要做到有效的網(wǎng)絡(luò)管理，就需要通過(guò)網(wǎng)絡(luò)監(jiān)控機(jī)制搜集相關(guān)信息，主動(dòng)找出問(wèn)題點(diǎn)并加以解決。 NetFlow 就是一種提供網(wǎng)絡(luò)流量相關(guān)信息的協(xié)議，網(wǎng)管人員通過(guò)NetFlow 可以快速有效地掌握所管轄網(wǎng)絡(luò)的狀態(tài)。

隨著網(wǎng)絡(luò)應(yīng)用的蓬勃發(fā)展，很多學(xué)校網(wǎng)絡(luò)帶寬大幅增加，而網(wǎng)絡(luò)使用的效能卻沒(méi)有成正比的提升。要做到有效的網(wǎng)絡(luò)管理，就需要通過(guò)網(wǎng)絡(luò)監(jiān)控機(jī)制搜集相關(guān)信息，主動(dòng)找出問(wèn)題點(diǎn)并加以解決。 NetFlow 就是一種提供網(wǎng)絡(luò)流量相關(guān)信息的協(xié)議，網(wǎng)管人員通過(guò)NetFlow 可以快速有效地掌握所管轄網(wǎng)絡(luò)的狀態(tài)。接下來(lái)我們會(huì)依序介紹NetFlow 與之前網(wǎng)絡(luò)管理機(jī)制的差異及其運(yùn)作機(jī)制，最后介紹目前NetFlow 的相關(guān)應(yīng)用。 NetFlow的由來(lái)。
　
傳統(tǒng)上的網(wǎng)絡(luò)管理者通常是通過(guò)SNMP (Simple Network Management Protocol) 協(xié)議的工具從支持SNMP的網(wǎng)絡(luò)設(shè)施搜集網(wǎng)絡(luò)流量數(shù)據(jù)，雖然通過(guò)這種方式取得信息不會(huì)造成處理上過(guò)重的負(fù)擔(dān)，但是SNMP 提供的只是粗糙、簡(jiǎn)略的資料。這些信息只能讓管理者發(fā)現(xiàn)問(wèn)題，卻無(wú)法進(jìn)一步解決問(wèn)題。

那么有沒(méi)有另外一種能提供更詳細(xì)網(wǎng)絡(luò)信息的技術(shù)呢?網(wǎng)絡(luò)探針(sniffer) 或是類(lèi)似的監(jiān)聽(tīng)工具開(kāi)始被部署在網(wǎng)絡(luò)設(shè)備上，用來(lái)捕捉流過(guò)的數(shù)據(jù)包并將數(shù)據(jù)包加以翻譯，找出數(shù)據(jù)包頭中字段的相關(guān)信息，并進(jìn)一步分析其內(nèi)容以取得更詳細(xì)的信息。

雖然通過(guò)數(shù)據(jù)包監(jiān)聽(tīng)工具可以取得更詳細(xì)的網(wǎng)絡(luò)信息，但監(jiān)聽(tīng)工具通常專(zhuān)注在單一網(wǎng)絡(luò)數(shù)據(jù)包的內(nèi)容，所以網(wǎng)絡(luò)管理者很難從監(jiān)聽(tīng)工具所提供的信息來(lái)掌握整體網(wǎng)絡(luò)的狀態(tài)。此外，分析數(shù)據(jù)包非常耗費(fèi)時(shí)間，而且數(shù)據(jù)包監(jiān)聽(tīng)所儲(chǔ)存并需要分析的數(shù)據(jù)量非常龐大，對(duì)于資源和人員的消耗是驚人的，這種方式顯然不適合高校環(huán)境下的網(wǎng)絡(luò)管理。

NetFlow 便是在這種情況下應(yīng)運(yùn)而生并成為網(wǎng)管人員熱門(mén)工具的，越來(lái)越多的學(xué)校在通過(guò)這一工具了解網(wǎng)絡(luò)使用情形。NetFlow 不僅能提供更詳細(xì)的網(wǎng)絡(luò)信息，而且其分析方式避免了網(wǎng)絡(luò)頻寬及運(yùn)算資源過(guò)重的負(fù)擔(dān)。

NetFlow 運(yùn)作機(jī)制

NetFlow 是由Cisco 公司的Darren Kerr 和Barry Bruins 在1996 年開(kāi)發(fā)的一套網(wǎng)絡(luò)流量監(jiān)測(cè)技術(shù)，目前已內(nèi)建在大部分Cisco 路由器上，Juniper、Ex-treme、港灣網(wǎng)絡(luò)等網(wǎng)絡(luò)設(shè)備供貨商也支持NetFlow 技術(shù)，它已逐漸成為大家都能接受的標(biāo)準(zhǔn)。

NetFlow 本身是一套網(wǎng)絡(luò)流量統(tǒng)計(jì)協(xié)議，其主要原理是根據(jù)網(wǎng)絡(luò)數(shù)據(jù)包傳輸時(shí)，連續(xù)相鄰的數(shù)據(jù)包通常是往相同目的地IP 地址傳送的特性，配合cache 快取機(jī)制，當(dāng)網(wǎng)絡(luò)管理者開(kāi)啟路由器或交換機(jī)接口的NetFlow 功能時(shí)，設(shè)備會(huì)在接收數(shù)據(jù)包時(shí)分析其數(shù)據(jù)包的標(biāo)頭部分來(lái)取得流量資料，并將所接到的數(shù)據(jù)包流量信息匯整成一筆一筆的Flow，在NetFlow 協(xié)議中Flow 是被定義為兩端點(diǎn)間單一方向連續(xù)的數(shù)據(jù)流，這意味著每一個(gè)網(wǎng)絡(luò)的連接都會(huì)被分別紀(jì)錄成兩筆Flow 數(shù)據(jù)，其中一筆記錄從客戶(hù)端連到服務(wù)器端，另外隨著一筆紀(jì)錄從服務(wù)器端連回到客戶(hù)端的信息。

網(wǎng)絡(luò)設(shè)備通過(guò)以下字段來(lái)區(qū)分每一筆Flow：來(lái)源IP 地址(source IP address)、來(lái)源端口號(hào)(source port number)、目的IP 位址(destination IP address)、目的端口號(hào)(destination port number)、協(xié)議種類(lèi)(protocol type)、服務(wù)種類(lèi)(type of service)及路由器輸入接口(router input interface)，任何時(shí)間當(dāng)設(shè)備接收到新的數(shù)據(jù)包時(shí)，會(huì)檢視這七個(gè)字段來(lái)判斷這個(gè)數(shù)據(jù)包是否屬于任何已記錄的Flow，有的話(huà)則將新收集到的數(shù)據(jù)包的相關(guān)流量信息整合到對(duì)應(yīng)的Flow 記錄中，如果找不到數(shù)據(jù)包對(duì)應(yīng)的Flow 記錄，便產(chǎn)生一個(gè)新的Flow 記錄來(lái)儲(chǔ)存相關(guān)的流量信息。由于設(shè)備內(nèi)高速緩存的空間有限，無(wú)法無(wú)限制地容納持續(xù)增加的Flow 紀(jì)錄，所以NetFlow 協(xié)議也定義了終結(jié)Flow記錄的機(jī)制，來(lái)維持網(wǎng)絡(luò)設(shè)備中儲(chǔ)存Flow 信息的空間。

只要下面三種情況任何一個(gè)成立，路由器就會(huì)通過(guò)UDP 數(shù)據(jù)包將終止的Flow 紀(jì)錄匯出到使用者事先指定的NetFlow 數(shù)據(jù)收集設(shè)備上：當(dāng)數(shù)據(jù)包內(nèi)字段flag 顯示傳輸協(xié)議中傳輸完成的訊息如TCP FIN 時(shí);流量停止超過(guò)15 秒;流量持續(xù)傳送，每30 分鐘會(huì)自動(dòng)終止。

雖然大部分的網(wǎng)絡(luò)硬件供貨商都支持NetFlow，但NetFlow版本有很多，其中NetFlow Version 5 是常見(jiàn)的Netflow 數(shù)據(jù)格式，包含以下幾個(gè)字段：Source IP Address (源主機(jī)IP 地址)、Destination IP Address (目的主機(jī)IP 位址)、Source TCP/UDP Port (源主機(jī)所使用的端口號(hào))、Destination TCP/UDP Port (目的主機(jī)所使用的端口號(hào))、Next Hop Address (下一個(gè)端點(diǎn)的地址)、Source AS Number (來(lái)源主機(jī)所屬的AS 編號(hào))、Destination AS number (目的主機(jī)所屬的AS 編號(hào))、Source Prefix Mask (來(lái)源主機(jī)所屬網(wǎng)域的子網(wǎng)掩碼)、Destination Prefix Mask (目的主機(jī)所屬網(wǎng)絡(luò)的子網(wǎng)掩碼)、Protocol (使用的通訊協(xié)議)、TCP Flag (數(shù)據(jù)包控制標(biāo)記)、Type of Service (QoS需求參數(shù))、Start sysUpTime (起始時(shí)間)、End sysUpTime (終止時(shí)間)、Input ifIndex (信息流流入接口編號(hào))、Output ifindex (信息流流出接口編號(hào))、Packet Count (數(shù)據(jù)包數(shù)量)、Byte Count (Byte數(shù)量)。

支持NetFlow 功能的網(wǎng)絡(luò)設(shè)備將其所收集到的Flow 信息以UDP 數(shù)據(jù)包送往預(yù)先設(shè)置好的流量接收主機(jī)，配合NetFlow 相關(guān)收集軟件，將這些原始流量資料作適當(dāng)?shù)奶幚怼��?chǔ)存以提供后續(xù)的相關(guān)應(yīng)用。

NetFlow在網(wǎng)絡(luò)安全上的相關(guān)應(yīng)用

NetFlow 的紀(jì)錄能夠提供足夠的信息來(lái)協(xié)助網(wǎng)絡(luò)管理者掌握所管轄網(wǎng)絡(luò)中的網(wǎng)絡(luò)異常事件，而且由于NetFlow 不需要對(duì)數(shù)據(jù)包內(nèi)容進(jìn)行分析，大大減輕了網(wǎng)絡(luò)設(shè)備運(yùn)算處理的負(fù)擔(dān)，所以很適合用來(lái)分析高速、忙碌的網(wǎng)絡(luò)環(huán)境。

由于NetFlow 數(shù)據(jù)來(lái)源是網(wǎng)絡(luò)中的三層數(shù)據(jù)轉(zhuǎn)發(fā)設(shè)備，所以通過(guò)從三層設(shè)備所搜集到的NetFlow 信息可以協(xié)助掌握整體網(wǎng)絡(luò)的情況，而且通過(guò)適當(dāng)?shù)胤治鯪etFlow 信息，可以協(xié)助管理者在蠕蟲(chóng)爆發(fā)或不正常網(wǎng)絡(luò)行為的初期快速分析出網(wǎng)絡(luò)中存在的問(wèn)題。接下來(lái)我們進(jìn)一步介紹如何利用NetFlow中所包含的信息來(lái)偵測(cè)異常的行為。

從網(wǎng)絡(luò)層的角度進(jìn)行分析

一般來(lái)說(shuō)，網(wǎng)絡(luò)攻擊行為會(huì)存在著某些可供辨識(shí)的特征，我們可以通過(guò)這些特征來(lái)與所獲得的NetFlow 數(shù)據(jù)進(jìn)行對(duì)比，進(jìn)而找出可能的異常行為。我們可以通過(guò)分析NetFlow 數(shù)據(jù)中目的主機(jī)所使用端口號(hào)字段，來(lái)過(guò)濾NetFlow資料找出相對(duì)應(yīng)的攻擊;另外我們也可以利用不合邏輯的來(lái)源或目的IP 地址來(lái)找出異常;此外，因特網(wǎng)地址指派機(jī)構(gòu)(Internet Assigned Numbers Authority , IANA)將下列三段IP 地址保留給私有網(wǎng)絡(luò)使用10.0.0.0～10.255.255.255、172.16.0.0～172.31.255.255 及192.168.0.0～192.168.255.255，這幾段網(wǎng)絡(luò)的地址不能出現(xiàn)在外在網(wǎng)絡(luò)環(huán)境中，但由于當(dāng)初網(wǎng)絡(luò)設(shè)計(jì)的缺陷，路由器對(duì)于所接收數(shù)據(jù)包的來(lái)源地址字段并不會(huì)進(jìn)行驗(yàn)證，所以攻擊者可利用這個(gè)缺陷偽造來(lái)源IP 地址(IP Spoofing )來(lái)發(fā)動(dòng)攻擊，避免被追蹤到攻擊來(lái)源，所以我們可以從我們所接受到NetFlow 數(shù)據(jù)中來(lái)源主機(jī)所使用的IP 地址(Source IP Address)字段，找出偽造來(lái)源地址的流量，再利用NetFlow數(shù)據(jù)中信息流流入接口編號(hào)(Input IFindex)字段的信息，找出連接這個(gè)接口的上游路由器，請(qǐng)他們協(xié)助調(diào)查或處理。

某些異常行為可能會(huì)連到某個(gè)或某些特定地址。比如在2001 年造成嚴(yán)重網(wǎng)絡(luò)擁塞的Code Red 蠕蟲(chóng)，我們分析所收集到的NetFlow 資料便可發(fā)現(xiàn)，此蠕蟲(chóng)的攻擊行為有一個(gè)特性，每筆Flow 的destination TCP/UDP port 字段值會(huì)等于80，Packet Count 字段值等于3，Byte Count 字段值等于144bytes，網(wǎng)絡(luò)管理者可以撰寫(xiě)程序分析所搜集的NetFlow數(shù)據(jù)，找出具備此特征的Flow 數(shù)據(jù)，便可找出管轄網(wǎng)絡(luò)內(nèi)有可能感染Code Red蠕蟲(chóng)的主機(jī)，并強(qiáng)行將該主機(jī)下線(xiàn)或封鎖物理端口以降低蠕蟲(chóng)造成的危害。利用已收集到攻擊的特征與NetFlow 信息中的相關(guān)字段進(jìn)行比對(duì)找出可能的攻擊，可以在造成網(wǎng)絡(luò)嚴(yán)重傷害之前，采取相應(yīng)措施來(lái)降低形成嚴(yán)重問(wèn)題的可能性。

從傳輸層的角度進(jìn)行分析

我們可以通過(guò)NetFlow 數(shù)據(jù)找出網(wǎng)絡(luò)中建立session 數(shù)目最多的主機(jī)，因?yàn)槿绻�一臺(tái)主機(jī)對(duì)特定主機(jī)產(chǎn)生不正常的大量連接，這可能代表著新的蠕蟲(chóng)、阻斷服務(wù)攻擊、網(wǎng)絡(luò)掃描等的可能性，因?yàn)橐粋�(gè)正常的主機(jī)對(duì)外連接會(huì)有一定正常的頻率，如果正常的主機(jī)感染了蠕蟲(chóng)，就可能會(huì)開(kāi)始產(chǎn)生異常的網(wǎng)絡(luò)行為，開(kāi)始產(chǎn)生對(duì)外大量的連接需求來(lái)找尋下一個(gè)感染的對(duì)象，因此我們可以從感染蠕蟲(chóng)的主機(jī)的NetFlow 信息中發(fā)現(xiàn)到大量的對(duì)外連接需求，同樣的原理，如果所管轄網(wǎng)絡(luò)中的使用者從網(wǎng)絡(luò)上下載阻斷服務(wù)攻擊之工具程序企圖對(duì)外發(fā)動(dòng)攻擊時(shí)，或是使用者利用Nmap 之類(lèi)的掃瞄工具掃瞄特定網(wǎng)址，以找出目標(biāo)主機(jī)所可能存在弱點(diǎn)或是漏洞時(shí)，我們都可以從NetFlow 數(shù)據(jù)中發(fā)現(xiàn)從網(wǎng)域中某個(gè)特定地址送出的大量session。

除了偵測(cè)網(wǎng)絡(luò)攻擊外，我們也可以通過(guò)分析session 的方式找出網(wǎng)絡(luò)濫用的行為，例如分析NetFlow 數(shù)據(jù)中目的主機(jī)所使用端口號(hào)的信息，通過(guò)分析對(duì)外25 port 連接的相關(guān)信息，若某一臺(tái)主機(jī)對(duì)外25 port 連接的數(shù)目在某個(gè)特定時(shí)間內(nèi)超出正常值過(guò)多，我們便可合理懷疑這臺(tái)主機(jī)被利用來(lái)散發(fā)廣告信或通過(guò)e-mail感染蠕蟲(chóng)，同樣原理我們也可以應(yīng)用來(lái)分析像emule 等peer-to-peer 檔案分享軟件常用之TCP 4662 / UDP 4672 port，找出網(wǎng)絡(luò)濫用的行為，并進(jìn)行適當(dāng)處置以降低其所造成的傷害。

利用TCP 的控制過(guò)濾出可疑的Flow

但對(duì)于一些大型網(wǎng)絡(luò)，攻擊的相關(guān)NetFlow 信息可能會(huì)被其它正常的NetFlow 信息所稀釋?zhuān)�例如感染病毒的初期或是�?jǐn)慎的黑客，可能會(huì)利用正常的流量來(lái)掩護(hù)其異常行為。另外，當(dāng)我們遇到新的攻擊手法或是病毒時(shí)，可能無(wú)法在第一時(shí)間掌握其Flow 特征，也無(wú)法通過(guò)特征比對(duì)的方式找出異常流量。為了更快速有效地偵測(cè)出異常的流量，我們?cè)囍鴮?duì)TCP 的控制標(biāo)志進(jìn)行分析，希望縮小需要進(jìn)一步分析的NetFlow 數(shù)據(jù)量，以及早發(fā)現(xiàn)異常流量。對(duì)蠕蟲(chóng)而言，由于其在網(wǎng)絡(luò)中通過(guò)感染大量主機(jī)進(jìn)行自我復(fù)制的本質(zhì)，蠕蟲(chóng)會(huì)在很短的時(shí)間內(nèi)盡全力探測(cè)可能的感染目標(biāo)，而且大部分的蠕蟲(chóng)都是通過(guò)TCP 協(xié)議來(lái)傳輸散布，所以我們可以從TCP 的控制標(biāo)志中發(fā)現(xiàn)到一些蛛絲馬跡，作為我們縮小可疑名單的根據(jù)。

以正常的TCP 連接建立過(guò)程而言，客戶(hù)端會(huì)先送出一個(gè)SYN 數(shù)據(jù)包給目的端主機(jī)，接著目的端主機(jī)會(huì)響應(yīng)一個(gè)SYN/ACK 數(shù)據(jù)包，客戶(hù)端在接收到這樣的數(shù)據(jù)包后，再送回給目的端主機(jī)ACK 數(shù)據(jù)包完成連接，但并不是每一次都能順利建立連接，由于NetFlow 會(huì)將每個(gè)session中所有傳輸時(shí)的TCP 控制標(biāo)志全部?jī)?chǔ)存在數(shù)據(jù)包控制標(biāo)志(TCP Flag) 這個(gè)字段中，因此我們可以通過(guò)這個(gè)字段中的信息來(lái)協(xié)助我們推測(cè)特定主機(jī)聯(lián)機(jī)的特性。

若某個(gè)Flow 正常地建立TCP 連接后，其數(shù)據(jù)包控制(TCP Flag) 字段會(huì)記錄的包含ACK、SYN、FIN 等控制標(biāo)志，但是如果蠕蟲(chóng)進(jìn)行感染的動(dòng)作時(shí)，由于隨機(jī)選取的主機(jī)并不一定存在，或是即使存在但目標(biāo)主機(jī)沒(méi)有開(kāi)放蠕蟲(chóng)所要感染的TCP port，在這種情況下，NetFlow 信息中由受感染主機(jī)對(duì)外聯(lián)機(jī)所產(chǎn)生的Flow 數(shù)據(jù)包控制標(biāo)志(TCP Flag) 字段會(huì)只存在SYN 這個(gè)TCP 控制標(biāo)志，根據(jù)這種特性網(wǎng)絡(luò)管理者可以先將其N(xiāo)etFlow 數(shù)據(jù)中數(shù)據(jù)包控制標(biāo)志(TCP Flag)字段只有存在SYN 控制標(biāo)志的Flow 數(shù)據(jù)過(guò)濾出來(lái)，通過(guò)這種方式我們可以把大部分正常的流量排除，這時(shí)候我們要從可疑的數(shù)據(jù)中找出真正異常流量的難度就會(huì)降低許多，能快速找出問(wèn)題，也可以避免運(yùn)算資源無(wú)謂的浪費(fèi)。

利用ICMP的訊息協(xié)助過(guò)濾出可疑的Flow

某些蠕蟲(chóng)或網(wǎng)絡(luò)攻擊也會(huì)利用ICMP 來(lái)進(jìn)行，我們可以從NetFlow數(shù)據(jù)中過(guò)濾出有異常行為的主機(jī)，首先找出通訊協(xié)議(protocol) 字段值為1 的Flow，代表所使用的通訊協(xié)議為ICMP，再根據(jù)目的主機(jī)之端口號(hào)(destination TCP/UDP port)字段值分析出所代表的ICMP 訊息，例如目的主機(jī)之端口號(hào)(destination TCP/UDP port)字段值為2048，轉(zhuǎn)化成八進(jìn)位為800，第一位代表位數(shù)字代表的是ICMP 的類(lèi)型，后兩碼為這個(gè)ICMP 類(lèi)型中的編碼，整體的意思是ICMP echo 請(qǐng)求;但如果字段值為769，轉(zhuǎn)化為八進(jìn)位則為301，這個(gè)編碼代表的是ICMP host unreachable;如果字段值是771則代表ICMP port unreachable;字段值是768 則代表ICMP network unreachable。我們可以先找出所使用通訊協(xié)議為ICMP 的Flow，進(jìn)一步過(guò)濾出其中目的主機(jī)所使用端口號(hào)為768、769、771 的Flow，再進(jìn)一步分析找出可能的異常行為。通過(guò)這種方式從大量NetFlow 數(shù)據(jù)中過(guò)濾出可疑名單，再對(duì)名單內(nèi)的Flow 數(shù)據(jù)進(jìn)行進(jìn)一步的分析，這樣可以幫助網(wǎng)絡(luò)管理者快速找出問(wèn)題所在。

由于目前網(wǎng)絡(luò)帶寬增長(zhǎng)非常迅速，僅僅在核心層部署NetFlow可能會(huì)導(dǎo)致設(shè)備性能下降。目前港灣網(wǎng)絡(luò)可以在匯聚層的FlexHammer 5210系列、核心層的BigHammer 6800系列提供相應(yīng)的NetFlow功能，通過(guò)核心和匯聚層的NetFlow分布式部署，可以在確保網(wǎng)絡(luò)性能的前提下提供完善的病毒和網(wǎng)絡(luò)異常控制機(jī)制，從而協(xié)助網(wǎng)絡(luò)管理者完成網(wǎng)絡(luò)的維護(hù)工作，為各個(gè)高校網(wǎng)絡(luò)中心降低管理壓力。

【相關(guān)文章】

• 頻寬管理 在網(wǎng)絡(luò)管理的應(yīng)用
  

• 將風(fēng)險(xiǎn)降到最低 網(wǎng)絡(luò)管理十大注意事項(xiàng)
  

• 網(wǎng)絡(luò)管理市場(chǎng)亂 悖論混淆消費(fèi)者