如何找出伪造数据的内网主机

内网的主机一旦被攻击控制,则可以伪造数据进行攻击,扰乱安全管理人员监控方向,如果只通过安全日志进行分析,很难定位到问题主机。

对于网页访问速度缓慢或断断续续无法访问的情况,我们一时无法确定是网络故障、网络性能还是网络安全问题,如果排查问题的方向出现偏差,往往耗时费力。网络分析技术帮助用户透过现象看到本质,达到事半功倍的效用。

 

7.1 问题描述

 

据用户反馈,网内访问互联网时打开页面速度非常缓慢,而且经常出现不能打开网页的情况。此现象已经持续一周时间,严重影响到公司业务进展。网络运维部门多方查找问题原因无果,于是邀请科来网络分析工程师帮助排查问题。

 

7.2 分析过程

 

7.2.1 问题现象分析

该用户网络出口带宽为20Mb,两台交换机下连30多个用户主机与服务器。在交换机1和交换机2分别配置镜像端口,部署科来网络分析系统,抓取上连接口的流量进行分析。

图 7-1

交换机1:在交换机1抓取了二十分钟,并未发现异常情况与流量突发。

交换机2:抓取短短十秒钟的数据包,就发现了网络中存在的问题,如下图所示。

图 7-2

不难看出,短短十秒钟的总流量达到了272MB,基本全部是512-1023字节的数据包,并且TCP同步包达到了50余万个,没有收到任何的TCP同步确认包,存在明显的异常情况。

图 7-3

查看TCP会话,发现所有的TCP会话行为一致,全部是X.X.81.2向X.X.227.102的80端口发送TCP数据包。

图 7-4

数据包的同步位(SYN)置1,SYN数据包是TCP/IP建立连接时使用的握手请求数据包,不应存在任何应用层数据。但是在上图中看到该数据包中还有512字节的HTTP数据,并且数据内容全部为0,该数据包为明显的伪造数据包。

因为数据包被伪造成互联网地址,所以会通过互联网出口向外发送。由于本网络互联网出口为20Mbps,而伪造数据包却达到了261Mbps,明显超过了最大处理能力,此时内网主机在访问互联网时就会出现连接十分缓慢,甚至不能访问互联网的情况。

7.2.2 问题定位

查看MAC地址我们得知发送大量数据包的MAC地址为x:x:x:3F:11:57,如下图所示。

图 7-5

掌握了发起攻击的MAC地址后,通过查看交换机MAC地址表,可以找到相应端口,如下图所示。

图 7-6

该MAC地址对应的交换机2端口为G1/0/18口,通过断掉该接口的方式来排查,断掉该端口后网络恢复正常,能够正常流畅的浏览网页。

 

7.3 分析结论

 

科来网络分析工程师排查发现交换机2的G1/0/18接口发送大量互联网地址伪造数据包,其通过大量发送此类数据包堵塞网络的互联网出口,达到攻击的作用。而G1/0/18接口为邮件网关连接端口,建议用户联系邮件网关设备厂商,对设备进行问题排查。

 

7.4 价值

 

通过本案例,可以了解到网络分析技术不仅能快速发现网络中的异常流量,还能透析异常流量,找到产生问题的根源,从而快速、准确的进行故障定位,减小异常数据对网络的危害。管理者需要通过对数据包的分析,获得真实的数据。

免费测试申请及购买咨询

您的名字 :

您的手机 :

您的邮箱 :

公司名称 :

您的职位 :

公司地址 :

网络规模 :

购买用途 :

补充留言:

陕西快乐十分