网络流量分析入门
网络流量分析入门
网络流量分析是蓝队日常工作中不可或缺的技能。通过对网络数据包的捕获和分析，安全人员可以发现入侵行为、识别恶意通信、追踪数据泄露，是事件响应和威胁狩猎的重要手段。
一、网络流量分析概述
1.1 流量分析的价值
- 入侵检测：发现异常的网络行为和通信模式
- 恶意软件分析：追踪C2通信和数据外泄
- 事件响应：还原攻击过程和影响范围
- 合规审计：验证网络通信是否符合安全策略
1.2 数据包捕获位置
- 网络边界：捕获进出网络的流量
- 核心交换机：通过端口镜像捕获内部流量
- 目标主机：使用本地抓包工具捕获主机流量
- 中间节点：在关键设备处捕获流量
二、Wireshark基本使用
2.1 Wireshark简介
Wireshark是最广泛使用的网络协议分析器，支持数百种协议的解码和分析。
2.2 开始捕获
- 选择要捕获流量的网络接口
- 点击"开始捕获"按钮
- 使用显示过滤器缩小分析范围
- 停止捕获并保存为pcap文件
2.3 过滤器语法
捕获过滤器（BPF语法）
# 只捕获HTTP流量
tcp port 80
# 只捕获指定主机的流量
host 192.168.1.100
# 组合过滤
src host 192.168.1.100 and tcp port 443显示过滤器（Wireshark语法）
# 过滤HTTP协议
http
# 过滤指定IP
ip.addr == 192.168.1.100
# 过滤DNS查询
dns.qry.name contains "example.com"
# 过滤特定端口
tcp.port == 443三、HTTP流量分析
3.1 HTTP请求分析
http.request.method == "GET"
http.request.method == "POST"
http.request.uri contains "/admin"3.2 识别可疑HTTP流量
- 异常User-Agent：非标准浏览器的UA字符串
- 可疑URL路径：包含目录遍历、SQL注入等特征
- 数据外泄：大量POST请求发送敏感数据
- Webshell通信：特定模式的请求响应对
3.3 HTTP内容提取
Wireshark支持从HTTP流量中提取传输的文件：
- 统计 -> HTTP -> 请求
- 文件 -> 导出对象 -> HTTP
- 选择目标文件并导出
四、DNS流量分析
4.1 DNS查询类型
- A记录：域名到IPv4地址的映射
- AAAA记录：域名到IPv6地址的映射
- MX记录：邮件交换记录
- TXT记录：文本记录，常用于验证和策略
4.2 DNS异常识别
DGA域名检测：恶意软件使用的算法生成域名通常具有以下特征：
- 域名长度异常
- 字符组合随机性强
- 查询频率高且域名不重复
DNS隧道检测：
dns.qry.name.len > 50
dns.count.answers > 5DNS数据外泄：通过DNS查询参数携带数据
4.3 DNS分析过滤器
# 过滤DNS查询
dns.flags.response == 0
# 过滤DNS响应
dns.flags.response == 1
# 过滤NXDOMAIN响应（域名不存在）
dns.flags.rcode == 3
# 过滤包含特定字符串的域名
dns.qry.name contains "malware"五、异常流量识别
5.1 常见异常模式
| 异常类型 | 特征 | 检测方法 |
|---|---|---|
| 端口扫描 | 短时间内大量SYN到不同端口 | 统计目标端口多样性 |
| 数据外泄 | 大量出站流量到单一目标 | 监控流量大小和方向 |
| C2通信 | 定期心跳连接、编码payload | 分析连接周期和内容 |
| ARP欺骗 | 异常ARP响应 | 监控ARP表变化 |
| DNS隧道 | DNS查询中携带大量数据 | 监控DNS查询长度和频率 |
5.2 统计分析功能
Wireshark提供多种统计分析工具：
- Conversations：查看通信会话统计
- Endpoints：查看端点流量统计
- Protocol Hierarchy：查看协议分布
- IO Graphs：查看流量时间分布
- Expert Information：自动检测异常和警告
5.3 常用分析命令
# 使用tshark命令行分析
tshark -r capture.pcap -Y "http.request" -T fields -e http.host -e http.request.uri
# 提取DNS查询
tshark -r capture.pcap -Y "dns.qry.name" -T fields -e dns.qry.name
# 统计IP通信对
tshark -r capture.pcap -q -z conv,ip
# 统计HTTP请求
tshark -r capture.pcap -q -z http,tree六、流量分析实战建议
- 建立基线：了解正常网络流量模式，便于识别异常
- 分层分析：先宏观统计，再深入细节
- 关联分析：将网络证据与其他来源的证据结合
- 持续学习：跟踪新协议和新的攻击技术
- 工具组合：Wireshark结合Zeek、Suricata等工具使用
七、总结
网络流量分析是蓝队防御体系中的重要环节。掌握Wireshark的使用和协议分析技术，能够帮助安全人员快速发现网络中的异常活动，为安全事件的检测和响应提供关键信息。