案例：蠕虫攻击
• 蠕虫攻击： 感染机器扫描网络内存在系统或应用程序
漏洞的目的主机，然后感染目的主机，在 利用目的主机收集相应的机密信息等 • 攻击后果：
泄密、影响网络正常运转 • 攻击后现象：
网络缓慢，网关设备堵塞，业务应用掉线 等
利用科来分析蠕虫攻击实例
1.根据初始化TCP连接 与成功建立连接的比例 可以发现异常
结合蠕虫的网络行为特征（过滤器）， 根据源IP定位异常主机即可
在诊断视图中看有无异常
在诊断视图中看有没有异常诊断提示， 如果有TTL太小、IP地址冲突、ARP扫 描等，就需要关注下。 因为TTL太小可能是网络中存在网络环 路；IP地址冲突和ARP扫面可能是网络 中存在ARP病毒。
案例：网络环路
• 网络环路 网络环路是指某些网段的路由在两个或多
科来网络系统简单故障查找简介
查看网络基本运行情况
查看网络的带宽利用率 和每秒产生多少位流量， 如果利用率达到50%以 上，网络中就存在拥塞 的情况
看平均包长，通常网络 的平均包长在500-700字 节，如果过小，网络中 可能存在病毒或是攻击
TCP同步发送和TCP同步 确认发送比值应在1:1， 如果有大量的TCP同步发 送，网络中可能存在基 于TCP的病毒或攻击
• 攻击后果： 1.被攻击主机资源消耗严重 2.中间设备在处理时消耗大量资源 • 攻击目的： 1.服务器拒绝服务 2.网络拒绝服务 • 攻击后现象： 1.服务器死机 2.网络瘫痪
科来分析SYN FLOOD攻击实例
1.根据初始化TCP连接 与成功建立连接的比例 可以发现异常
2.根据网络连接数 与矩阵视图，可以 确认异常IP
3.会话很有规律， 而且根据异常IP的 数据包解码，我们 发现都是TCP的syn 请求报文，至此， 我们可以定位为syn flood攻击
SYN FLOOD定位
• 定位难度： Syn flood攻击的源IP地址是伪造的，无
法通过源IP定位攻击主机 • 定位方法：
只能在最接近攻击主机的二层交换机 （一般通过TTL值，可以判断出攻击源与抓 包位置的距离）上抓包，定位出真实的攻 击主机MAC，才可以定位攻击机器。
案例：物理环路
• 物理环路：
用一根网线连接了一台交换机上的两个端口，或是在进行交 换机串联时有两个网络同时做串接线。
• 环路示意图：
交换机
交换机
交换机
• 环路后果： 1.网络中产生大量广播流量，网络资源被消耗 2.交换机消耗大量资源处理广播数据 • 攻击后现象： 1.网络中组播/广播流量非常大 2.网络瘫痪
2.通过端点视图，发现 连接数异常的主机,发送 和接收比值差异主机（固定）向 目的主机（随机）的 445端口发送了大量TCP 连接 ，可以定位其为 蠕虫引发的扫描行为
蠕虫攻击定位
• 定位难度： 蠕虫爆发是源主机一般是固定的，但是蠕
虫的种类和网络行为却是各有特点并且更 新速度很快 • 定位方法：
如果在概要视图中发现有异常的话，我们可以到IP端点视图中看具体异常的主机
如果是利用率过大，流量大， 可以通过字节排序来找到流 量靠前的主机
如果是TCP统计异常，可以 通过TCP会话来排序，找到 流量靠前的主机，并看他的 数据包收发情况， 中病毒的主机：TCP会话大、 流量小、发包多收包少 攻击：TCP会话大、流量小、 发包少收包多
• 定位方法 通过查找网络路由配置，是否有不够优化 或过于简单的路由设置。
案例：IP地址冲突
• IP地址冲突： IP地址冲突是指在同一网络中有两个主机
的IP地址使用同一IP地址。
IP地址冲突在科来的分析
• 1诊断视图 我们会发现有IP地址的提示：
• 2 数据包视图 通过诊断视图中的冲突数据包提示我们在数据包
物理环路定位
• 定位难度： 物理环路一般都是接网是不注意导致的，所
以产生环路的位置不容易查找。 • 定位方法： 根据数据包中的MAC 地址，结合交换机中的
MAC地址表来查找数据包是通过哪个端口过 来的，然后逐层查找。
案例：SYN FLOOD（syn洪泛）
• SYN FLOOD攻击： 利用TCP三次握手协议的缺陷，向目标主机发送大量的伪 造源地址的SYN连接请求，消耗目标主机的资源，从而不 能够为正常用户提供服务
个路由间由于路由的设置形成环路，造成 发往这些网段的数据包在路由间循环的来 回传送。
利用科来分析网络环路
• 1.诊断视图 我们会发现有“IP保生存周期太短”的提示：
• 2.数据包视图
通过数据包视图的解码可发现数据 包的IP标识相同的数据包的TTI值在减小：
故障查找
• 定位难度 通常导致网络环路是由于路由设置不够优 化、路由设置过于简单或者网络改造等原 因造成的，需要了解路由配置，如果路由 设置复杂了，工作比较繁琐。
科来分析物理环路实例
1.根据概要视图中的流量， 看广播/组播流量占总流量 的比例，如果过大，网络 中可能就存在物理环路
2.结合IP端点中的广播字节 进行排序，可以看到网络 中广播流量最大的地址
3.定位到这个IP地址看它具 体的会话，选中一个会话 打开该会话
科来分析物理环路实例
4.查看具体的 数据包，可以 发现同一个标 识的数据包反 复出现，所以 网络中有物理 环路
通过IP端点看网络主机信息
通过字节排序来找到 流量靠前的主机
通过排序可以看到流 量排名靠前的主机， 定位到这些主机看这 些主机在做些什么， 是不是正常的业务应 用。
案例：下载
• 下载 通过P2P软件、其它程序等，从网络上下载 电影、文件等行为
• 网络现象： 网络用户上网慢，网络访问延时
视图中可找到IP地址冲突主机MAC 地址。
如上图，一个IP地址对应两个MAC地址，192.168.1.1分别对 应00:1D:0F:3D:6D:A2和00:0F:E2:23:0C:86
故障查找
• 查找难度 有些造成IP地址冲突的主机是伪造的，无 法直接查找到造成故障的主机。
• 定位方法 只能在最接近故障主机的二层交换机（一 般通过TTL值，可以判断出故障源与抓包位 置的距离）上抓包，定位出真实的造成故 障主机的MAC，才可以定位出故障机器。