01 Åä¾°
Ó¦ÓÃ×ʲú¹ØÏµÊáÀí¼°ÍØÆË²â»æÔÚÇå¾²ÔËÓªÊÂÇéϵͳµÄÕ½ÂÔ²ãÃæºÍÕ½Êõ²ãÃæ¶¼Æð×ÅÖ÷ÒªµÄÖ§³Ö×÷Óá£È»¶øËæ×ÅÆóÒµÓªÒµÐèÇóµÄÒ»Ö±ÔöÌí£¬¸÷ÆóÒµ½¨ÉèµÄÓ¦ÓÃϵͳÊýÄ¿Ò²ËæÖ®ÔöÌí£¬Ò»¸öӪҵϵͳËùÉæ¼°µÄÓ¦ÓÃÊýÄ¿¿ÉÄܸߴX°ÙÉõÖÁÉÏǧ¸ö£¬ÕâЩӦÓÃϵͳ֮¼äµÄÒÀÀµ½»»¥Ô½¶à£¬Ó¦ÓÃϵͳµÄ¹ØÏµ¾ÍÔ½ÖØ´ó£¬Õû¸öӪҵϵͳµÄÂß¼Ò²¸üÎªÖØ´ó¡£
¹ØÓÚÇå¾²ÄÜÁ¦³ÉÊì¶ÈºÜÊÇ¸ßµÄÆóÒµ£¬Í¨³£»áÓÐÒ»Ì×ÓÐÓõÄ×ʲúÇå¾²ÉúÃüÖÜÆÚ¹ÜÀí²½·¥¡£µ«ÏÖÔÚ´ó²¿·ÖÆóÒµÓÉÓÚ¹ÜÀíÖ°Ô±±ä»»ºÍ×ʲúά»¤²»µ½Î»£¬ÔÚ×ʲú·½Ãæ»ò¶à»òÉÙ±£´æÒ»¶¨µÄËÀ½Ç¡£
ÔÚӪҵϵͳ·ºÆðÒì³£»ò±»¶ñÒâ¹¥»÷ʱ£¬ÆóÒµIT¹ÜÀíÔ±¶¼ÐèÒªÒ»¸ö׼ȷÇÒ¾¡¿ÉÄÜÍêÕûµÄÓªÒµÏµÍ³ÍØÆË£¬´Ó¶ø¿ìËÙ¶¨Î»¹ÊÕϵ㲢ʵʱ´¦Öóͷ£Òѱ¬·¢µÄÇå¾²ÊÂÎñ¡£Í¨Ì«¹ýÎöÈ«Á÷Á¿Êý¾ÝÐÅÏ¢£¬¼´¿ÉÖª×ãÕâÒ»ÐèÇó¡£
±¾ÎĽ«´ÓÏÖʵÇå¾²ÔËÓªÏîÄ¿ÖÐ×ܽá³öµÄÂÄÀú³ö·¢£¬½²ÊöÓ¦ÓÃ×ʲú¹ØÏµÊáÀí¼°ÍØÆË²â»æµÄÏêϸ˼Ð÷¼°°ì·¨£¬×ÊÖú¸÷ÈËÔÚÏÖʵÊÂÇéÖÐÎÞаÔËÓá£
02 Ìõ¼þÌõ¼þ
ÔÚ°²ÅÅÓ¦ÓÃϵͳµÄ¸÷ÍøÂçÇøÓòÄÚÌáǰ°²ÅÅÁ÷Á¿ÊÕÂÞÆÊÎöϵͳ£¬Í¨¹ýÍøÂç½¹µã¡¢»ã¾ÛÉõÖÁ½ÓÈë½»Á÷»úÊÕ·¢µÄÍøÂçÁ÷Á¿Êý¾Ý£¬²¢¶ÔÆä¾ÙÐÐÆÊÎö£¬´Ó¶øÅÌËã³öÒ»ÕÅ׼ȷÇÒÍêÕûµÄÓªÒµÏµÍ³ÍØÆË¡£Êý¾ÝÊÕÂÞ·½·¨ÓÐÒÔÏÂ3ÖÖ£º
1¡¢NetFlow£ºÍøÂç×°±¸¿ªÆôNetflow¹¦Ð§£¬²¢½«NetflowÐÅÏ¢µ¼³öÖÁNetflowÍøÂçÆ÷£¬½¨ÒéElastic Stack¡£

2¡¢Zeek&suricata£ºÍ¨¹ýÊÕÂÞÍøÂç×°±¸µÄ¾µÏñÁ÷Á¿£¬ÆÊÎöÍøÂçÁ÷Á¿ÖеÄÒªº¦ÐÅÏ¢£¬²¢½«ÕâЩҪº¦ÐÅÏ¢ÒÔJSONµÄÃûÌñ£´æÎı¾ÎļþÖС£

3¡¢Arkime£ºÍ¨¹ýÊÕÂÞÍøÂç×°±¸µÄ¾µÏñÁ÷Á¿£¬ÆÊÎöÍøÂçÁ÷Á¿ÖеĹØÏµÐÅÏ¢£¬²¢½«ÕâЩҪº¦ÐÅÏ¢Ö±½ÓдÈëElasticsearchÊý¾Ý¿âÖС£

03 Ó¦Óý»»¥¹ØÏµÊáÀí½¨Òé
1¡¢»á¼ûÔ´ÊáÀí£ºÆ¾Ö¤¸ø¶¨IPµØÖ·£¬ÅÌÎÊ»á¼û¸ÃIPµÄËùÓÐÔ´IPµØÖ·£¬²¢¹ýÂ˵ô»¥ÁªÍøµØÖ·£¬»ñµÃ¸ÃÓ¦ÓýڵãµÄÊÜÖÚ¹¤¾ß¡£
2¡¢»á¼ûÄ¿µÄÊáÀí£ºÆ¾Ö¤¸ø¶¨IPµØÖ·£¬ÅÌÎʸÃIP»á¼ûµÄËùÓÐÄ¿µÄIPµØÖ·£¬²¢¹ýÂ˵ô»¥ÁªÍøµØÖ·£¬»ñµÃ¸ÃÓ¦ÓýڵãµÄ·þÎñ¹¤¾ß¡£
3¡¢Zeek/Suricata/ArkimeµÄÊý¾ÝÈªÔ´ÎªÍøÂç¾µÏñÁ÷Á¿£¬ÈôÊÇϵͳûÓÐÊÕµ½TCPµÄSYN°üʱ£¬»áµ¼ÖÂÔ´Ä¿IPµØÖ·¶Ôµ÷£¬¿ÉÒÔͨ¹ýÏÞÖÆÄ¿µÄ¶Ë¿ÚÊýÖµ£¬È·±£ÅÌÎÊЧ¹ûµÄ׼ȷÐÔ¡£
4¡¢ÔÚ±£´æ´ó×Ú¶à²ã¼¶Å²ÓùØÏµµÄӪҵϵͳʱ£¬½¨ÒéÏÈͨ¹ýÓ¦ÓùØÏµÊáÀí¹¤¾ß½«Ã¿Ò»²ã¼¶µÄŲÓùØÏµÊáÀíÍê±Ï£¬ÔÙͨ¹ýÈ˹¤µ÷ÑÐÅжϵķ½·¨Àο¿ºÃÓªÒµÍØÆË£¬ÔÚºóÐøÅ²ÓøÃÓªÒµÍØÆËʱ£¬Ó¦ÓùØÏµÊáÀí¹¤¾ß×Ô¶¯ÅÌÎÊÿһ¸ö½ÚµãÉϵĽ»»¥£¬¼´¿ÉÏàÊ¶ÓªÒµÍØÆËµÄ׼ȷת±ä¡£
5¡¢ÈôÊDZ£´æÓëÀο¿¹«ÍøµØÖ·Í¨Ñ¶µÄÓ¦Óã¬Í¨¹ýÅÌÎÊÌõ¼þ°üÀ¨Ïà¹ØÍ¨Ñ¶µØÖ·¼´¿É¡£
04 ÏÖʵЧ¹û
ÒÔÆÊÎöArkimeϵͳµÄÊý¾ÝΪ»ù´¡£¬Å²ÓÃArkimeµÄAPI½Ó¿Ú£¬½«ÐèÒªÕ¹Ê¾ÓªÒµÏµÍ³ÍØÆËµÄÌØ¶¨ÓªÒµIPµØÖ·¡¢ÅÌÎʵÄʱ¼ä¹æÄ£ÒÔ¼°Îª°ü¹ÜÊý¾ÝЧ¹ûµÄ׼ȷÐÔÉè¼ÆµÄÊý¾Ý¹ýÂËÓï¾ä×÷ΪÊý¾ÝÆÊÎöÌõ¼þÌá½»ÖÁArkimeϵͳ£¬ÓªÒµÏµÍ³ÆÊÎö³ÌÐò½«·µ»ØµÄÊý¾ÝЧ¹û¾ÙÐÐÃûÌû¯£¬¼´¿É½«ÓªÒµÏµÍ³ÍØÆËչʾÖÁ»²¼ÖС£

05 ×ܽá
µ±Ó¦ÓÃϵͳÔËÐÐÒì³££¬»ò·ºÆðÉøÍ¸¹¥»÷ʱ£¬Ò»·Ý׼ȷ¡¢ÕæÊµµÄÓ¦ÓÃÍØÆËͼ£¬ÍùÍùÄÜÈÃÇå¾²ÍŶӵÄÊÂÇéЧÂÊ»ñµÃ¼«´óµÄÌáÉý¡£Óû§Êý¾ÝÖÐÐÄÔËÐÐ׿¸°ÙÉÏǧÌ×Ó¦ÓÃϵͳ£¬´ËʱÈôÊÇͨ¹ýÈ˹¤Î¬»¤ÍØÆËÐÅÏ¢£¬ÔòÐèҪͶÈ뼫´óµÄÈËÁ¦±¾Ç®£¬²¢ÇÒ¼«¿ÉÄÜ·ºÆðά»¤ÐÅÏ¢½û¾øÈ·µÄÇéÐΡ£µ«Í¨¹ýÁ÷Á¿ÒÔ¼°Ò£²âÊý¾Ý»ùÓÚÕæÊµÓªÒµÅ²Óûá¼ûÊý¾Ý£¬½áÊÊÓû§µÄ×ʲú¹ÜÀíϵͳÊý¾Ý£¬¿É×Ô¶¯ÌìÉú¸÷Ó¦ÓÃÏµÍ³ÕæÊµ¡¢×¼È·µÄÓ¦ÓÃÍØÆËͼ¡£ÉÐÓÐһЩÓÅÊÆÀýÈçµ±Ó¦Ó÷ºÆð±ä»»£¬ÈçÐÂÔöÓ¦Óýڵã»ò»á¼û¹ØÏµ±¬·¢×ª±äʱ£¬ÏµÍ³¿É×Ô¶¯¸üÐÂÍØÆË£¬²¢ÎªÓ¦Óö˵½¶Ë×·×ÙÆÊÎö¹¥»÷ÕßÉøÍ¸ºóµÄÄÚÍøºáÏò¼°×ÝÏòÒÆ¶¯ÐÐΪ£¬ÎªºóÐøµÄÓ¦¼±ÏìÓ¦ÊÂÇéÌá¹©ÕæÊµ×¼È·µÄÊý¾ÝÖ§³Ö¡£
×ʲú¹ØÏµÍØÆËÊÇÕû¸ö×ʲúÔËӪģ¿éµÄÖ÷Òª×é³É²¿·Ö£¬¿ÉÒÔ¿ìËٵء¢ÖÜÈ«µØ¡¢×¼È·µØÕ¹Ê¾×ʲú¹ØÏµ£¬ÓÐÓõÄ×öºÃ×ʲúÊáÀíÊÇÆóÒµ×ʲúÇå¾²½¨ÉèµÄ»ùʯ¡£
- Òªº¦´Ê±êÇ©£º
- ×ðÁú¿Ê± ×ʲú·¢Ã÷Óë¹ÜÀí ÆóÒµÓ¦ÓÃ×ʲú¹ØÏµÊáÀí