《CSNA網(wǎng)絡(luò)分析認(rèn)證專家實(shí)戰(zhàn)案例》課件-第16章

第16章某人民法院蠕蟲問題分析報(bào)告16.1故障描述 16.2故障分析 16.3分析總結(jié)

某人民法院的網(wǎng)絡(luò)出口帶寬是10Mbps，客戶機(jī)大約200臺(tái)，服務(wù)器15臺(tái)左右，網(wǎng)絡(luò)拓?fù)淙鐖D16-1所示。16.1故障描述

圖16-1

由于是對(duì)內(nèi)網(wǎng)分析，所以抓包點(diǎn)在核心層連接防火墻的網(wǎng)口，抓包時(shí)間1分鐘。從圖16-2中可以看到流量峰值達(dá)到32Mbps，流量較大，但用戶稱網(wǎng)絡(luò)正常。選擇下載這段時(shí)間流量，首先查看如圖16-3所示的概要視圖，在1分鐘的時(shí)間里信息診斷有點(diǎn)偏多。

第一，查看數(shù)據(jù)包的大小分布情況，如圖16-4所示。16.2故障分析

圖16-2

圖16-3

圖16-4從圖中可以看到，傳輸數(shù)據(jù)大多大于等于1518B，說明當(dāng)前網(wǎng)絡(luò)中存在大量的數(shù)據(jù)傳輸。另外，小于64B的數(shù)據(jù)包也較多，說明網(wǎng)絡(luò)可能存在掃描等現(xiàn)象。

第二，查看IP地址統(tǒng)計(jì)，如圖16-5所示。

圖16-5結(jié)果發(fā)現(xiàn)IP地址數(shù)很多，內(nèi)網(wǎng)中當(dāng)前的IP地址數(shù)量遠(yuǎn)遠(yuǎn)超過實(shí)際的IP地址數(shù)。

第三，查看TCP統(tǒng)計(jì)，如圖16-6所示。

從圖中可以看出，TCP的同步發(fā)送與TCP的同步確認(rèn)發(fā)送比例將近7∶1，根據(jù)分析經(jīng)驗(yàn)可知，網(wǎng)絡(luò)中存在TCP泛洪(交換機(jī)和網(wǎng)橋使用的一種數(shù)據(jù)流傳遞技術(shù)，將某個(gè)接口收到的數(shù)據(jù)流從除該接口之外的所有接口發(fā)送出去)。如果網(wǎng)絡(luò)中存在TCP泛洪，那么在診斷終期會(huì)有TCP重復(fù)連接嘗試。于是我們查看診斷統(tǒng)計(jì)，如圖16-7所示。

圖16-6

圖16-7在診斷統(tǒng)計(jì)中可以發(fā)現(xiàn)，主要診斷事件是TCP重復(fù)的連接嘗試，同時(shí)也驗(yàn)證了我們上面的猜測。于是查看TCP重復(fù)連接嘗試診斷發(fā)生的主要地址，見圖16-8。

圖16-8查看協(xié)議統(tǒng)計(jì)，如圖16-9所示。從圖16-9中可以看出，網(wǎng)絡(luò)中存在共享，很有可能是CIFS(CommonInternetFileSystem，通用Internet文件系統(tǒng))在作怪。

圖16-9通過診斷發(fā)生地址進(jìn)行進(jìn)一步定位分析和通過協(xié)議定位分析的結(jié)果一樣。

第四，在診斷地址中定位查看IP會(huì)話，發(fā)現(xiàn)10.28.100.71這個(gè)地址只有發(fā)送沒有接收，如圖16-10所示。

圖16-10第五，查看TCP會(huì)話情況，如圖16-11所示。

圖16-11從圖中可以看到，目的地址都是10.28.0.0網(wǎng)段，目標(biāo)端口都是445，對(duì)每個(gè)目標(biāo)地址掃描1、2次，端口是遞增的，報(bào)文都是小包，持續(xù)時(shí)間短暫。

隨后查看矩陣視圖，如圖16-12所示。通過矩陣視圖可以更加形象地展現(xiàn)10.28.100.71與768個(gè)主機(jī)的通信情況，而且接收包只有4個(gè)，很明顯是在掃描這些主機(jī)。

第六，進(jìn)一步確認(rèn)，查看數(shù)據(jù)包解碼，如圖16-13所示。從圖中可以看到，TCP同步均為1。至此，通過以上幾點(diǎn)可以斷定該主機(jī)中了CIFS蠕蟲病毒。據(jù)查，該網(wǎng)絡(luò)中有2臺(tái)主機(jī)都出現(xiàn)此情況，這樣肯定會(huì)對(duì)核心交換機(jī)的性能造成影響，同時(shí)也影響網(wǎng)絡(luò)通信，嚴(yán)重時(shí)可能出現(xiàn)網(wǎng)絡(luò)癱瘓。

圖16-12

圖16-13針對(duì)上面這種情況，通過和網(wǎng)管溝通找到這2臺(tái)主機(jī)，發(fā)現(xiàn)這兩臺(tái)主機(jī)因配置低沒裝殺毒軟件而感染了蠕蟲，對(duì)其斷網(wǎng)并查毒處理。

對(duì)于CIFS共享式蠕蟲病毒，定位到相應(yīng)的主機(jī)，然后查看IP會(huì)話、TCP會(huì)話、矩陣視圖以及數(shù)據(jù)包解碼，只要滿足如上所說