CIFS協(xié)議的數(shù)據(jù)包相對(duì)較多。定位到CIFS協(xié)議發(fā)現(xiàn)數(shù)據(jù)包都是192.0.1.0/24這個(gè)網(wǎng)段發(fā)送的，CIFS協(xié)議是WINDOWS主機(jī)之間進(jìn)行網(wǎng)絡(luò)文件共享一種互聯(lián)網(wǎng)協(xié)議。192.0.1.0/24這個(gè)網(wǎng)段不斷的發(fā)送數(shù)據(jù)包，只發(fā)送、不接收，端口有順序的變換，數(shù)據(jù)包大小相同，目的地址端口號(hào)都是445。隨后打開(kāi)“數(shù)據(jù)包”頁(yè)面，發(fā)現(xiàn)所有CIFS包在概要里的確認(rèn)號(hào)都是00000000000由此可以推斷，192.0.1.0/24這個(gè)網(wǎng)段中的某主機(jī)，很可能中了蠕蟲(chóng)，在對(duì)網(wǎng)絡(luò)進(jìn)行實(shí)時(shí)的掃描。發(fā)現(xiàn)這一問(wèn)題后，網(wǎng)管們比較重視，對(duì)該網(wǎng)段進(jìn)行了檢查，在交換機(jī)上對(duì)