TCP异常连接分析案例

1、CSNA 网络分析专家案例分析报告2011 年 10 月目录1. 故障现象描述 . 11.1. 故障现象描述. 11.2. 基境描述. 12. 分析方案设计 . 22.1. 分析目标 . 22.2. 分析设备部署. 23. 分析情况 . 23.1. 基本流量分析. 23.2. TCP异常分析. 44. 分析结论 . 9 本环第1页1.故障现象描述1.1. 故障现象描述一大型国企总部的某区域网络，在内网防火墙上发现大量TCP 半连接，疑似DOS 攻击，暂时未对内网服务器造成破坏性问题。由于大量TCP 产生原因未明，调用了应急人员来解决。1.2. 基本环境描述基本网络拓扑如下：图络基本拓扑 表 1

2、 网内网用户访问互联网流量，必须通过代理服务器中转访问。流量走向如上图红色标出线条，用户访问代理服务器需要经过内网三层交换、内网防火墙，其中在三层交换上旁路了大容量存储的网络分析设备，实现了对流量的回溯分析能力。第1页就是在内网的这台防火墙上发现了大量的TCP 连接。2. 分析方案设计2.1. 分析目标找出产生大量TCP 的原因，定位到具体主机。需要重点分析的是TCP 会话部分。2.2. 分析设备部署由于网络中以及部署了回溯的流量分析设备，只需要把故障出现时的流量分析即可，通过科来的网络分析系统2010 回放已保存的数据包。3. 分析情况3.1. 基本流量分析首先利用科来网络分析系统的安全分析

3、方案，对网络中的DOS 攻击、蠕虫第2页病毒、TCP 扫描等进行智能分析。图表 2此数据包共选取了3 分31s 的数据包，总流量为2.389GB。图表 3 总流量数据包大小分布分析，65-127 的小包为2.683.048 个，明显较多。图表 4 数据包大小分布TCP 会话分析，TCP 连接数过多，并且存在大量TCP 复位包。第3页图表 5 TCP 统计DNS 分析，查询数量明显大于回应数据，有大量DNS 请求没有得到回应。图表 6 DNS 分析安全问题诊断：存在疑似DOS 攻击问题，需针对性分析。图表7 安全分析统计3.2. TCP异常分析在对基本流量分析后，对网络中主机TCP 同步发送数据

4、进行排名分析。第4页图表 8 TCP 同步发送排名对TCP 连接较高的IP：7 进行针对性分析。图表 9在IP 会话中只有跟0 的会话，0 为其中的一台代理服务器。继续分析TCP 会话，其中本地使用的端口从9135 进行递增，并且每个会第5页话的数据包个数都为7 个，存在TCP DOS 攻击嫌疑，也验证了在安全分析的统计结果。图表 10选中任意TCP 会话，对其进行TCP 流分析。会话中都包含了这样9 个数据 包，如下图：第6页图表 11 TCP 时序图分析其中包括前三个包为tcp 三次握手建立连接，最后四个包用于关闭连接，中间两个

5、数据包是应用层数据，包含了一个请求和一个响应。定位到数据包解码中，查看应用层的详细信息，如下图：图表 12 应用层请求在客户端发起的应用请求为一CONNECT 类型的HTTP 请求数据，请求内 容为：g.CONNECT :80 HTTP/1.1Host: :80Accept: *服务器对此请求直接给予Forbidden 响应，如下图：图表 13 应用层响应第7页应用层响应内容，如下：.HTTP/1.1 403 Tunnel or SSL ForbiddenDate: Thu, 27 Oct 2011 00:54:55 GMT对如上的QQ 请求进行了解发现，此请求为开启腾讯QQ 旋风后，发出的请

6、求。代理服务器由于不支持这种connect 方式的http 请求，收到后则直接给予拒绝。而关于此URL 请求，最近在网上已经有多例导致网络拥塞现象的故障。对网络进一步了解后，通过TTL 值分析，代理服务器与捕获点位置正好经 过两跳，的确是从代理服务器发出。图表 14 TTL 值分析客户端请求被拒绝后，却并未停止发起连接，在QQ 旋风运行期间一直保持高速的TCP 请求状态。第8页图表 15 新连接间隔分析通过上图可以清晰的看到，客户端在的第一个TCP 会话结束后，2ms 后发起了第二次连接，并且在第二次连接被拒绝后，仍以2ms 的间隔发起了新一次的连接。红色标示部分0.002s 即2ms。而在短

7、短的3 分31s 内，共发起了2966 个TCP 连接，也就是每秒14 个TCP 连接。图表 16 TCP 连接数而在概要中我们也可以看到内网主机数有40744 台之多，如果大量内网主机同时在线运行QQ 旋风，则会造成灾难性故障。第9页图表 17 地址统计这种连接则会一直持续下去，直到用户关掉QQ 旋风程序为止。（一旦把QQ 旋风最小化，运行到主机关机，那后果则会更严重）而目前由于代理服务器前部署了负载均衡设备，对内部服务器暂未造成影响， 而在服务器之前的防火墙则吃不住了，在短时间内则出现了大量TCP 会话，影响了防火墙的正常运行。4. 分析结论当前大量TCP 连接爆发，主要为QQ 旋风程序发起，并且在HTTP 的CONNECT 请求被拒绝后，仍会以2ms 的间隔重现发起新的连接。网络规模庞大，QQ 旋风同时在线的主机数较多，导致了类似DOS 效果的攻击现象。由于第10页服务器区部署了负载均衡设备，