科来网络回溯分析系统前端节点技术指标

科来网络回溯分析系统前端节点技术指标
1.总体功能
能够分布式部署在需要监控的网络节点，长期实时分析并捕获流量，发现网络中存在的窃密行为，同时对捕获到的网络通讯数据包进行长期存储，从而提供对任何时间点的通讯数据进行回溯分析的能力。

2.界面要求
支持全中文界面和资料文档，要求提供全中文的分析界面，要求提供全中文的文档资料。

3.系统部署
1.分布式部署，要求能够部署在远程网络中进行长期实时分析，通过专用的控制台软件过
网络进行远程分析。

2.要求能支持流量镜像、分路器等方式部署。

3.在采用镜像方式进行部署时，能够通过设定本地网络，区分内部和外部地址，并分别统
计上行和下行流量。

4.能够实现链路聚合功能，能将多网卡的流量聚合捕获分析。

5.支持多任务分析，能够针对某网络接口支持多个捕获和分析任务同时进行分析。

4.应用定义
6.能够灵活的自定义应用，针对自定义的应用进行流量监测分析。

7.可根据端口或端口范围、端口组自定义应用。

8.可根据地址、地址组、地址范围自定义应用。

9.可根据地址端口自定义应用。

10.可根据网段、网段组自定义应用。

5.数据捕获保存
11.能够实时捕获并保存网络中的通讯数据包。

12.网络中的通讯数据包能够长期保存，设备的存储容量不低于。

13.数据包以专用格式存储，只能采用专用的控制台软件读取和导出，不能用其他工具读取
并导出。

14.数据包保存的性能要求能够实现线速保存能力，数据包处理性能不低于。

15.能实时长期保存网络中的所有的网络总体流量统计数据包括比特率（上下行）、数据包
率（上下行）、网络中数量、数量、数量。

16.能实时分析并长期保存网络中的所有数据流统计数据，包括详细的会话流、会话流、会
话流数据，数据精度到秒级。

17.捕获数据包时能够根据条件过滤捕获，包括根据地址、地址段、通讯协议、端口等条件
过滤捕获。

6.数据检索分析要求
18.能够和原有的科来网络回溯分析系统控制台配合，通过控制台方便的检索捕获的任意时
间范围的网络通讯数据。

19.能够和原有的科来网络回溯分析系统控制台配合，通过控制台检索捕获的流量的趋势，
包括总体流量的趋势，可区分网络的上行流量和下行流量；数据包趋势，可区分网络的上行数据包和下行数据包；参数趋势，包括同步数据包个数、同步确认数据包个数、同步重置数据包个数；利用率趋势，可区分网络的上行利用率和下行利用率。

20.能够和原有的科来网络回溯分析系统控制台配合，通过控制台检索指定时间范围的所有
应用的通讯流量信息，包括接收发送流量，接收发送数据包等，用户可以根据自己的需求进行应用定义，定义条件包括地址、端口、地址组和地址段、端口组或范围，以及多种条件的组合。

21.能够和原有的科来网络回溯分析系统控制台配合，通过控制台检索指定时间范围的所有
主机的通讯流量信息，包括接收发送流量，接收发送数据包，比特率，数据包率，连接请求数量，同步响应数量，同步重置数量，数据包的发收比等流量参数，并能够根据参数的大小进行排序。

22.能够和原有的科来网络回溯分析系统控制台配合，通过控制台显示的区域归属，包括
地址所属的国家和地区，可以根据国家和地区进行地址检索分析。

23.能够和原有的科来网络回溯分析系统控制台配合，通过控制台检索指定时间范围的所有
主机间的通讯流量信息，包括接收发送流量，接收发送数据包等。

24.能够和原有的科来网络回溯分析系统控制台配合，通过控制台检索指定时间范围的所有
会话和会话的通讯流量信息，包括接收发送流量，接收发送数据包等。

25.能够和原有的科来网络回溯分析系统控制台配合，通过控制台针对应用进行进一步的数
据挖掘，分析某个应用中主机流量、会话、会话和会话详细列表。

26.能够和原有的科来网络回溯分析系统控制台配合，通过控制台针对主机进行进一步数据
挖掘分析，分析某个主机的应用、会话、会话和会话。

7.流量监测报警功能
27.能够对网络中的异常流量进行监控和报警。

通过异常流量分析模块，可以发现异常的应
用流量，如异常的会话，异常的会话，可以对异常流量进行报警并分析。

28.能够对网络中关键主机的流量进行监测和报警。

⏹自动发现肉鸡和木马控制者，并对其流量进行分析和报警。

能够对木马主机的
连接，心跳，传输文件等操作进行发现和分析
⏹警报条件：能设定>条件、<条件，多种参数条件的与或关系时间警报。

⏹触发时间间隔：秒，秒，秒，秒。

29.能够对网络中重点的应用流量进行监测和报警。

⏹能够对重点关注的应用进行监控和报警，如，，，，等应用进行检测和报警，
发现可疑的行为能够进行深入到数据包级的分析。

⏹警报条件：能设定>条件、<条件，多种参数条件的与或关系时间警报。

触发时间间隔：秒，秒，秒，秒。

30.能够对可疑域名解读行为进行监测产生警报，可以定义黑域名列表、域名地址列表进行
监测，发现可疑的域名解读，产生警报。

31.能够对电子邮件内容进行监测，定义敏感字参数，监测邮件内容中是否包含敏感信息。

检测到邮件的附件，并还原附件。

能够提前邮件的账号和密码。

32.能够对内容进行监测，定义敏感字参数，监测内容中的敏感信息。

能够根据预先定义的
僵尸网络特征，发现网络中僵尸主机和控制者。

33.能够对数据流进行监测，通过定义已知木马，僵尸网络的特征值，监测木马和僵尸网络
的通讯并产生警报，特征值可以包括十六进制和的特征定义。

可定义多种特征的与或关系来监测木马通信数据流。

34.能够通过邮件和将报警信息发给指定接收者。

8.数据分析要求
1.能够对检索到的网络通讯数据包进行深入分析。

2.提供物理端点和端点以及会话分析视图。

3.提供针对端点的入出流量，、、总流量、总数据包数分析。

4.提供针对端点的会话数量、连接数量的统计分析，并可以按大小顺序进行排序。

5.提供针对端点的同步包发送接收数量、同步确认包发送接收数量、重置包发送接收数量
的统计，并可以按大小顺序进行排序。

6.提供针对端点的数据包发送接收比的统计分析，提供针对端点的字节数发送接收比的统
计分析。

7.提供自动的端点分组功能，能将不同网段的端点按网段自动分组，同时能按的地域归
属进行自动分组，如美国、日本等。

9.木马分析要求
1.提供已知木马分析的分析视图，实时的对已知木马行为进行报警，并能够进行数据包级
的回溯分析。

2.可以通过定义黑名单，异常的，流量等参数自动发现网络可疑木马行为，对未知木马进
行分析和提取特征。

3.支持自定义添加木马特征，包括进制和码的特征，并能用偏移量，使用端口，网络协议，
标准位，数据包大小等参数对特征进行严格匹配，减少误报。

4.支持自动判断存在端口扫描的主机的网络行为特征并在单独的分析视图中展现。

5.提供已知僵尸网络的分析试图，可以通过黑域名，特征流，网络行为等方式对僵尸网络
进行发现和追踪，发现僵尸主机和僵尸控制者。

10.取证分析要求
1.提供对已知木马的取证，能够自动将网络中的木马通信保存数据流和原始数据包。

数据
流信息应包括通信双方的地址，通信时间，通信内容，持续时间，传输的文件，报警日志等相关信息。

2.能够对网络中异常流量进行取证，保存异常流量的统计数据流和原始数据包。

3.能够通过数据流还原传输文件的内容，包括，，，，，，等常见的文件格式。

4.提供僵尸网络行为的取证，保存僵尸网络的统计数据流信息和原始数据包，能够对僵尸
控制者进行追踪，获取控制者，地理位置，控制方法，攻击行为，窃密行为等。

11.协议识别和解读要求
提供对常见互联网协议的协议识别功能，至少能对种以上的常见互联网协议进行识别。