标签: 网络流量捕获

在 OIDA 方法（观察、识别、剖析、分析）中，识别阶段对于在捕获的网络流量中精确定位相关数据至关重要。本文重点介绍如何在这一关键步骤中有效使用 Wireshark 和 Profitap 的 IOTA。 OIDA方法系列文章主要包含四个部分，分别是观察、识别、剖析和分析。本文是该系列的第二部分——学会识别。 一、Wireshark：深入研究相关对话 Wireshark 提供了几种功能强大的工具，用于识别重要的流量模式和对话。 （一）对话框（Conversations dialog） 对话框是识别网络端点之间通信模式的重要工具。 Conversations） 查看按各种标准（字节、数据包、持续时间）排序的对话 右键单击会话，将其用作显示过滤器 （二）将对话框与显示过滤器结合使用 将对话框与显示过滤器结合使用，可以实现精确的流量隔离： 应用初始显示过滤器（如 http） 打开对话框查看特定于 HTTP 的对话 右键单击感兴趣的对话并选择应用为过滤器 现在，显示过滤器将只显示该特定 HTTP 会话的流量 通过这种方法可以逐步完善视图，有助于将相关流量归零。 （三）端点对话框 端点对话框汇总了捕获中的所有端点： Endpoints) 识别主要通话者或可疑端点 与对话框结合使用，跟踪端点通信 （四）协议层次结构 Protocol Hierarchy（协议层次结构）窗口提供捕获中存在的协议细目： Protocol Hierarchy)访问 快速识别主要协议 发现可能显示问题的异常或意外协议 （五）使用协议层次结构 确认预期的应用程序行为 识别潜在的安全问题（如意外协议） 指导进一步过滤和分析 二、IOTA：实时识别和过滤 Profitap的IOTA提供实时仪表盘，可快速突出显示网络流量中值得关注的区域。在仪表盘之间切换和过滤数据的功能可让您快速从鸟瞰视图转向数据包级细节。 （一）应用程序概览仪表板 应用程序总览仪表板可提供网络上应用程序使用情况的即时概览。 主要功能： 实时查看活动应用程序 每个应用程序的带宽使用情况 快速过滤功能 有效使用： 监控意外应用流量 当报告特定应用程序出现问题时，使用仪表板快速过滤并关注该应用程序的流量 （二）TCP分析仪表板 IOTA中的TCP分析仪表板可与Wireshark的对话对话框相媲美，但可提供实时见解。 如何使用： 识别热门通话者和最繁忙的对话 点击特定流量，深入查看详细的数据包数据 使用过滤选项关注特定 IP 地址、端口或协议 TCP 分析仪表板可实时快速识别异常流量模式或潜在瓶颈。 三、结论 掌握数据包分析中的识别阶段包括有效使用 Wireshark 的对话框、端点对话框和协议层次结构等工具，以及 IOTA 的应用程序和流量仪表板。利用这些工具，分析人员可以快速定位相关数据、识别异常模式，并将调查重点放在最相关的信息上。 本文是系列文章的第二部分，后续文章将深入探讨OIDA的“剖析”和“分析”阶段。 下面是OIDA识别核对表，通过遵循此核对表并有效使用所讨论的工具，分析师可以确保在识别阶段采用全面的方法，为数据包分析的后续阶段奠定坚实的基础。 附：OIDA 识别核对表 为确保在识别阶段采取彻底的方法，请考虑以下核对表： 您是否使用了 Wireshark 的协议层次结构来概述捕获中的协议？ 是否使用 Wireshark 的 “对话 ”对话框或 IOTA 的 “TCP 分析 ”仪表板确定了主要对话？ 您是否在 Wireshark 中应用了适当的显示过滤器来关注相关流量？ 如果使用 IOTA，您是否使用了应用程序仪表板来识别和过滤特定应用程序流量？ 您是否使用 Wireshark 的端点对话框或 IOTA 的 TCP 分析仪表板交叉引用了感兴趣的端点？ 您是否发现了任何需要进一步调查的意外协议或应用程序？ 您是否使用了过滤技术来隔离特定对话或数据流以进行更深入的分析？ 是否检查了流量模式中的任何异常或意外的高流量会话？ 如果正在调查报告的问题，您是否成功隔离了与受影响应用程序或服务相关的流量？ 您是否已准备好根据初步发现中出现的新信息对识别流程进行迭代？ 欢迎前往艾体宝itbigtec了解更多Profitap-IOTA！

您是否在数据包分析中遇到了挑战？专业人员经常发现自己对错综复杂的数据包分析束手无策。OIDA方法（观察、识别、剖析、分析）可用于更好地应对这一挑战。这种方法旨在简化数据包分析流程，使新手更容易掌握，同时提高经验丰富的分析人员的效率。 OIDA方法系列文章主要包含四个部分，分别是观察、识别、剖析和分析。本文是该系列的第一部分。 一、什么是 OIDA？ OIDA 代表一个四步流程，旨在指导分析人员完成数据包分析之旅： 观察： 在正确的时间和地点捕获正确的数据。 识别： 精确定位捕获数据中的相关信息。 剖析：分解已识别的数据进行详细检查。 分析： 从分解的信息中得出有意义的结论。 虽然每个步骤都至关重要，但本文重点关注基础性的第一步：观察。该步骤为后续所有分析奠定了基础，并能显著影响结果的质量。 二、学会观察 数据包分析中的观察不仅仅是捕获或接收数据，而是一个需要精心规划和执行的战略过程。 1、确定目标 在开始数据包捕获之前，必须明确定义目标。无论是排除特定应用程序的故障、调查安全事件还是了解整体网络性能，目标都会指导从捕获位置到持续时间的整个观察策略。 2、选择最佳捕获点 网络流量流经许多点，选择正确的捕获点至关重要。要分析两台服务器之间的流量，理想的捕获点是所有相关流量都能看到，而不会被无关数据淹没。了解网络拓扑结构是做出这一决定的关键。如果接收现有流量，还应确保能看到所有相关流量。因此，还应该询问网络图。 3、把握捕获时机 有些网络问题具有间歇性或时间敏感性。在正确的时间进行观察，是捕捉到问题还是完全错过问题的关键。这可能需要在高峰时段安排捕获，或设置触发器，在满足特定条件时开始捕获。此外，有些问题可能需要长期监控才能获得足够的信息来发现。性能分析也是如此，在性能分析中，长期捕获往往有利于获取更多的历史数据。 4、选择正确的工具 虽然 Wireshark 是一款功能强大且广受欢迎的数据包分析工具，但它并不总是适用于所有情况。Profitap 的 IOTA 等设备可提供流量捕获、板载分析和实时洞察，这在某些情况下是非常宝贵的。IOTA 能够提供网络流量的即时可见性，是正确工具如何加强 OIDA 观察阶段的例证。以下将探讨这一关键步骤的核心要素。 5、确保符合法律和道德规范 在开始数据包捕获之前，必须确保必要的权限到位，并遵守所有相关法律和公司政策。在许多司法管辖区，未经同意捕获某些类型的数据可能是非法的。在观察过程中，应始终优先考虑道德因素。 6、获取足够的数据 捕获足够的数据是进行深入分析的关键，尽管避免过多的数据捕获同样重要。这通常需要平衡捕获持续时间、缓冲区大小和数据管理技术。延长捕获时间或增加缓冲区大小可以提供更全面的数据，但可能导致文件过大或系统无法跟上，从而导致数据丢失。 为应对这一挑战，可以实施循环捕获缓冲区。这种技术涉及创建多个固定大小或持续时间的捕获文件，当前文件达到限制时，自动开始新的文件。 持续捕获数据而不会创建难以管理的大文件。 即使需要丢弃旧数据，也能保留最新数据。 通过处理更小、更易管理的文件大小，简化捕获后的分析。 降低因系统资源限制导致的数据丢失风险。 关键在于找到全面数据收集与高效数据管理之间的平衡，并根据具体的分析任务量身定制方法。 7、记录过程 在观察和捕获过程中进行记录至关重要。记录时间、地点、捕获持续时间以及任何相关的网络条件，为 OIDA 方法的后续步骤，特别是在分析阶段，提供了宝贵的信息。 三、结论 掌握观察的艺术为成功的数据包分析奠定基础。分析的质量取决于捕获的数据质量。精心规划和执行观察策略可以使 OIDA 的后续步骤——识别、剖析和分析——更加简单和有效。 显然，这个过程是迭代的。初次尝试可能无法清晰显示问题，需要重新捕获。然而，这个过程旨在解决所有痛点，确保第一步就能捕获相关信息。 本文是系列文章的第一部分，后续文章将深入探讨 OIDA 的“识别”、“剖析”和“分析”阶段。 四、OIDA 观察清单 你是否明确定义了要调查的问题或场景？ 你是否确定了在网络中捕获相关流量的最佳位置？ 你是否选择了适合需求的数据包捕获工具（如 Wireshark、tcpdump、Profitap IOTA）？ 你是否确定了捕获相关流量的最佳时间窗口？ 你是否拥有在该网络上捕获流量的必要权限？ 你是否配置了捕获过滤器以关注相关流量（如适用）？ 你的捕获缓冲区大小是否适当？ 你是否确保有足够的存储空间存储预期的捕获文件大小？ 你的捕获设备的时钟是否同步，以确保准确的时间戳？ 你是否准备好记录捕获的详细信息（时间、地点、持续时间、网络条件）？