《CSNA網(wǎng)絡(luò)分析認(rèn)證專家實(shí)戰(zhàn)案例》課件-第26章

第26章Web服務(wù)器攻擊分析26.1故障描述26.2分析方案設(shè)計(jì)26.3分析情況26.4分析結(jié)論

26.1.1故障現(xiàn)象

客戶對外服務(wù)的Web服務(wù)器無法訪問，內(nèi)網(wǎng)機(jī)器訪問互聯(lián)網(wǎng)速度較慢。26.1故障描述26.1.2基本環(huán)境

用戶的Internet出口基本網(wǎng)絡(luò)拓?fù)淙鐖D26-1所示，其中出口帶寬為1Mbps，內(nèi)部上網(wǎng)和對外服務(wù)的Web服務(wù)器共享該帶寬。服務(wù)器IP地址為XX.XX.142.202。

圖26-1

26.2.1分析目標(biāo)

確認(rèn)Web服務(wù)器無法訪問是由于網(wǎng)絡(luò)原因引起的還是其他原因引起的，確認(rèn)訪問互聯(lián)網(wǎng)速度慢是由于流量引起的還是其他原因引起的。26.2分析方案設(shè)計(jì)26.2.2分析設(shè)備部署

我們在交換機(jī)上部署分析設(shè)備，鏡像出口的網(wǎng)絡(luò)流量，對出口的流量進(jìn)行捕獲并分析。

26.3.1基本流量分析

首先，利用科來網(wǎng)絡(luò)分析系統(tǒng)的實(shí)時網(wǎng)絡(luò)流量監(jiān)控分析功能，對網(wǎng)絡(luò)中的重要流量參數(shù)進(jìn)行監(jiān)控分析，確認(rèn)是否由于網(wǎng)絡(luò)擁塞導(dǎo)致服務(wù)器無法訪問，并確認(rèn)有無異常流量?？傮w流量監(jiān)控視圖如圖26-2所示。26.3分析情況

圖26-2

圖26-3

(1)總體流量分析。

在測試過程中，鏈路總流量基本保持在1.6Mbps左右，總帶寬利用率達(dá)到了80%(由于分析參數(shù)配置問題，圖26-3中利用率數(shù)值有誤)，鏈路利用率較大，網(wǎng)絡(luò)擁塞可能是導(dǎo)致上網(wǎng)慢的主要原因。

(2)網(wǎng)絡(luò)中的數(shù)據(jù)包分析。

網(wǎng)絡(luò)中的數(shù)據(jù)包率為2392PPS(PacketsperSecond，數(shù)據(jù)包每秒)，計(jì)算出的平均包長為82B左右，平均包長很小，明顯有異常。從數(shù)據(jù)包大小分布中我們可以看出，網(wǎng)絡(luò)中小包(≤64B)數(shù)量為2261PPS，占絕大多數(shù)，比較異常。

(3)廣播包和多播包。

網(wǎng)絡(luò)中的每秒廣播包和多播包數(shù)量很少，屬于正?，F(xiàn)象。

分析結(jié)論：網(wǎng)絡(luò)可能存在擁塞現(xiàn)象，但小包太多，明顯異常。26.3.2總體通信情況分析

利用科來網(wǎng)絡(luò)分析系統(tǒng)可以對網(wǎng)絡(luò)中的總體通信情況進(jìn)行分析，包括主機(jī)數(shù)量、會話數(shù)量、應(yīng)用請求數(shù)量的分析，查看是否存在異常現(xiàn)象。分析結(jié)果如圖26-4所示。

圖26-4從圖中可以發(fā)現(xiàn)的異常結(jié)果如下：

(1)

TCP流異常。

TCP同步發(fā)送數(shù)量為2771211，而同步確認(rèn)發(fā)送數(shù)量為2090個，同步發(fā)送數(shù)量遠(yuǎn)高于同步確認(rèn)數(shù)量，明顯為異常現(xiàn)象，需進(jìn)一步分析。

(2)

HTTP應(yīng)用異常。

HTTP連接數(shù)量為97121，HTTP請求數(shù)量為440，也就是說絕大多數(shù)的HTTP連接中沒有任何HTTP請求，明顯異常。分析結(jié)論：TCP同步發(fā)送和同步確認(rèn)數(shù)量明顯異常，HTTP連接數(shù)量遠(yuǎn)遠(yuǎn)大于HTTP請求數(shù)量，這些異常很可能是由于攻擊造成的。26.3.3針對Web服務(wù)器訪問流量進(jìn)行分析

利用科來網(wǎng)絡(luò)分析系統(tǒng)的端點(diǎn)分析視圖和節(jié)點(diǎn)瀏覽器，針對性地對Web服務(wù)器主機(jī)流量進(jìn)行分析，確認(rèn)其沒有響應(yīng)的原因。

從圖26-5可以看出，Web服務(wù)器只有接收的數(shù)據(jù)包，沒有發(fā)送數(shù)據(jù)包，IP會話和TCP會話數(shù)量非常大，同時全都是TCP同步接收。每秒數(shù)據(jù)包數(shù)近2000PPS，占整個網(wǎng)絡(luò)中數(shù)據(jù)包數(shù)的絕大多數(shù)。同時，每秒接收流量達(dá)到992Kb，占據(jù)了99%的出口接收流量，是造成網(wǎng)絡(luò)擁塞的主要原因。

圖26-5通過對Web服務(wù)器的流量進(jìn)行解碼分析，發(fā)現(xiàn)大量的Internet主機(jī)向其發(fā)送HTTP連接請求數(shù)據(jù)包，但服務(wù)器已經(jīng)完全沒有響應(yīng)，這是明顯的DoS或DDoS攻擊行為特征，如圖26-6所示。

圖26-6

Web服務(wù)器接收到大量來自互聯(lián)網(wǎng)的HTTP連接請求，每秒鐘的請求數(shù)量達(dá)到2000多個，而服務(wù)器沒有響應(yīng)，可能是無法承受大量的連接請求所致。這些大量的請求數(shù)據(jù)包導(dǎo)致出口鏈路出現(xiàn)擁塞，特別是入網(wǎng)方向的利用率高達(dá)99%，從而使Internet訪問受到嚴(yán)重影響。實(shí)際上這些請求的數(shù)量可能遠(yuǎn)大于我們看到的數(shù)