基于NetFlow的网络流量采集技术和应用
netflow analyzer原理
netflow analyzer原理NetFlow Analyzer是一种用于网络流量分析的工具，可以帮助网络管理员监控和管理网络流量。
它的原理是通过收集和分析网络设备上的NetFlow数据，提供实时的流量统计和分析报告。
NetFlow是一种由思科开发的网络流量记录和分析技术，它可以在网络设备上捕获流经设备的数据包，并将相关信息记录下来。
这些信息包括源IP地址、目的IP地址、源端口、目的端口、协议类型、数据包数量、数据包大小等。
NetFlow Analyzer通过解析这些信息，可以得到关于网络流量的详细信息，包括流量的来源、目的地、协议、端口等。
NetFlow Analyzer的工作原理可以分为三个主要步骤：数据收集、数据分析和报告生成。
首先，它通过与网络设备进行通信，收集和获取NetFlow数据。
这些数据可以通过网络设备上的NetFlow功能或者通过配置路由器、交换机等设备来获取。
一旦数据被获取到，NetFlow Analyzer会对这些数据进行解析和分析。
在数据分析阶段，NetFlow Analyzer会对收集到的NetFlow数据进行处理和分析。
它会根据设定的规则和算法，对流量数据进行分类和统计。
例如，可以根据源IP地址或目的IP地址对流量进行分类，统计每个IP地址的流量量；也可以根据端口号或协议类型对流量进行分类，统计每个端口或协议的流量量。
通过对这些数据的分析，可以得到网络流量的整体情况和特征。
在报告生成阶段，NetFlow Analyzer会根据分析得到的结果生成报告。
报告可以以图表、表格等形式展示，并提供详细的统计数据和分析结果。
这些报告可以帮助网络管理员了解网络的使用情况，发现异常流量和网络瓶颈，并采取相应的措施进行优化和改进。
NetFlow Analyzer的原理和功能使其成为网络管理和安全监控的重要工具。
通过实时监控网络流量，可以及时发现和解决网络问题，提高网络的性能和可靠性。
网络流量分析NetFlow协议解析
网络流量分析NetFlow协议解析网络流量分析在网络安全和性能监控中起着重要的作用。
而NetFlow协议作为其中一种流量分析的关键工具，在网络管理领域中被广泛应用。
本文将对NetFlow协议进行详细解析，介绍其原理、功能和应用。
一、NetFlow协议简介NetFlow协议是由思科公司于1996年推出的一种网络流量分析技术。
它能够提供流量统计、流量分析和流量监控等功能。
NetFlow协议通过在路由器和交换机上收集、处理和导出流量数据，为网络管理员提供实时的流量信息和网络性能的评估。
二、NetFlow协议的工作原理NetFlow协议的工作原理可以分为三个阶段：数据收集、数据处理和数据导出。
1. 数据收集在网络中的路由器和交换机上，通过配置使其能够将经过设备的流量数据进行收集。
NetFlow支持两种收集方式：Full Flow和Sampled Flow。
Full Flow是指完整地收集每一个流量数据进行处理；Sampled Flow是指以一定的频率采样流量数据进行处理，减少处理开销。
2. 数据处理收集到的流量数据会经过设备内部的处理引擎进行处理。
处理引擎会提取关键信息，如源IP地址、目的IP地址、源端口、目的端口、协议类型等，并基于这些信息生成流记录。
3. 数据导出处理后的流记录会根据配置的规则进行导出。
导出方式有两种：NetFlow v5和NetFlow v9。
NetFlow v5是早期版本，具有广泛的兼容性；NetFlow v9则是最新版本，支持更多的字段，并且具有灵活的配置能力。
三、NetFlow协议的功能NetFlow协议具有以下几个主要功能：1. 流量统计NetFlow可以对流量进行实时统计，包括流量量、带宽利用率、流量峰值等。
这些统计数据可以帮助网络管理员了解网络的负载情况，有助于进行容量规划和性能优化。
2. 流量分析通过对收集到的流量数据进行分析，NetFlow可以帮助管理员发现网络中的异常情况和潜在安全威胁。
基于Netflow技术的互联网流量流向的分析与研究
随着宽带互联 网应用的普及 ，互联 网用户数量在 不 断增加 ，各个领域 的应用也在逐步深入 ，网络规模 持续扩 展， 网络流量 高速 增长。尤其是Ｐ Ｐ ２ 技术产生
以来 ，互 联 网 网络 流 量 激 增 ，对 网 络 的 处理 能力 提 出
网流量分析系统 ，以互联网流 量数据 为分析对象 ，实 现 以下功能：（） １精确判 断流量归属地 ；（） ２精确统计流 量类型；（ 精确区分流量成分；（） ３ ） ４以天为单位，对某
术能对￣／ Ｌ 网络的通信流量进行详细的行为模式分 ＭＰ Ｓ 析和计量，并提供 网络运行的详细统计数据 。
一
天的流量及 以天为周期单位的时间段产 生的流பைடு நூலகம்进
了更高 的要求 。同时 ，要合理、有效地疏导流量 ，必 须对 网络流量进行科学、细致 的分析 ，通过流量分析 可 以有效地总结出 网内、网外 流量比例 ，各 区域用户 产生 的流量大小 ，进而对用户 使用 习惯 、各类应用带 宽消耗情况等进行分析 ，从而可 以对 不同区域用户使 用 习惯 、网内资源建设方 向等进行有效 的指导 。不仅 要依据数据 的 目的地址去疏导流量，还要 明晰流量 的 来源和成分 ，区分流量类型， 以精确地计算成本 ，合 理分配Ｉ 地址数量和流量 占用 带宽，使流量 管理更加 Ｐ
Ｎ ｔｏ ｅ ｗ技术最早 由Ｃｓｏ ｌ ｆ ｉ 公司研发 ，首先被用于网 ｃ 络 设备对数据交换进行加速 ，并可同步实现对 高速转 发的 数据流进行测量和统计。经过多年 的技术演进 ， Ｎ ｔｏ ｅｆ ｗ对流经网络设备 的Ｉ数据流进行测量和统计 的 ｌ Ｐ 功能更加成熟 ，并成为当今互联网领域公认 的最主要
利用NETFLOW技术实现网络流量监测
Ｊａ Ｇ ａ Ｉ ｕ ｎ—ｘｎ ｉ
捆 ０ 鲁
本 文提 出 了利用 Ｎ ｔｌ ｅＦｏ ｗ技 术实现 网络流量检测的可行 方案 ， 讨论 了接 收 Ｎ ｔｌｗ流数据 并对流数据 实 ｅ ｏ Ｆ 现汇聚的具体 实现 以及如何存储流数据并对其进行检 索和检索的优化方案 。最后提 出了对流数 据查询
流记录 的长度是 固定 的， 于检索。 便
定 的源到 目的端 的单 向的一系列数据包 ， 它使用 源和 目的端 点的 Ｉ Ｐ地址和传输层端 口号 、 协议类 型 、 服务类 型以及输 入 接 口等来标 记网络流。 Ｎ ｔｌ ｅＦｏ ｗ的数 据输 出要 求 先在 路 由器和 交换 机 上 定 制
１ 引 言
网络流量监测是 网络 管理 和系统 管 理的一 个重 要组成 部分 ， 网络流量数据为 网络的运 行和维 护提供 了重要 信息 。 这些数据对 网络 的资源分布 、 容量规划 、 务质量分 析 、 服 错误 监测 与隔离、 安全管理都十分重要 。Ｎ ｔｌ ｅＦ ｗ是 Ｃｓｏ公 司的 ｏ ｉ ｃ 专有技术 ，广泛应 用 于 Ｃｓｏ的路 由器 和交 换 机 中。 由于 ｉ ｃ
端 口（４ ５ 、 ３ ３ ）协议类型 （７ …等流数据信Ｎ ｔｌ ｅ ｏ Ｆ ｗ流数据的采集 主要 涉及 两个 方面 ： 数据 的接 流 收和流数据汇 聚。前者 负责把 Ｎ ｔｌ ｅＦｏ ｗ流 数据 Ｕ Ｐ数 据包 Ｄ
接收到缓冲 区； 后者 对流数 据进 行 简单 的预处理 ， 以减少流
数据的数量 ， 提高 系统性能 。 ３ １ 接收 Ｎ ｔｌ ． ｅ ｏ Ｆ ｗ数据 Ｎ ｔｌ ｅ ｏ Ｆ ｗ数据采集程序 可采 用 双线程 的结 构 ： 收数据 接
２ ＮｅＦｏ ｔｌｗ概 述
网络管理中流量采集技术的应用
对于一个有效的网络管理系统来说，管理功能的实现都 或多或少的依赖于网络流量信息的获取。因此网络流量信息 采集可以说是网络管理系统得以实现的核心。无论是流量费 用统计还是用来分析、预测网络运行状况，对于原始数据的 可靠性和完整性的要求都是比较高的。使用一种较为合理的 网络流量采集技术，不仅使所采集的原始数据较为准确、完 整，而且对网络上相关设备的影响较小。目前有 4 种常用的 方法用于网络流量数据的采集分析：
为了同时保证静态数据的完整性和机密性，可以先对保 护对象进行加密处理，然后同样按照上述方式对其完整性进 行保护。为此，保护系统只需要增加相应的加密/解密子系统 即可。
参考文献
[1]张千里,陈光英.《网络安全新技术》.北京：人民邮 电出版社，2003 年
[2]李克洪,王大玲,董晓梅.《实用密码学与计算机数据 安全》.沈阳：东北大学出版社，1997 年
(1)基于侦听网络数据包的包分析模式； (2)基于路由器 MIB 库的 SNMP 代理模式； (3)基于安插网络探针（PROBE）技术的 IP 流量数据捕获 形式； (4)基于网络数据流(NETFLOW)技术的数据流捕获形式。 前两种是比较传统的方法。基于侦听网络数据包的包分析模 式的优点是：容易实现。缺点是：a.工作站设备的浪费；b 增加网络的故障点,c.只能得到有关网络流量大小的信息，但 是无法提供流量中有关应用类型的信息。基于 SNMP 的网络信 息采集系统的优点是：可以有效地解决包监听模式的缺点。 缺点：a.采集的网络流量数据没有经过任何处理，因此对数 据采集数据库的性能要求很高，相应的对机器硬盘空间的要 求也很高；b.对网络带宽造成一定的损耗;c.对路由器的 CPU 和内存资源占用较大；d.由于记录很多，因此选择一个好的 采集间隔就比较困难，而且随着网络使用情况的变化，该间 隔可能会不适用，从而导致数据的丢失。第三种技术出现较 晚，虽然技术先进，但由于其实现依赖于固定厂家的专有设 备，故具有一定的限制性。 下面介绍一种新的网络流量数据采集方法，也就是基于 网络数据流技术的数据流捕获形式。它可以有效地解决传统 采集方式中存在的缺点，并且提高网络使用的效率，减轻路 由器的负载情况，也就是在路由器上配置 NetFlow，通过配 置的 NetFlow 数据输出 UDP 来进行网络信息采集。
基于netflow的网络流采集设计
２０ ０ ８年 第 ２期
福
建
电
脑
２ ５
基 于 ｎ ｔｏ ｅ ｗ的 网络 流 采 集 设 计 ｎ
张梅琼 ．林锦贤
（福 州 大 学 数 学 与 计 算 机 科 学 学 院 福 建 福 州 ３ ０ ０ ） ５０２
【 摘
要】 ：本 文利 用 ｎ ｔｏ ｖ／ ｆ ｅ ｗ ９ｉｉ ｌ ｆ ｐ ｘ对 网络流采集进行设计 ， 介绍并分析 了该 系统的设计模型 与具体 实现 方案 。
【 关键词 】 流量采集 ； ｖ／ ｖ ： ｉ ４ｉ ６融合 网络 ； ｅＦｏ ｐ ｐ Ｎ ｔｌｗ
１ 言 ．引
本 系 统 在 Ｎ ｔｌ ９ｉ ＇ 属性 集 的基 础 上 设 计 并 实 现 了 ｅＦｏ ｖ／ ｆ ｗ ｐｔ ｘ流
随 着 网 络 技 术 的不 断 进 步 以 及 网 络 用 户 的 日益 增 加 ． ｖ 融 合 流 的流 输 出模 型 。该 模 型 包 含 的 具 体 字 段 以及 相 关 字 段 描 ｉ４ ｐ 所 协 议 的 地址 空 间 已经 无 法 满 足 发展 的 要求 。采 用 ｉ ６协议 可 以 述 如 表 １ 示 。 ｐ ｖ 扩 大 地 址 空 间 ， 时为 增 加 ｉ 络 的 安 全 性 和提 高 网 络 服 务 质 同 ｐ网 量 提供 有 力 的手 段 。 因此 ， 长远 来 讲 ， 用 ｉｖ 技 术 来 组 建 互 从 利 ｐ６ 联 网 的承 载 网具 有 很 好 的技 术 前 瞻 性 和 广 阔 的应 用 前 景 。 是 ， 但 完 全 利 用 ｉｖ ｐ ６来 取 代 现 有 的 ｉｖ ｐ４技 术 是 一 个 非 常 困难 和 复 杂 的 问题 这 个 问 题 不仅 影 响 到 网络 层 技 术 ． 实上 由 于 网络 层 协 事 议 发生 变 化 。 会 影 响 到 从 应 用 层 到 链 路 层 的 技 术 变 化 。 因 此 ， 也
基于NetFlow的网络流量采集系统设计
（ ． ｏｅｅｏ ｏ ｐ ｔ ｃ ｎｅａｄ Ｔｃｎｌ ｙＢ ｒｎ ｎｖｒｔ ｏ Ｔｃｎｌ ｙ Ｂ ｉｎ ０ ０ ２ Ｃ ｉ １Ｃ ｌｇ ｌ ｆＣ ｍ ｕ ｒ ｉ ｃ ｎ ｅｈｏｏ ， ｅｉｇＵ ｉ ｓｙｆ ｅ ｏ ｏ ，ｅｉ １０ ２ ，ｈｎ ｅＳｅ ｇ ｅ ｉ ｈ ｇ ｊｇ ａ；
２ Ｌｂａｙｏ Ｎ ａ ｈｎ 疵 ｅ Ｓｉ ｅａ ｅ ｎｌ ｙＢ ｎ ０ ６ １ Ｃ ｉ ） ． ｉ ｒ ｏ ｈＣ ｉ ｒ ｆ ａ ｃ ｎ ｎ Ｔｃ ｏ ｇ ，ｅ ｇ １１０ ，ｈｎ ｆ ｏ ｅ ｃ ｄ ｈ ｏ ａ
ｄ ｓｇ ｎ ｃ ｌ ｃｉ ｇ ｄ ｔ ｆＮｅＦｌｗ． ｅ ｉ ｎ ｏ ｏ ｌ ｔ ａａ ｏ ｔ ｏ ｅ ｎ
Ｋｅ ｒ ｓ： ｔ ｌ ｗ ； ｏ ｃ ｌｅ ｔｏ Ｔ ａ ｃ Ｍ ｏ ｔｒｎｇ； ｙ ｗｏ ｄ ＮｅＦ ｏ Ｆｌｗ ｏｌ ｃｉｎ； ｒ ｆ ｎｉ ｉ ｉ ｏ Ｍｕｌ ｔ ｔｒａ ｉ— ｈ ｅ ｄ
Ｆｕｄ 、ｘ ｅ ｅ 的支持 。国内华为推出的 Ｎ ｔ ｏｎｒ Ｅ ｔ ｍ 等） ｙ ｒ ｅ — Ｓ ｅｍ技术 与 Ｎ ｔｌ ｔａ ｒ ｅ ｏ Ｆ ｗ技术 兼 容 。
２ ２ Ｎ ｔｌ ． ｅ ｏ Ｆ ｗ技术 原理
单 网络管 理协议 ）基 于包 嗅探 和基 于 Ｆｏ 流 ） 、 ｌ ｗ（ 等几
第 ２期
２１ ０ ０年 ４月
微
处
理
机
NetFlow流量采集与存储技术的研究实现
了 多线程 与 双链表 的 Ｎ ｔ ｏ 据 采集机 制 ， 效提 高 了数 据采 集 效率和 可 靠性 。 此外 ， 存储 原 始 Ｎ ｔ ｏ ｅｌ Ｆ ｗ数 有 在 ｅｌ Ｆ ｗ数
据 的基础 上 ， 计 了一 套 Ｎ ｔｌｗ流量 的三级 聚合 和存 储 方案 。基 于此 方 法 可对 纷繁 复 杂 的原 始 流量 的数据处 理进行 研究 。这
里 的高速大流量 网络环 境是 指有 １０—５０ Ｍｂｓ左右 的实 际 ０ ０ ｐ
流 量 和 几 十 万 台 活 动 主 机 的 网 络 。本 文 所 测 试 的 网 络 环 境 是
某部委 的核 心骨干 网， 网络具有 ２０Ｍｂ ｓ 该 ０ ｐ 左右 的实 际流量 ， 且 网络 中的交换设备 绝大多数 都是 Ｃｓｏ 由器 ， 于笔者采 ｉ 路 ｃ 便
有 效整理 ， 前端 静 态、 态流 量 分析提 供合 理 高效 的数 据 支持 。 为 动 关键 词 ：Ｎｔｌ ； ｅ ｏ 流量 采 集 ； Ｆｗ 双链表 ； 流量 聚合 ； 间粒度 时
中 图分 类号 ：Ｔ ３ ３ ０ Ｐ ９．９ 文献 标志 码 ：Ａ 文章编 号 ：１０ —６ ５ ２ ０ ）２ ０ ５ —３ ０ １ ３ ９ （０ ８ ０ ５ ９ ０
维普资讯
第２ ５巷 第 ２期 ２０ ０ ８年 ２月
计 算 机 应 用 研 究
Ａｐ ｌ ａ ｉ ｎ Ｒｅ ｅ ｒ ｈ ｏ ｍｐｕｅ ｓ ｐ ｉ ｔ ｓ ａ ｃ ｆＣｏ ｃ ｏ ｔ ｒ
Ｖｏ ． ５ Ｎｏ ２ １２ ．
Ｆ ｂ ２ ０８ ｅ． ０
Ａｂｓｒ ｃｔ Ａ ｅｗｏ ｋ ｔａｆｃ ｄ ｔ ｏｌ ｃｉ ｎ ａ ｄ ｓｏ ａ ｅ ｓ ｌ ｉｎ ｂ ｓ ｄ ｏ ｔ ｌｗ ｓｐｒ ｓ ｎ ｅ ｔａ ： ｎ ｔ ｒ ｒｆｉ ａａ ｃ ｌｅ ｔｏ ｎ ｔｒ ｇ ｏｕｔ ａ ｅ ｎ Ｎｅ Ｆ ｏ ｗａ ｅ ｅ ｔ ｄ。ｗｈ ｃ ｓｕ ｅ ｏ ｓ ｌ ｅｔ ｅ ｏ ｉ ｈｗａ ｓ ｄ ｔ ｏ ｖ ｈ ｐ ｏ ｅ ｏ ａ ｇ ｒ ｆｃｄａａ ａ ａｙ ｉ ａ ｓ ｄ ｂ ｉ ｈ ｓ ｅ ｅｗｏ ｋ、 Ｂｙ ｕ ｉ ｇｍ ｕ ｔ—ｈ ｅ ｄ ｐｒ ｇａ ｍｉ ｅ ｈ ｉ ｕ ｎ ｏ ｂｌ— ｒ ｂｌｍ ｆｌｒ ｅ ｔａ ｉ ｔ ｎ ｌｓｓｃ ｕ ｅ ｙ ｈ ｇ —ｐｅ ｄ ｎ ｔ ｒ ｆ ｓｎ ｌｉｔｒ ａ ｏ ｒｍ ｎｇｔ ｃ ｎ ｑ ｅ ａ ｄ ｄ ｕ ｅ ｌｓｓｃ ｃ ｅ ｓｒ ｃ ｕ ｅ。ｔ ｅ ｅｆｃｉｎ ｙ ａ ｄ ｄｅ ｅ ｄａ ｉｉｙ ｏ ｔ ｏ ｄ ｔ ｏ ｌｃｉ ｎ ｃ ｕ ｄ ｂｅｅ ａ ｃ ｄ． Ｆｕ ｔ ｅ ｍｏ ｅ，ａ ｔ ｅ ，ｅ ｉｔ ａ ｈ ｔｕ ｔ ｒ ｈ ｆ ｅ ｃ ｎ ｐ ｎ ｂ ｌｔ ｆＮｅＦｌｗ ａ ａｃ ｌｅ ｔｏ ｏ ｌ ｎｈ ｎ ｅ ｉ ｒｈ ｒ ｒ ｈｒ ｅ ｌ， ｖ ｌａ ｇ ｅ ａｉ ｎ ａ ｄ ｓｏａ ｅ ｍ ｅｈ ｄ ｂ ｓ ｎ ｔ ｅ ｏ ｉｉ ａ ｔ ｏ ｄ ｔ ｓｄ ｓｇ ｅ ｅ ｇ ｒ ｇ ｔｏ ｎ ｔ ｒｇ ｔ ｏ ａ ｅｄ ｏ ｈ ｒｇ ｎ ｌＮｅＦｌｗ ａ ａｗａ ｅ ｉｎ ｄ． Ｂｙ ｔ ｉ ｔ ｏ ｈ ｓｍｅ ｈ ｄ，ｔｅ ｏ ｉｉ ａ ｏ ｏ ｌ ｈ ｒｇ ｎ ｌｆ ｗｓｃ ｕｄ ｌ ｂ ｏ ｅ ｎｄ ｓｍ ｐｉ ｅ ｎｏ ｄｅ ｏｏｆ ｒａ ｒ ａ ｏ ａ ｅ ａ ｄ ｅｆｃｅｎ ａ ａｓ ｐ ｏ ｏ ｔｅ ｆｏ ｔｓａｉ ｎ ｎ ｍｉ ｎ ｌｓｓａ ｐｌｃ ｅ ｓ ｒ ｄ ａ ｉ ｌｆ ｄ ｉ ｒ ｒｔ ｆｅ ｅ ｓ ｎ ｂｌ ｎ ｆｉｉ ｔｄ ｔ ｕ ｐ ｒ ｔ ｈ ｒ ｎ ｔｔｃ ａ ｄ ｄｙ ａ ｃ ａ ａ ｙ ｉ ｐ ｉ ａ ｔ ｉ ｔ
基于Netflow技术的网络流量测量的研究
服务参数 ， 包括 肌 ’ 和丢包 率等。主要 测量 工具有 ：ｉ Ｐ ｇ和 ｎ
Ｔａｅ ｕｅ ｒｃｒ ｔ 命令 ， ｏ 免费工具 Ｎ ｔｅｆ以及 Ｔｅｏ Ｐ ｔｃａ 等 。 ｅｐｒ， ｒｎ 、ａ ｈｒ ｈ
计费 ；． ３ 实现 网络加速 ；． ４ 用于 网络安全性分析 。
维普资讯
第２ ３卷 第 ４期
Ｖ０． ３ １２
ＮＯ． ４
中州大学学报
Ｊ ＯＵＲＮＡＬ ＯＦ Ｚ ＨＯＮＧ ＨＯＵ ＵＮ ＶＥＲＳＴ Ｚ Ｉ ＩＹ
２０ ０ ６年 １ Ｏ月
０ｃ ． ０ ６ ｔ２ ｏ
基于 Ｎ ｔｏ ｅ ｗ技术 的网络 流量测 量的研究 ｌ ｆ
Ｎ ｔｏ ｅｌ ｆ ｗ作 为记 账技术 的先驱 ， Ｃｓｏ最早 提 出并 申请 有 ｉ ｃ 专利 ， 目前其他 厂 商 的路 由和 交换 平 台 中也 内置 有 Ｎ ｔｏ ｅｆｗ ｌ
服务 ， 该服务 提供对快 速 、 和 Ｃ Ｆ交换 路径之 中的网络 最优 Ｅ
数 据流量进行统计功能 ， 统计信息可包 括用户 、 协议 、 口和 端 服务类 型等 。Ｎ ｔｏ ｅｌ ｆ ｗ的 核心 是 利用 了流 （ ｌｗ 的概 念 ， Ｆｏ ） 经
２ ｅ ｌ 的 交换 特 点 及 工 作 原 理 ．２Ｎ ｔＯ ｆＷ
在被动测量方式 中 ， 录网络 活动的探 针被接人到 网络 记 中， 在大多数情况下接 到网络节 点之 间 的连 接上 ， 总和记 汇
收 稿 日期 ：０６一 ３—１ ２０ Ｏ ７
在 Ｎ ｔ ｗ交 换 中创建 一个信 息流 高速 缓存 ， 含对所 ｅｌ ｆ ｏ 包
深入 的了解 ， 并且在此基础上 能够 提供高速度 、 高质量 、 可靠
s03-流量分析技术-netflow
3-23
NetFlow的应用
• IDS and analysis – 异常流量检测 – 异常流量分析
• Top N • 模式匹配 • TCP标志位 • ICMP • 基线
IP网络流量分析
3-24
异常追踪
• • •
Source IP Source AS DDos
– – – – –
强调traceback，not defense 与backscatter相比，到dst的网络不中断！ 选择性切断 Ifindex - spoof ip Octets with same size
期的flow记录以UDP方式导出
IP网络流量分析
3-5
NetFlow原理－2
IP网络流量分析
3-6
支持NetFlow的设备
NE系列
IP网络流量分析
3-7
对于不支持netflow的设备
• • • •
读入流量，生成netflow数据 Nprobe v5/v9/nFlow Probe for IPv4/v6 Packet Size (Bytes): Throughtput (Pkt/sec)
– 55888为服务端口号
IP网络流量分析
3-30
NetFlow配置－3
• 配置Cisco系列路由器/交换机
– 每个接口上,例如
• interface fastethernet0/0
• interface fastethernet0/1
– config全局状态下： – (config-if)#ip route-cache flow
IP网络流量分析
3-19
Flow tools
IP网络流量分析
基于NetFlow记录的高速应用流量分类方法
陈 亮 Ｌ，龚俭 ，
（．东 南大学 计算 机科 学与 ．Ｅｆ１ ，江 苏 南 京 ２ ０ ９ ；２ 江 苏省 计算 机 网络技 术重 点实 验室 ，江 苏 南 京 ２ ０ ９ ） １ － １ ， －９ ｒ ２ １０６ １ ０ ６
摘
要 ： 针 对 目前 应 用 流 量 分 类 算 法 效 率 不 高 的现 状 ，提 出一 种 以 Ｎｅ ｌｗ 统 计 的 Ｉ 流 记 录 信 息 作 为 输 入 的 高 ｔｏ Ｆ Ｐ
Ａ ｂｓｒ ｔ ｎ ｏ ｄｅ ｏ ｉ ｐｒ ｖｅｔ ｅ ｐ ｒｏｒ ａ ｃ ｎｄ ｒ ｄ ｅｔ ｅ ｒ ｓ ｕｒ ｅ ａ ｅ ｏ ｐ ｉ ａｉ ｎ—ｅ ｅｌ ｒ ｆ ｃ ｃａ ｓｆｃ ｔｏｎ ｔ ａｃ ：Ｉ ｒ ｒｔ ｍ ｏ ｈ ｅ ｆ ｍ ｎ ｅ ａ ｅ ｕｃ ｈ ｅ ｏ ｃ ｓｕｓ ｇ ｆａ ｐｌｃ ｔｏ ｌｖ ａ ｔ ｉ ｌｓ ｉ ａ ｉ ，ａ ｉ
速 应 用 流 量 分 类 （Ａ Ｃ ｆｓａｐｉａ ｏ — ｖ ｌｒｆｃｃ ｓｉｃｔ ｎ算法 。 算 法 采 用 基 于 简 单 相 关 系 数 的测 度 选 择 算 Ｆ Ｔ ，ａｔ ｐ ｌ ｔ ｎｌ ｅ ｔ ｉ ｌ ｓ ａｉ ） ｃ ｉ ｅ ａ ａ ｆ ｏ ｉ 该
法衡量测度变量间的相关关系 ，删除对分类无用或相互冗余的测度 ，而后 使用基于 Ｂ ｙ ｓ ａ ｅ 判别法的分类算法将网
基于NetFlow流量行为分析的网络异常检测
基于NetFlow流量行为分析的网络异常检测随着网络攻击方式和手段的不断升级与进化，保障网络环境和网络安全已成为当今网络世界中非常重要的一个议题。
在网络安全领域中，网络异常检测技术是一项非常重要的技术。
它能够在网络中检测到各种异常活动，提供更加安全的网络环境，保护网络资源和用户隐私。
其中，基于NetFlow流量行为分析的网络异常检测技术成为了一种非常有效的检测方法。
NetFlow是一种广泛使用的网络数据采集技术，它能够实时采集和分析网络流量数据，为网络管理员提供网络性能和安全问题的详细信息。
NetFlow采集到的数据中包括源IP地址、目的IP地址、源端口、目的端口、协议类型和数据包大小等信息，这些信息能够反映出网络流量和网络连接的实时情况。
基于NetFlow流量行为分析的网络异常检测技术通过对流量数据进行分析，识别各种恶意活动或异常行为，从而提高网络安全性。
具体来说，这种技术主要通过以下步骤实现：第一步，收集NetFlow数据。
该技术会收集并存储网络数据流量的所有信息，这些信息包括源IP地址、传输协议、数据包大小、数据流方向等。
第二步，数据处理。
该技术会将NetFlow数据进行预处理，以便检测网络中可能存在的异常事件。
这个过程通常包括数据清洗、数据筛选、数据转换和数据聚合等操作。
第三步，异常检测。
经过数据处理之后，就会进入到异常检测的阶段。
对于每一个网络连接或流量数据，基于NetFlow流量行为分析的网络异常检测技术会对其进行大量的特征提取和分析，以便判断它是否是正常的网络流量还是恶意活动。
第四步，告警和反应。
如果发现某个连接或流量数据异常，该技术会发出相应的告警信息，以便网络管理员能够采取必要的反应措施，保障网络安全。
综上所述，基于NetFlow流量行为分析的网络异常检测技术在网络安全领域中非常有价值。
它能够检测到各种网络异常活动，从而保护网络资源和用户隐私。
该技术将会在未来发挥更加重要的作用，促进网络安全的发展成熟。
基于NetFlow的流量分析监测系统的设计和实现
本文研 究 了一个 基于 Ｎ ｅ ｔ Ｆ ｌ ｏ ｗ技 术 的流量 分析 监 要 有 Ｎ ｅ ｔ Ｆ ｌ ｏ ｗ Ｖ ｅ ｒ ｓ ｉ ｏ ｎ Ｖ１ ， Ｖ ５ ， Ｖ ７ ， Ｖ ９等 版 本 ， 其 中
测 系统 ， 系统 通 过采集 网络数 据 来监 测 分析 网络 的流 Ｎ ｅ ｔ Ｆ ｌ ｏ ｗ Ｖ ｅ ｒ ｓ ｉ ｏ ｎ ５是 常见 的 Ｎ ｅ ｔ Ｆ ｌ ｏ ｗ数 据 格式 ，其 具 量， 通 过 对 其 进 行统 计 和 计 算 ， 从 而 得 到 网络 及 其 主 体格式 如 下 （ 见 图 １说 明） 。
…
…
…
一
…
…
…
～
～
雩
… …
基于 Ｎ ｅ ｔ Ｆ Ｉ ｏ ｗ的流量分析监测 系统 的设计和 实现
王 晓 坚
（ 中邮科通信技术股份有限公 司 福建 福 州 ３ ５ ０ ０ ０ １ ）
【 摘 要】 本文通过对 目 前几种主流的流量数据采集技术的分析和比较 ， 设计 了一个基于 Ｎ ｅ ｔ Ｆ ｌ ｏ ｗ
采集 工作 站采 用 Ｌ Ｉ Ｎ Ｕ Ｘ 操作 系 统 ，使 用第 三 方
实现， 是业 务 的代 理和 整合 层 ； 数 据 管理 是第 三 层 ， 主 工 具 Ｆ ｌ ｏ ｗ — ｔ ｏ ｏ ｌ ｓ 做为前 置 处理工 具 ，对采 集 到 的原始
网络流量分析的工具与技术
网络流量分析的工具与技术网络流量分析是指对网络传输过程中产生的数据流进行收集、分析和解读的过程。
在当今数字化时代，网络流量分析不仅对企业和组织的网络安全非常重要，也对网络性能优化和用户体验改进具有重要意义。
本文将重点介绍网络流量分析的工具和技术，帮助读者了解如何有效地分析和利用网络流量数据。
一、网络流量分析工具1. Wireshark：Wireshark 是一款免费的开源网络协议分析工具，它能够通过捕获网络数据包并对其进行解析，帮助用户深入了解网络协议的运行机制和数据流动情况。
Wireshark 提供了丰富的过滤和分析功能，可用于检测和排查网络故障、安全漏洞等问题。
2. tcpdump：tcpdump 是另一个强大的网络流量分析工具，它能够捕获和显示经过指定网络接口的数据包。
tcpdump 提供了灵活的过滤语法，使用户可以根据各种条件筛选感兴趣的数据包进行分析。
它可以运行在各种操作系统上，非常适合用于网络故障排查和入侵检测。
3. NetFlow Analyzer：NetFlow Analyzer 是一款商业化的网络流量分析工具，它能够监视、报告和分析实时网络流量情况。
NetFlow Analyzer 可以收集网络流量数据，并提供清晰的图表和报告，帮助用户了解网络中的流量模式、优化带宽利用和识别异常活动。
二、网络流量分析技术1. 深度包检测（DPI）：深度包检测技术通过彻底解析数据包中的各个字段和特征信息，包括源IP地址、目标IP地址、协议类型、应用层协议等，从而能够更全面地分析和识别流量数据。
DPI 技术在网络安全领域广泛应用，可以检测和阻止恶意软件、网络攻击和数据泄露等威胁。
2. 数据包捕获与分析：这是网络流量分析的核心技术之一。
数据包捕获技术可以通过在网络设备上设置监听器或使用专用的捕获工具（如Wireshark和tcpdump）来获取网络中的数据包。
数据包分析技术则通过对捕获到的数据包进行解析、过滤和统计，获得有关流量特征、应用使用和性能状况等信息。
一种netflow流量还原的方法及装置
一种netflow流量还原的方法及装置NetFlow流量还原是一种用于分析网络流量的方法，通过对网络数据包进行捕获和解析，可以还原出网络流量的相关信息。
本文将介绍一种基于NetFlow的流量还原方法及其相应的装置。
NetFlow是一种网络流量监测和分析技术，它可以提供关于网络流量的详细信息，包括源IP地址、目标IP地址、端口号、协议类型等。
基于这些信息，我们可以还原出网络流量的原始状态，从而进行进一步的分析和处理。
在流量还原的过程中，我们需要使用一种专门的装置，即NetFlow 收集器。
该装置可以通过监测网络设备上的数据包，并提取其中的关键信息。
通过对这些信息的分析和处理，我们可以还原出网络流量的各个方面，如流量的来源、目的地、传输协议等。
为了实现流量还原，我们需要采取一系列的步骤。
首先，我们需要配置网络设备，使其能够生成NetFlow数据。
这些数据将被发送到NetFlow收集器进行处理。
收集器将对数据进行解析，并提取出关键信息，如源IP地址、目标IP地址等。
接下来，我们可以使用一些分析工具对这些信息进行进一步的处理。
例如，我们可以使用流量分析工具来统计流量的数量和流量的分布情况。
我们还可以使用流量监测工具来检测网络中的异常流量，并采取相应的措施进行处理。
除了基本的流量还原，我们还可以进行更加深入的分析。
例如，我们可以使用流量还原技术来检测网络中的安全威胁。
通过分析流量的特征和行为模式，我们可以识别出潜在的攻击者，并采取相应的防御措施。
NetFlow流量还原是一种有效的网络分析方法，可以帮助我们了解网络流量的特征和行为。
通过对网络流量的还原和分析，我们可以更好地理解网络的运行情况，并采取相应的措施来提高网络的性能和安全性。
希望本文对读者对NetFlow流量还原方法及装置有所了解，并能在实际应用中发挥作用。
Netflow网络流量分析技术及在局域网上的应用
・
１ ８・
兰 州 工 业 高 等 专 科 学 校 学 报
第ｌ ９卷
２ Ｎ ｔｏ 技 术 ｅｆ ｗ ｌ
Ｎ ｔｏ ｅ ｗ技 术 是 思 科 公 司研 究 开 发 的 ， 于 对 ｌ ｆ 用
服 务器 端 ， 另外一 笔 随着纪 录从服 务器 端连 回到 客 户端． 网络设 备 通 过 以 下 ７个 元 组 来 区 分 每 一 笔
１ １ Ｎ ｔｔ ａ 分 析技 术 ． ｅＳ ｒ ｍ ｅ
本 流量分 析技 术对数 据抓 包 、 析 和统计 等功 分 能 是在 以 网络“ 探针 ” 的基 础之 上 以硬 件 的方 式 实
现 的 ， 后分 析 的结 果存 储在 探针 的 内存 或磁 盘之 最
Ｎ ｔｔ ａ 是 华 为 公 司开 发 的 技 术 ， ｅＳ ｅｍ ｅ ｒｍ Ｓｅ Ｎ ｔｔ ａ ｒ
的实 际应用 版本 ． ２ １ Ｎ ｆｏ 技术 原理 ． ｅ ｌ ｗ
息 整合 到对应 的 Ｆｏ 记 录 中 ， 果找 不 到数 据 包 ｌ ｗ 如
对 应 的 Ｆｏ ｌｗ记 录 ， 产生 一个新 的 Ｆｏ 便 ｌ ｗ记 录来 储
存 相关 的流量 信 息 ． 何 判 断 两 个 Ｆｏ 如 ｌ ｗ是 否 属 于 同一个 流 ， 判 断 两个 流 ７元 组是 否 都 相 同 ， 则 都
ｌｏ ｂ ｃ ｏ ｐ ａ ｋ０
输 入 接 口 编 号
输 入 接 口 编 号
数 据流 中数 据 包 的数 量
累 计 字 节 数 数 据 流 开 始 时 间 数 据 流 结 束 时 间
源端 口 目的端 口
／ Ｌ ｏ ｂ ｃ 址作 为路 由器 所 有 输 出流 量 的 ／ ｏ ｐ ａｋ地
Ｃ ｌ ｃｏ ） ｏｌ ｔ ｒ ［ ｅ
网络流量分析NetFlow协议详解
网络流量分析NetFlow协议详解网络流量分析一直是网络管理和安全领域的重要任务之一。
通过分析网络流量，我们可以获取有关网络设备、流量模式和潜在威胁的宝贵信息。
而NetFlow协议正是一种流量分析机制，可以帮助我们实现这一目标。
一、NetFlow概述NetFlow是一种网络协议，由思科公司于1996年提出并推广。
它能够实时地收集和分析网络流量数据，帮助网络管理员监测和管理网络的性能、安全和流量负载。
二、NetFlow的工作原理NetFlow的工作原理非常简单，它通过捕获网络设备转发的流量数据，并将其转化为可分析的格式。
具体而言，NetFlow将捕获到的流量数据分为数据包头部和统计信息两部分进行存储和分析。
1. 数据包头部NetFlow会捕获网络数据包的源IP地址、目的IP地址、源端口、目的端口以及协议类型等关键信息。
这些信息对于识别网络中的流量来源、目的地以及协议类型非常重要。
2. 统计信息除了数据包的关键信息外，NetFlow还会统计每个会话的其他关键指标。
比如，数据包数量、传输速率、流量持续时间以及平均数据包大小等。
这些统计信息对于网络管理员来说非常有价值，可以帮助他们识别网络中的异常活动、确定流量瓶颈以及进行容量规划。
三、NetFlow的应用场景NetFlow协议在网络管理和安全领域有着广泛的应用场景。
下面，我们将重点介绍其中的几个方面。
1. 网络容量规划通过分析流量数据，NetFlow可以提供有关网络容量规划的信息。
它可以帮助管理员识别网络中的高峰和低谷时段，进而合理规划网络的带宽和硬件资源。
2. 安全威胁检测网络安全是当今互联网世界中不可忽视的重要问题。
NetFlow可以帮助管理员及时发现和识别网络中的潜在安全威胁，比如DDoS攻击、端口扫描和恶意软件传播等。
通过分析流量数据，管理员可以实时监测网络并采取相应的安全措施。
3. 业务分析和优化除了容量规划和安全威胁检测外，NetFlow还可以用于业务分析和优化。
利用思科Netflow技术进行IP网流量和流向分析--深入浅出的巨牛的Netflow资料!!
利用Cisco Netflow技术进行IP网流量和流向分析IP网流量管理面临的挑战随着宽带互联网在中国的迅速发展，中国各大电信运营商的网络规模都在不断扩张且网络结构日渐复杂。
为了更好地服务企业客户，及时了解自身网络的负载状况和重要业务的带宽占用率；准确计量国际国内运营商间、骨干网/城域网间通信流量和业务类型；正确规划和评估网络扩容、升级等目的，电信运营商需要能对网络和其承载的各类业务进行及时、准确的流量和流向分析。
国内电信运营商当前的网络流量管理现状是，绝大多数企业的运维部门还都没有建设一套能够完全满足上述管理需求的网络及业务流量和流向分析系统。
大部分网管系统还只是采用一些通用型的网络链路使用率监视软件，如MRTG，利用SNMP协议对网络的重点链路和互联点进行简单的端口级流量监视和统计；或采用在网络中部分重点POP点加装RMON探针的方式，利用RMON I/II协议对网络中部分端口进行网络流量和上层业务流量的监视和采集。
但是上述两种被普遍采用的网络流量分析系统都有其显著的技术局限性。
∙利用SNMP协议能够对被监视的各个网络端口进出的数据包数和字节数进行采集，但采集到的流量信息较为粗糙，不但包括网络层的客户业务流量信息，还包括链路层的数据帧包头，Hello数据包，出错后重新传送的数据包等流量信息。
而且SNMP协议还无法区分网络层数据流量中各种不同类型客户业务在总流量中的分布状况，也无法对进出的流量进行流向分析。
∙利用RMON协议对运营商网络进行流量和流向管理可以部分弥补SNMP协议的技术局限性，如可以对业务流量进行统计，但同时也暴露出新的技术局限性。
首先，由于RMON协议需要对网络上传送的每个数据帧进行采集和分析，会耗用大量的CPU资源因而不可能由网络设备本身实现，需要额外购买和安装内置式或外置式的RMON探针。
市场上现有的RMON探针处理能力也有限制，还不能支持监控端口速率超过1Gbps的网络端口。
netflowanalyzer原理
netflowanalyzer原理NetFlow Analyzer 是一种用于分析网络流量的工具，它通过监测网络设备收集的网络流量数据，提供了对流量使用情况、性能和安全问题的详细分析。
NetFlow Analyzer 运作的原理是基于 NetFlow 技术，并结合了流量监测、数据分析和报表生成等功能。
NetFlow 是一种网络报文采样和分析技术，它能够记录网络设备在传输数据时产生的各种流量信息。
当网络设备接收或发送数据报文时，NetFlow 会将相关流量数据记录下来，并存储到设备的缓存中。
这些数据包括流量的源 IP 地址、目的 IP 地址、源端口、目的端口、协议类型、流量大小、传输时间等信息。
这些数据对于分析网络流量使用情况、检测网络性能问题和安全漏洞非常有价值。
NetFlow Analyzer 通过与网络设备建立连接，并发送相关的配置命令，获取网络设备上的 NetFlow 数据。
这些数据可以通过不同的方式获取，如 SNMP（Simple Network Management Protocol）、sFlow、IPFIX （Internet Protocol Flow Information Export）等。
数据获取完成后，NetFlow Analyzer 将对数据进行处理、分析和展示，提供详细的流量信息和统计报表。
NetFlow Analyzer 首先对网络设备上的流量数据进行解码和分析，将其转化为易于理解的格式。
然后，它使用多种算法和统计模型对网络流量进行聚合和分析。
这些算法和模型能够识别流量的模式和趋势，发现异常的流量行为，并提供性能和安全问题的诊断。
NetFlow Analyzer 还提供了警报功能，可以根据用户定义的规则和阈值触发警报。
比如，当流量超过一定阈值、一些应用程序的性能下降或网络设备出现异常行为时，系统可以发送警报通知管理员。
总结起来，NetFlow Analyzer 运作的原理是通过获取网络设备上的流量数据并进行解码和分析，然后生成详细的报表和图表以展示流量使用情况、性能和安全问题。
基于Netflow和异步服务的网络流量监测系统
称进行标准化 ． 】在正式获得采纳前， ｅ ｏ Ｎ ｔ ｗ已经获得许多 ｌ ｆ
主流厂商的支持 ，并有许多基于 Ｎ ｔｏ 的网管应 用出现 ， ｅ ｗ ｌ ｆ 比如 ：网络流量的采集 、分析 和规 划 ， 网络异常 流量（Ｄ Ｓ Ｄ ｏ， 蠕虫病毒 ） 的监测 ，用户和应用程序监控以及网络流量计费管 理等。但是 ，Ｎ ｔｏ ｅ ｗ本身可能产生很大的流量，Ｃｓ ｌ ｆ ｉ ｏ的官 ｃ 方自皮书 中指 出 Ｎ ｔｏ 本身的流量可以 占 网络总流量的 ｅ ｗ ｌ ｆ 到 １ ％ 。考 虑到当前网络带宽的飞速增长 ，在 中等规模 以上 ． 】 ５
中圈分类号。Ｔ３３ Ｐ９
基于 Ｎ ｔｏ 和异 步服务 的 网络流量监测 系统 ｅｆ ｗ ｌ
ｌ齐邦 ，黄啊哲 鼻
（ 同济大学计算机科学与技术系 ，上海 ２ ０ ３ ） ０３ １
ｌ 蔓： 提出 了一种基于 Ｎ ｔｏ ｅｌ ｆ ｗ的 网络流量监测系统 ， 介绍了系统中各组件 的功能， 并对其 中的核心部分——Ｎ ｔｏ ｅｌｗ处理模块一 进行 ｆ
ｏ ｅＮｅｆｏ ｐｏ ｅ ｓｎ ｄ ｌ， ｉｈｉ ｅｃ ｒ ａ ｔ ｆｔｅｓ ｓｅ Ｔｈ ｅ ｉｎ ｏ ｅＮｅｆｏ ｐ ｏ ｅ ｓｎ ｄ ｌ ｓｂ ｓｄｏｎＴ ｉ ｄ ｗｈｃ ｓ ｎｔ ｔｌｗ— ｒｃ ｓｉｇｍｏ ｕ ｅ ｗｈｃ ｔ ｏｅｐ ｒ ｏ ｙ ｔｍ． ｅｄ ｓｇ ｆ ｈ ｔｌｗ・ｒ ｃ ｓｉｇ ｍｏ ｕｅｉ ａ ｅ ｗｓｔ ， ｉｈ ｉ ｈ ｓｈ ｈ ｔ ｅ ｎ ａ ｙ ｃ ｒ ｎ ｕ ｖ ｎ－ ｖ ｎｎ ｔ ｒｉｇ ｆａ ｗｏ ｋ Ｃｏ ａ ｅ ｏｔ ｄ ｔ ａ ｓｇ ｓｂ ｓ ｏ ｒｃ ｄｕ ｏ ｌｉｈ ｅ ｄ， ｕ ｈｄ ｓｇ ａ ａ ｅ ａ ｓ ｎ ｈ ｏ ｏ ｓｅ ｅ ｔ ｉｅ ｅｗｏｋ ｎ ｒｍｅ ｒ ． ｍ ｐ ｒｄ ｔ ｅｔａ ｉｉｎ ｌ ｅ ｉｎ ａ ｅ ｎｐｏ ｅ ｒ ｒｍｕ ｔ ｔｒａ ｓｃ ｅ ｉｎｃ ｎ ｓｖ ｄｒ ｈ ｒ ｏ ｄ ｄ ｅ ・
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第31卷 第23期2009年12月武 汉 理 工 大 学 学 报JOURNA L OF WUHAN UNIVERSIT Y OF TECHN OLOG Y Vol.31 No.23 Dec.2009DOI :10.3963/j.issn.167124431.2009.23.037基于N etFlow 的网络流量采集技术和应用孟晓蓓(武汉大学计算机中心,武汉430072)摘 要: 针对计算机网络状况监控领域的实际需要,提出了基于Net Flow 的流量采集技术。
相比其它的流量采集工具,Net Flow 的流量采集技术具有配置方便,费用低,占用资源小的优点。
分析了Net Flow 交换技术采集网络流量信息的实现原理。
并从计算机网络的网络层和传输层2个方面,讨论了Net Flow 网络流量采集技术在网络信息安全方面的相关应用。
关键词: 流量采集; Net Flow ; 网络攻击中图分类号: TP 393.06文献标识码: A 文章编号:167124431(2009)2320155204N et work Flux Collection T echnique B ase on N etFlow andIts ApplicationM EN G Xiao 2bei(Computer Center ,Wuhan University ,Wuhan 430072,China )Abstract : This paper proposes the network flux collection technique based on net flow according to practical requirements in the field of monitoring the status of computer pared to other flux collection tools ,Net Flow has advantages of con 2venient configuration ,low cost and small occupied resources.This paper analyses the principle of realization of Net Flow ex 2change technique collecting network flux information.Then both from the network layer and transport layer ,the paper discuss 2es some relevant applications of Net Flow network flux collection technique using in network information security areas.K ey w ords : flux collection ; Net Flow ; network attack收稿日期:2009207209.作者简介:孟晓蓓(19572),女,高级实验师.E 2mail :meng1025@随着Internet 和Intranet 的发展,网络用户、接入设备日益增长,对计算机网络的安全运行产生了压力。
因此,计算机网络状况的实时监控的工作,显得十分必要。
计算机网络状况的实时监控的一个重要环节,就是网络上的数据流量进行统计和分析。
由于各种各样的应用对网络带宽的需求越来越高,传统的网络流量统计和数据采集方式开销大、对数据传输延时的影响大,已经不能满足现在的需求,因此,需要一种新的流量统计技术来适应现在的网络环境。
Net Flow 技术正是这样的能适应新环境的流量采集方法。
1 网络流量采集的特点和方法理想的数据采集方式应该具备以下一些特点[1]:1)不影响数据流转发的速度 在整个数据流的采集过程中,不能有明显影响数据流转发速度的状况发生。
如果在数据采集的过程中,数据流转发的速度明显下降,不能真实地反映网络流量状况,这违背数据采集的根本目的。
2)占用资源小 对数据流进行采集的过程中,可能需要在路由器(交换机)中进行流量统计,并且储存所采集数据。
这会给路由器(交换机)带来额外的资源开销。
理想的流量采集方法应该尽可能少占用资源,在采集效果和资源占用之间寻求一个平衡点。
3)完整的数据流监控 一个理想的数据采集方法应该具备完整的数据流监控能力。
在网络发生拥塞的时候,能不能采集到完整的流量信息,是考察数据采集方法的一个重要标准。
4)支持第3层交换 第3层交换技术的特点就是将路由功能和交换功能结合在一起,使得网络在具有第2层交换的高速性能的同时,又可以具有很好的安全性、可扩展性等特性[2]。
理想的数据流量采集方式必须能够支持第3层交换技术。
5)分布式的数据采集 分布式的数据采集有利于实现校园网内部的数据流量监控和管理。
常用的网络流量采集方法有:实时数据采集,路由器流量统计功能,Net Flow 交换技术。
实时数据采集就是在网络设备中使用端口镜像技术等[3],从网络中获取实时的数据流信息。
这种方法的优点是实施最为简单,几乎不会对网络中数据传输的延时造成任何影响。
然而,由于数据采集机要捕获所有的数据流信息并对之加以分析,因此这种方法对数据采集机的处理能力要求很高。
此外,由于这种方式是对整个IP 数据包进行抓取后再进行处理,必然导致数据量过于庞大,对于后续的数据处理工作带来不便,因此这种方式并不适合。
路由器流量统计功能是利用网络设备的流量统计功能,是目前比较常见的一种数据采集方法。
在路由器中启动流量统计功能,使其记录下所有流量的源地址、目标地址、数据包数量和字节数。
另外一台采集数据的机器通过SNMP 协议定期到路由器上去将流量统计信息读取回来,从而获得详细数据。
这种方法的好处是流量信息准确,信息获取方便。
同时,由于使用SNMP 协议进行数据获取,具有很好的通用性和可移植性。
因此这种方法的应用非常广泛。
在路由器上运行流量统计功能,会影响路由器对数据包处理的效率,增加路由器的CPU 和内存负载,不可避免的对网络性能带来一定的影响。
因此,这种方法并不适合在网络和核心层部署,适合在网络的边界处进行流量采集。
Net Flow 交换技术是由Cisco 公司提出的,广泛应用在Cisco 的路由器和交换机产品中[4]。
它提供了高性能的第3层交换技术,并且能够主动将网络流量信息推送到一个Net Flow 数据采集服务器上。
Net Flow 交换技术是传统快速交换技术的一种改进,主要优点是在进行数据交换的同时对数据流信息进行统计,并将统计信息以特定的格式输出。
2 N etFlow 交换技术2.1 N etFlow 交换技术原理Net Flow 交换技术是在Cisco 的路由器、交换机中实现的一种技术。
Net Flow 交换完成的工作超过交换本身的工作,它还进行数据的统计,包括数据流的协议、端口、被转发的数据包数量、字节数等信息,所有这些信息都被保存在Net Flow 缓存里面。
这些数据可以被发送到一个Net 2Flow 数据采集器或者网管工作站进行存储和进一步处理[5]。
因此,可以说Net Flow 是一种交换技术,同时,它更多的是一种网络管理和计费技术。
Net Flow 交换技术主要原理是根据网络数据包传输时,连续相邻的数据包通常是往相同目的地IP 地址传送的特性,配合Cache 快取机制,一个输入的数据包完成了交换处理后,所有的路径信息和数据包的信息被复制到Net Flow Cache 中。
该数据流中的剩余数据包将会被与Net 2Flow 的缓存进行比较然后进行相应的转发,同时对该数据流的相关计数器进行更新,实现数据流信息的统计[6]。
当网络管理者开启路由器或交换机接口的Net Flow 功能时,设备会在接收数据包时分析其数据包的标头部分取得流量资料,并将所接到的数据包流量信息汇整成一笔一笔的Flow 。
Net Flow 交换技术的体系结构见图1。
在Net Flow 数据采集系统中,数据采集器是整个系统的核心部分。
数据采集器接收路由器和交换机发送的Net Flow 数据包,并分析输出数据中的版本信息,根据情况选择不同的数据处理容器。
然后,数据库中的信息通过相关流分析软件完成图形化展示、TOP N 查询以及预警等功能。
651 武 汉 理 工 大 学 学 报 2009年12月2.2 N etFlow 的数据格式Net Flow 技术被应用在多种平台的思科设备中,包括了大部分路由器和3层交换机。
目前比较常用的是Version 5、Version 7、Version 8和Version 9。
在Net Flow Version 5中,加入了对B GP AS 的支持,是目前最实用的版本。
Ver 2sion 7是思科Catalyst 交换机设备支持的一个Net Flow 版本,与路由器中的Net Flow 并不兼容。
Net Flow Version 8在Version 5的基础上,增加了基于路由的计费信息归并等新特性,可以大大降低对数据输出的带宽需求。
而Net FlowVersion 9是一种全新的灵活和可扩展的Net Flow 数据输出格式[7]。
除了具有较低版本的特性之外,还支持IPv6、MPL S 等特性,并且允许用户自行定义数据输出的模板和格式,应用更加灵活、方便。
Net Flow 设备使用UDP 将计费信息输出到数据采集端,以大多数路由器都支持的Version 5为例,数据输出包括数据头和多个Net Flow 记录信息。
Version 5规定,每一个数据报文最多可以携带30个Net Flow 记录。
图2是Version 5的一个Net Flow 记录的数据格式。
3 N etFlow 在网络安全上的相关应用对于网络中出现的异常事件,网络管理者能够从Net Flow 的记录中获得足够的信息,并且Net Flow 不需要对数据包的内容进行分析,网络设备运算的负担也减轻许多,因此Net Flow 很适合用来分析高速运转的网络。
由于Net Flow 的数据来源是网络中的3层数据转发设备,因而3层设备所收集到的Net Flow 信息可以协助掌握整个网络的情况[8]。
通过适当地分析Net Flow 信息,管理者在蠕虫爆发以及其他网络异常行为的初期即可快速分析出网络中存在的问题。
3.1 分析网络层中的N etFlow 信息网络攻击行为一般存在着某些可供辨识的特征,可以通过这些特征来与所获得的Net Flow 数据进行对比,进而找出可能的异常行为。
通过分析Net Flow 数据中目的主机所使用端口号字段,来过滤Net Flow 资料找出相对应的攻击;另外也可以利用不合逻辑的来源或目的IP 地址来找出异常。