艾體寶干貨 OIDA之四：掌握數(shù)據(jù)包分析-分析的藝術(shù)

一、網(wǎng)絡(luò)分析的本質(zhì)

要了解分析流程，就必須認(rèn)識(shí)到這不僅僅是查看數(shù)據(jù)，而是要解讀數(shù)據(jù)包所講述的故事。這需要將多個(gè)數(shù)據(jù)包和數(shù)據(jù)流中的信息關(guān)聯(lián)起來，識(shí)別模式和異常，并將數(shù)據(jù)與更廣泛的網(wǎng)絡(luò)環(huán)境聯(lián)系起來。這一過程既需要技術(shù)技能，也需要直觀理解，將數(shù)據(jù)解讀的科學(xué)性與解決問題的藝術(shù)性融為一體。

二、關(guān)鍵分析技術(shù)

1、模式識(shí)別

有效分析的核心在于模式識(shí)別。分析人員必須練就一雙慧眼，從異常模式中分辨出正常的流量模式，識(shí)別出可能預(yù)示著問題或攻擊的標(biāo)準(zhǔn)協(xié)議行為偏差，并識(shí)別出可能預(yù)示著性能問題或可疑活動(dòng)的異常定時(shí)模式。Wireshark的 IO Graphs和 IOTA的各種儀表盤等工具在這一過程中非常有用，它們提供了一段時(shí)間內(nèi)流量模式的可視化表示，使分析人員能夠快速發(fā)現(xiàn)趨勢(shì)和異常。

2、性能分析

性能分析是這一階段的另一個(gè)重要方面。在這一階段，分析人員通過測(cè)量數(shù)據(jù)包在網(wǎng)絡(luò)點(diǎn)之間傳輸所需的時(shí)間、評(píng)估實(shí)際數(shù)據(jù)傳輸速率與預(yù)期值之間的差異以及了解數(shù)據(jù)包重傳的原因，深入研究延遲、吞吐量和重傳率等指標(biāo)。Wireshark的 TCP流圖和 IOTA的 TCP流功能為這種深入的性能評(píng)估提供了強(qiáng)大的功能，使分析人員能夠剖析單個(gè)數(shù)據(jù)流的行為。

圖1：TCP連接中的序列號(hào)(Stevens)隨時(shí)間變化的情況

3、安全分析

在當(dāng)今充滿威脅的數(shù)字環(huán)境中，安全分析已成為數(shù)據(jù)包檢查不可或缺的一部分。分析人員必須善于通過識(shí)別可能表明存在未經(jīng)授權(quán)訪問企圖的流量模式來檢測(cè)潛在的入侵。他們需要識(shí)別網(wǎng)絡(luò)流量中惡意軟件活動(dòng)的蛛絲馬跡，并警惕可能預(yù)示著數(shù)據(jù)外滲企圖的異常出站流量。Wireshark的協(xié)議剖析器可以幫助識(shí)別可疑的有效載荷，其對(duì)話統(tǒng)計(jì)數(shù)據(jù)可以突出顯示不尋常的通信模式，而 IOTA的安全儀表板則在此基礎(chǔ)上更進(jìn)一步，針對(duì)潛在的安全威脅提供實(shí)時(shí)洞察力和詳細(xì)的數(shù)據(jù)包信息。

4、應(yīng)用程序行為分析

通過網(wǎng)絡(luò)流量了解應(yīng)用程序行為是分析師的另一項(xiàng)重要技能。這包括檢查應(yīng)用層協(xié)議的復(fù)雜性以了解應(yīng)用程序如何通信，識(shí)別表明網(wǎng)絡(luò)資源使用效率低下的模式，以及將應(yīng)用程序性能與網(wǎng)絡(luò)指標(biāo)相關(guān)聯(lián)。Wireshark的特定協(xié)議分析功能和 IOTA的應(yīng)用程序儀表板等工具為這一領(lǐng)域提供了寶貴的洞察力，使分析人員能夠彌合網(wǎng)絡(luò)性能與應(yīng)用程序行為之間的差距。

圖2：IOTA的應(yīng)用概覽頁(yè)面

三、高級(jí)分析技術(shù)

1、基于時(shí)間的分析

隨著分析人員經(jīng)驗(yàn)的積累，他們經(jīng)常會(huì)發(fā)現(xiàn)自己需要使用更高級(jí)的技術(shù)。例如，基于時(shí)間的分析包括檢查相關(guān)數(shù)據(jù)包之間的時(shí)間差，以識(shí)別延遲或低效，以及了解數(shù)據(jù)包序列的順序和時(shí)間，以診斷協(xié)議或應(yīng)用程序問題。Wireshark的 TCP流時(shí)間序列圖對(duì)這類分析特別有用，它提供了數(shù)據(jù)包定時(shí)的可視化表示，可以揭示微妙的問題。

圖3：IOTA的TCP分析頁(yè)面

2、對(duì)比分析

對(duì)比分析是高級(jí)分析師工具包中的另一項(xiàng)強(qiáng)大技術(shù)。通過將當(dāng)前流量模式與已建立的基線進(jìn)行比較，或?qū)W(wǎng)絡(luò)更改進(jìn)行前后分析，分析師可以識(shí)別正常行為的偏差，并評(píng)估網(wǎng)絡(luò)更改的影響。Wireshark和 IOTA都支持加載和比較多個(gè)捕獲文件，為這類深入比較研究提供了便利。

3、啟發(fā)式分析

有時(shí)，傳統(tǒng)的分析技術(shù)不足以發(fā)現(xiàn)復(fù)雜的問題。這就是啟發(fā)式分析發(fā)揮作用的地方。啟發(fā)式分析包括利用經(jīng)驗(yàn)和直覺來識(shí)別數(shù)據(jù)中可能無(wú)法立即發(fā)現(xiàn)的潛在問題，應(yīng)用網(wǎng)絡(luò)架構(gòu)、協(xié)議和常見問題的知識(shí)來指導(dǎo)調(diào)查，以及根據(jù)觀察到的數(shù)據(jù)來開發(fā)和測(cè)試有關(guān)網(wǎng)絡(luò)行為的假設(shè)。這種類型的分析通常需要?jiǎng)?chuàng)造性地使用 Wireshark和 IOTA中的工具，以新穎的方式結(jié)合不同的功能，從而獲得新的見解。

4、從分析到行動(dòng)

分析階段的最終目標(biāo)是將洞察力轉(zhuǎn)化為行動(dòng)。這可能涉及生成報(bào)告，以清晰、可操作的格式為利益相關(guān)者總結(jié)發(fā)現(xiàn)，根據(jù)分析結(jié)果推薦具體的變更或干預(yù)措施，或建立持續(xù)的分析流程以跟蹤已實(shí)施解決方案的有效性。Wireshark和 IOTA都提供了報(bào)告功能，可幫助有效傳達(dá)分析結(jié)果，確保分析成果可以輕松共享并付諸行動(dòng)。

圖4：分析到行動(dòng)的工作流程

四、分析的反復(fù)性

重要的是要記住，有效的分析往往是反復(fù)進(jìn)行的。最初的發(fā)現(xiàn)可能會(huì)引發(fā)新的問題，要求分析人員重新審視 OIDA的早期階段。關(guān)鍵是要保持好奇心，有條不紊，并對(duì)意想不到的發(fā)現(xiàn)持開放態(tài)度。分析過程中的每一次迭代都會(huì)帶來新的見解，完善理解，并帶來更有效的解決方案。

五、分析中的自我反思

分析人員在分析階段工作時(shí)，應(yīng)不斷向自己提出探究性問題： 是否已經(jīng)確定并檢查了所有相關(guān)的交通模式？是否進(jìn)行了全面的性能分析？是否考慮了潛在的安全影響？應(yīng)用程序行為如何影響網(wǎng)絡(luò)性能？是否進(jìn)行了基于時(shí)間的分析，以了解網(wǎng)絡(luò)事件的順序和時(shí)間？是否進(jìn)行了比較分析？是否采用啟發(fā)式分析來發(fā)現(xiàn)不太明顯的問題？

結(jié)論：綜合分析的力量

通過解決這些問題并應(yīng)用所討論的分析技術(shù)，分析人員可以全面檢查網(wǎng)絡(luò)數(shù)據(jù)。這種全面的方法可以帶來有意義的見解和有效的問題解決方案，將數(shù)據(jù)包分析的藝術(shù)和科學(xué)轉(zhuǎn)化為對(duì)網(wǎng)絡(luò)性能、安全性和可靠性的切實(shí)改進(jìn)。

總之，OIDA的分析階段是數(shù)據(jù)包檢查真正發(fā)揮作用的地方。在這一階段，觀察、識(shí)別和剖析的辛勤工作得到了回報(bào)，產(chǎn)生的洞察力可以推動(dòng)網(wǎng)絡(luò)運(yùn)營(yíng)的實(shí)際改進(jìn)。當(dāng)您掌握了分析技術(shù)并學(xué)會(huì)利用 Wireshark和 IOTA等工具的強(qiáng)大功能時(shí)，您會(huì)發(fā)現(xiàn)自己不僅僅是在閱讀網(wǎng)絡(luò)流量，而是真正理解了支撐我們互聯(lián)世界的復(fù)雜數(shù)字對(duì)話。

了解 ITT-IOTA更多信息，歡迎前往【艾體寶】官方網(wǎng)站

審核編輯 黃宇