SIG流量分析原理.doc

流量流向分析全网流量分析就是判定IP网络流量数据包的协议类型、流向、流速和占用带宽，能够提供实际测量的字节数、当前带宽、峰值流量、新增连接数、最大并发连接数、当前并发连接数等一系列网络流量参数，并将其记录到数据库中。SIG不仅支持宏观上的全网业务流量分析，更可精确定位于指定区域内指定协议的分时流量信息，提供精细化的流量分析统计。SIG可直观显示网络流量的流向，提供市内、市外、省内、省外的流量分析统计，为IP网络的运营以及网络客户商业价值深度挖掘提供数据基础。管理员可以实时查看各种业务数据的上下行流量和所占的比例。对于历史数据，SIG系统生成丰富多样的报表，如柱状图、曲线图和饼图，帮助管理员了解网络流量，为制定控制策略提供强大的支持。流量分析业务可以帮助运营商了解非法用户占用带宽，同时推出自己的新业务。如有偿P2P传输业务，为用户保留部分带宽，既满足用户对传输质量的要求，又能增加宽带业务的收入。管理员可以配置流向目的区域的IP地址，并能把多个流向目的区域组合成一个流向目的区域群组，然后可以选择从本地区域到流向目的区域或者本地区域到流向目的区域群组做流向流量统计。从而掌握网络流量的分布情况，以决定是否需要进行如设备扩容、负载均衡、策略调整等深入处理。无线网络监控随着无线上网的普及，无线用户的账号、接入省市、接入地市、归属省市、归属地市、上网时长、上网流量等信息对运营商有着重要的意义。例如为无线用户提供上网信息查询等服务，通过用户的上网流量、时长来收费，当无线用户上线时向其推送信息，用户上线时收到欢迎信息（比如欢迎来自*的用户，您的上网时长为*等信息）。SIG系统支持对移动用户进行监控，解析IP地址与手机号或IMSI（International Mobile Station Identification Code）的对应关系。对于CDMA2000网络用户，SIG系统支持： 信息推送对数据卡用户进行信息推送。 网元流量统计和监控统计各网元的所有流量，控制各网元的P2P流量。 漫游识别识别本地用户漫出、外地用户漫入、本地用户在省内各地市漫游。 漫游用户统计统计识别出的漫游用户的上网信息，包括归属地、上网流量、上网时长和上网频次等信息。对于WCDMA、TD-SCDMA、GPRS网络用户，SIG系统支持： 信息推送对数据卡用户进行信息推送。 网元流量统计和监控统计各网元的所有流量，控制各网元的P2P流量。说明： 对于移动网络用户，SIG系统支持其他所有固网的特性。例如：P2P监控、共享接入监控、邮件监控业务等。VoIP监控虚拟运营VoIP造成电信运营商话费收入减少，特别是国际长途话费。SIG系统检测出虚拟运营VoIP，并自动对其进行限制，让使用虚拟运营VoIP服务的用户感到非法的VoIP不可靠，从而使用电信运营商的合法业务，以达到保护电信运营商正常话务业务的目的。SIG通过分析VoIP话务的媒体特征和信令特征，取得相应的通话信息，从媒体和信令的角度对VoIP通话进行控制。VoIP监控管理主要包括如下功能： 实时显示VoIP网关/网守 提供VoIP网关/网守详细信息查询 提供VoIP通话详细话单 提供更改VoIP网关/网守的干扰策略 实时显示处理流量、控制流量和全部接收流量 实施多种干扰策略 采取多样的干扰方式和干扰强度 黑白名单管理 设置多级可疑VoIP通话数阈值 全面的计费衡量 丰富的统计、查询和报表功能 账号检测 协议检测DDoS攻击防范DDoS (Distributed Denial of Service) 攻击是指借助于客户/服务器的技术，将多个计算机联合起来作为攻击平台，对一个或者多个目标发动的DoS攻击。从而成倍地提高拒绝服务攻击的威力。DDoS是目前常出现的一种攻击方式，主要攻击目标是规模较大的站点，例如商业公司、搜索引擎和政府部门站点。危害如下： 恶意用户使用大量数据包攻击系统，使系统无法接受正常用户的请求，或主机挂起不能正常工作。 网络中充斥大量垃圾报文，消耗网络带宽，影响其他正常网络业务。SIG系统的DDoS监控检测技术有： 深度报文检测DPI（Deep Packet Inspection）以数据包为单位，进行47层的应用级别的检测识别。 深度流检测DFI（Deep Flow Inspection）以五元组流为单位，进行应用级别的检测识别。 启发式行为分析当用户的某些行为（包速率、流量、新建流数目）达到指定阈值后，则对该用户进行深层次的行为分析。深层次的行为分析包括： 攻击类型分析 攻击源分析 攻击特征指纹分析SIG系统的DDoS防御功能需要和防火墙Eudemon 8000/8000E系列设备协同完成。在DDoS攻击防范部署方案中，SIG作为检测中心、Eudemon 8000/8000E系列设备作为清洗中心，SIG-Server或ATIC-Server作为管理中心。SIG检测到异常流量后可以抓取攻击报文发送给管理中心分析。亦支持基于预定义的过滤规则抓取正常流量报文，为用户分析未知流量提供依据。SIG能快速将检测到的受攻击目标及其异常流量特征通告给Eudemon 8000/8000E清洗设备，由清洗设备快速完成引流和精确清洗。BotNet监控BotNet（僵尸网络）是指采用一种或多种传播手段，将大量主机感染僵尸Bot程序，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。BotNet监控业务提供以下查询和统计功能： 查询僵尸控制者信息 查询僵尸信息 查询僵尸攻击日志 查询僵尸网络监控日志 统计僵尸工具对应控制者 统计僵尸工具对应僵尸 查询IRC服务器信息P2P监控SIG采用旁路部署方式通过多种控制方式对P2P流量进行限制。其基本原理为在城域网出口监听所有上行/下行流量，在检测出P2P连接和流量基础上，对处于超过P2P流量限值的P2P连接发送伪装的数据包进行控制。P2P监控管理主要包括如下功能： 实时监控在线P2P用户 准确检测多种P2P协议及其流量 提供全方位的统计报表 总流量控制 区域/组/用户流量控制策略配置 白名单配置网站访问统计网站访问统计包括两部分内容： URL访问统计 外网URL统计 外网URL域名统计 内网URL统计 内网URL域名统计 URL备案 URL备案管理把运营商提供的备案文件导入到数据库，支持txt/xls两种格式文件的导入。 URL备案统计对比内网域名汇总报表和URL备案文件，刷新网站对应信息，并更新刷新时间，可以在Web页面进行展示，以便了解内网网站备案的情况。页面访问审计SIG系统根据用户访问的URL的分类（例如：新闻类、赌博类）对用户的Web访问行为进行审计。SIG系统支持如下URL审计功能： 支持双向/上行/下行的流量审计。 支持只进行主动访问审计，即用户自主访问的URL，过滤掉被动跳转的URL。 支持全流审计和首包审计。 支持审计过滤器，过滤指定后缀的URL访问。 支持未分类URL与所有分类URL的审计。 支持审计信息查询。URL过滤SIG系统根据用户访问的URL的分类（例如：新闻类、赌博类）对用户的Web访问行为进行控制。控制方式包括：阻断告警、阻断不告警。SIG系统支持如下URL过滤功能： 双向/上行/下行的流量控制。 基于区域的URL策略。 管理员自定义URL和URL分类。 URL分类库在线自动升级。 URL流量镜像。 URL控制信息查询。共享接入监控共享接入的宽带用户，无论其采用共用NAT、共用Proxy、或分时段共用帐号上网（包括ADSL和LAN上网两种模式），SIG都能得到IP地址与所携带用户数的准确对应关系。限制共享接入用户网络访问的主要手段有推送告警页面、重置HTTP请求、干扰TCP请求等。共享接入监控功能主要包括如下功能： 实时监控在线的共享接入用户及其主机数 配置多样的共享接入用户干扰方式 配置多维的共享接入用户干扰策略 黑白名单管理 详细的共享接入用户信息统计和查询 共享拨号用户的准确识别和处理用户行为分析SIG系统部署在城域网的出口，能够监控所有经过城域网出口的流量。通过强大的DPI协议识别功能，SIG系统可以实时统计和记录流量流向信息、协议信息、用户上网时长、搜索信息、网站和URL小类访问信息，可以根据URL分类、特定网站、协议和配置关键字的访问情况生成兴趣，并通过丰富的报表展示各种用户行为以及趋势，为精细化运营提供参考。SIG系统提供网站访问量排名统计功能。通过网站排名功能，管理员可以了解当前的热点话题和网络流行趋势，掌握用户群大致的兴趣分布，为挖掘潜在的用户需求、优化运营策略提供科学的指导数据。运营商分析用户的行为有利于： 通过提供个性化的业务介绍和推送等服务，为ISP（Internet Service Provider）/ICP（Internet Content Provider）提供信息中介服务，增加收益。 细分用户群，根据各个用户群体的行为习惯提供相应的带宽传输业务，并根据传输质量收取不同的费用。 注入宽带业务运营新理念，通过提供精细化、个性化的带宽业务来增加收入。 为优化现有宽带业务和挖掘潜在业务提供数据指导，寻找新的利益增长点。例如对于游戏、P2P下载、电影、上网等用户，运营商可以提供不同的资费组合，并根据费用情况提供不同的传输质量保障，逐步取代基于基本接入带宽的运营方式。流量镜像流量镜像就是对网络上的流量进行识别，再根据需要进行转发，将流量保存到指定的第三方系统（如iCache系统）上。由第三方系统对流量作进一步分析或缓存。 将外网的网络流量缓存到城域网内部的服务器，该服务器可以提供代理和缓存功能，实现用户再获取相同网络流量时不再耗费外网带宽。其目的是提升用户体验。系统支持如下镜像功能： 支持IP地址段镜像、传输层和应用层协议镜像、规则特征字镜像、大类协议和小类协议镜像，端口组镜像，上下行报文镜像和URL关联镜像。 支持多重镜像，对进入系统的流量可以通过不同的匹配条件转发给多个第三方系统。 支持转发接口定向配置，对于特定的流量可以指定转发给特定的目标系统。 邮件监控SIG系统提供专门的模块来对Spam进行集中管理，其主要功能包括： 黑名单过滤SIG系统能够根据管理员配置的域名黑名单和IP地址黑名单判定一封邮件是否是垃圾邮件。对于垃圾邮件，SIG系统将截断其发送，保证用户免受垃圾邮件的困扰。 黑白名单管理管理员可以制定垃圾邮件的黑白名单。SIG系统能够实现网内黑/白名单、网外黑名单管理。 邮件数目统计SIG系统能够分别对异常邮件数、网内到网外邮件数、网外到网内邮件数进行统计。非常规接入监控针对“假接入，真互联”现象，即一些小运营商网络通过一个同时接入小运营商和大运营商的大客户做中转，滥用大客户专线的情况，SIG系统提供发现“假接入，真互联”现象的解决方案，而非法路由和路由探测是这一解决方案的两个重要组成部分。非法路由监控SIG系统能进行非法路由的检测。您可以通过查看报表，了解AS域非法穿越信息、IP非法穿越信息和非法穿越历史信息。在查看报表前，管理员要先配置SIG系统所监控AS域的父AS域、非法路由监控业务所监控的区域，以及系统判定为非法路由行为的阈值。路由探测针对“假接入，真互联”现象，即一些小运营商网络通过一个同时接入小运营商和大运营商的大客户做中转，滥用大客户专线的情况，SIG系统提供发现“假接入，真互联”现象的解决方案，而路由探测是这一解决方案的重要组成部分。路由探测业务需要一个安装了TraceRoute.exe软件并接入到被探测运营商网络的探测端与SIG系统配合实现。有两种实现方式： 目标IP地址探测使用目标IP地址探测时，将实施探测的“运营商A”的网内IP地址设为路由探测的目标IP地址，使用一个安装了TraceRoute.exe软件并接入到被探测的“运营商B”的网络的终端作为探测端。探测端通过向目标IP地址发送ICMP请求报文来探测到目标IP地址的路由，并将探测结果上报SIG系统，由SIG系统分析是否存在可疑互联点。 特定应用探测使用特定应用探测时，将公网的某个特定应用服务器设为路由探测的目标，使用一个安装了TraceRoute.exe软件并接入到被探测的“运营商B”的网络的终端作为探测端。探测端向特定应用服务器发送私有探测报文，由SIG系统在实施探测的“运营商A”的网络出口探测，并记录探测结果。通过路由探测功能，可以帮助运营商实现： 对网络资源进行有效管理，避免非法占用网络资源的行为。 打击非法运营的小运营商，提高合法用户的网络体验，增加运营收入。 增加对网络现状的了解，合理制定应对策略。信息推送iPush系统支持向终端用户（包括固网上网用户和无线数据卡上网用户）推送不同类型的信息，运营商使用系统预定义的信息分类可完成相应的信息推送目的： 公告用于向终端用户发布新闻、系统升级公告等信息。 资费信息用于向终端用户发布用户账户余额信息或套餐到期信息，提醒用户及时充值以免影响业务的正常使用。 商业广告运营商利用现存网络资源开拓广告业务，与广告商合作向终端用户推送商业广告，提升增值运营能力，增加收入。除以上3种系统预定义的信息分