1、綠盟網絡流量分析系統產品白皮書【綠盟科技】 文檔編號NSF-PROD-NTA-V4.5-產品白皮書-V2.0 密級完全公開 版本編號V2.0 日期2017/09/19 撰 寫 人湯湘君 批準人© 3/9/22 綠盟科技 版權聲明本文中出現的任何文字敘述、文檔格式、插圖、照片、方法、過程等內容，除另有特別注明，版權均屬綠盟科技所有，受到有關產權及版權法保護。任何個人、機構未經綠盟科技的書面授權許可，不得以任何方式復制或引用本文的任何片斷。 版本變更記錄時間版本說明修改人2017/9/19V2.0更新3.4湯湘君- 2 -目錄1.引言12.客戶價值22.1網絡和業務規劃相關的問題22.2

2、 與網絡安全運營相關的問題33. 原理介紹33.1Flow技術特點33.2流量分析原理43.3異常檢測原理53.4接口聯動64.NSFOCUS NTA產品介紹74.1產品概述74.2產品架構74.3產品特色84.3.1 全網狀況實時監控84.3.2 準確詳盡的流量分析84.3.3 強大的異常檢測功能94.3.4 IPV4/V6雙棧分析檢測支持104.3.5 靈活多樣的報表展示104.3.6 完整的解決方案114.3.7增值運營帶來收益124.3.8便捷智能的運維方式124.4典型部署135.總結13插圖索引圖 3.1 流量數據的透視5圖 3.2 基線告警示意圖6圖 4.1 全網監控圖8圖 4.

3、2 綠盟科技三位一體方案11圖 4.3 典型部署13綠盟科技網絡流量分析系統產品白皮書1. 引言隨著互聯網技術的迅猛發展，網絡規模空前增長，網絡上的應用越來越廣泛。網絡的多樣性給互聯網用戶帶來了的豐富的生活體驗，與此同時，網絡的復雜性卻增加了網絡運維的管理難度，使運維人員面臨諸多困難。網絡的不斷擴張帶來的網絡協議新變化，無疑增加了網絡的復雜性。由于網絡地址資源的使用越發縮緊，當前的網絡協議IPV4已不能滿足互聯網用戶的需要。IPV6的出現有效解決了IP地址不夠用的情況，它能分配的地址空間是現有互聯網的1029倍。近年來在專家和政府部門的不斷推進下，美國、日本、中國、歐盟等地區都建立了IPV6的

4、骨干網，IPV6的推進已經獲得全球共識。IPV6協議的發展，促使網絡協議由IPV4向IPV6的進行過渡。過渡階段，網絡中常常出現IPV4/V6雙棧并行的情況，加深了網絡的管理和異常事件的排查難度。網絡的復雜性還體現在網絡中承載的業務不斷豐富。為了搶占新的技術變革帶來的發展商機，互聯網需要向用戶提供更大的信息量和多樣化的網絡服務。云端網絡的出現，社交網站的興起，視頻、多媒體技術的迅速發展，各種應用的出現在滿足用戶多樣化的網絡需求的同時，也在互相擠占帶寬。如何保障正常業務，關鍵業務的平穩運行，揪出造成了網絡擁塞的元兇？只有及時的了解到網絡中承載的業務，掌握網絡流量特征，才能使網絡帶寬配置最優化，及

5、時解決網絡性能問題。互聯網承載的業務越來越多，消耗的資源也越來越大，全球網絡都呈現出一種不斷擴張的狀態。對于電信級的網絡，各個網絡節點上的帶寬逐年增大，國際出口的帶寬以及國內運營商之間飛互聯帶寬都在成指數趨勢增長。對于數據中心，為了保證數據托管業務、專網用戶的業務正常運行，在激烈的競爭中給客戶提供優質的服務，帶寬同樣在不斷擴充。除了運營商和數據中心，很多行業或政府的專網的帶寬也在增加，以滿足用戶的需求。高帶寬的網絡環境下，路由設備眾多。透視網絡狀況、及時發現設備故障，根據業務需求合理有效的進行網絡規劃和設計，常常是擺在運維人員面前的難題。另一方面，由于網絡攻擊的成本的技術門檻大幅下降，網絡上的

6、DDoS攻擊的出現頻率和破壞性均在不斷增加。各種攻擊事件的出現，極易消耗網絡資源，可能造成關鍵業務的中斷或網絡服務質量大幅降低的嚴重后果，給運營商、企業和數據中心帶來巨大損失。基于安全運維和競爭的需要，及時發現攻擊事件，建立一個穩定、安全的網絡環境，提供高質量的帶寬服務無疑成為重中之重。近年來攻擊的手段、方式都在持續改進，如慢速攻擊的增加，混合型攻擊的增加，針對IPV6攻擊的增加等等，僅通過網絡擴容的方式并不能真正解決問題。在異常嚴峻的網絡安全形式下，傳統的網絡管理手段已不能滿足運維的需要。為了在復雜的網絡中解決以上提到的各種網絡問題，綠盟科技自主研發了網絡流量分析產品NSFOCUS Netw

7、ork Traffic Analyst，以下簡稱NSFOCUS NTA。基于多年來對網絡分析和攻防的研究理解，旨在于提供智能的管理手段，幫助網絡運維人員透視網絡狀況，及時鎖定異常威脅，減輕網絡復雜性造成的網絡運維壓力，建立一個平穩、高效的網絡環境。2. 客戶價值網絡流量的復雜性給網絡的運營維護帶來了巨大挑戰。綠盟科技網絡流量分析產品能幫助網絡運維人員全面了解網絡狀況，解決運維人員通常關心的兩大類問題。一類是與網絡和業務規劃相關的問題，另一類是與網絡安全運營相關的問題。綠盟科技網絡流量分析產品可以幫助網絡管理員縱觀網絡狀況，了解網絡成分趨勢變化，從容面對網絡異常。提供網絡運營者安全運維的決策分析

8、與建議，幫助運營商、數據中心等企業提供優質的網絡服務，從而增強企業的核心競爭力。下面分別詳細列舉NSFOCUS NTA給客戶帶來的巨大價值。2.1網絡和業務規劃相關的問題NSFOCUS NTA能夠通過SNMP、Netflow等協議格式采集到網絡中路由設備的流量信息，進行多種維度的分析，滿足高帶寬條件下的實時監控，使網絡情況透明化。NSFOCUS NTA圍繞與網絡和業務規劃相關的三個方面進行分析，幫助客戶掌握： 網絡中的流量情況NSFOCUS NTA能監控客戶網絡中的路由設備、關鍵鏈路和重要業務的流量，使用戶縱觀網絡狀況，幫助用戶全面透視網絡狀況，建立網絡整體模型的概念。 網絡中的流量組成成分N

9、SFOCUS NTA能對多達數百種網絡應用進行檢測分析，展現各種應用的流量及在網絡中的占比情況。流量組成分析，使用戶對網絡成份清清楚楚，知道目前最熱的網絡應用是什么，最消耗帶寬的應用是什么，是否有應用擠占了正常業務的帶寬。幫助用戶了解網絡業務開展情況及占用的網絡成本，及時找到網絡瓶頸，做出正確的決策優化網絡。 網絡中的流量變化趨勢NSFOCUS NTA能幫助用戶對重點業務進行長期監控，根據業務在不同時期的流量情況，幫助用戶建立網絡模型。通過對重點業務發展進行價值評估，對網絡規劃和擴容做出正確決策。2.2 與網絡安全運營相關的問題無論是運營商還是數據中心、金融等其他行業，安全運營無疑都是極其重要

10、的。NSFOCUS NTA能解決運維人員最關心的網絡安全運營問題，主要體現在以下幾個方面： 快速發現網絡異常NSFOCUS NTA能夠7x24小時對全網設備進行實時監控。不但能監控網絡設備的物理狀況：如路由器接口狀態是否正常，CPU、內存狀態是否正常，而且能對網絡中的流量異常狀況：如網絡中是否存在攻擊事件，是否存在帶寬超常等進行實時監控。系統可以根據網絡事件的嚴重程度定義不同的告警級別，網絡中一旦出現異常，便會立即觸發告警機制。網絡管理員可以在故障發生的第一時間獲知網絡異常信息，在網絡故障爆發或擴大前采取相應的防范措施，將故障的影響程度降到最低。 定位攻擊源和目標觸發的告警事件中包含著詳盡的內

11、容，通過查看告警事件的分析，可以追溯故障發生的時間，地點，原因，是否屬于人為的惡意攻擊。對于攻擊事件，告警屬性中包含攻擊的流量大小，攻擊流量來源，危險程度等信息，幫助網絡管理員快速判斷并定位故障原因，判斷異常對網絡狀況的影響，及時采取措施進行應急處理。3. 原理介紹在了解NSFOCUS NTA產品功能之前先簡要介紹一下NSFOCUS NTA的工作原理。NSFOCUS NTA主要是基于Flow的技術，采用DFI的方式網絡中的流量情況進行分析檢測。3.1Flow技術特點以Cisco的netflow為代表的Flow技術是目前流量分析檢測領域的主流技術，自1996年問世以來，Flow技術以其高效準確的

12、數據采集方式，低成本高產出的優質網絡運維特點，廣泛應用于運營商、數據中心、互聯網企業等各種路由器和交換機中。同DPI(Deep Packet Inspection)的分析方式相比，NSFOCUS NTA基于Flow的DFI(Deep/Dynamic Flow Inspection)數據采集方式有諸多特點： 支持的設備數量眾多支持Flow采集方式的設備眾多，如主流的Cisco、Juniper、Huawei等都有支持Flow格式的設備，能覆蓋絕大多數網絡中的設備。 非嵌入式采集不同于SPAN等探針方式的數據采集，基于Flow技術的采用非嵌入式采集方式，不會對現有網絡拓撲結構造成任何改變 高性能，投

13、資少采用先進的數據流采樣隨機技術，可通過設置合適的采樣率，適用于各種類型的帶寬環境，單臺設備就可滿足電信級的高帶寬（數百Gbps）環境。而探針的采集數據方式必須基于物理端口，只適用于流量較小的網絡環境，投資成本及維護工作量均相對較高。 快速響應不同于傳統的數據采集方式，需要對采集的全包進行解析，DFI的方式處理速度更快，基于Flow的分析方式只需要進行流量特征比對，更利于對網絡問題做出快速響應。3.2流量分析原理NSFOCUS NTA使用基于Flow的分析方式，支持業界主流的協議，如netflow v5/v9、sflow v4/v5、netstreamv5/v9等，也支持鏡像數據通過轉換器轉為

14、netflow格式進行分析。無論是那種類型的流量數據，包含的信息都可以分為三類：空間信息、時間信息、技術指標信息。 空間信息是流量發生的地點，包括：路由器、物理端口、IP地址（段）、AS號、地域名稱等。 時間信息是流量發生的時間：用分鐘、時間片、小時、日、周、月、年來度量。 技術指標提供流量的業務特征的信息：應用類型、TCP-flag、ToS、包大小這樣，流量數據實際上就構成了一個多維數據集。所謂流量的統計分析過程，就是在指定的時空范圍內，統計流量在不同維度的分布。例如，查看某段時間內某個端口上流量中各種應用所占比例就是查看指定的時間范圍、指定地點流量對應用這個技術指標維度的分布。NSFOCU

15、S NTA提供了一個多維的視角，幫助使用者從不同的角度去透析網絡。如圖3.1展示了NSFOCUS NTA對網絡中流量數據的透視：圖3.1流量數據的透視3.3異常檢測原理異常流量的檢測分為兩個過程：流量數據的采集，流量數據的分析。NSFOCUS NTA基于Flow的采集方式得到網絡中的流量數據，獲得流的起止、流量等數據信息，并根據不同的對象：如路由器、接口等，按照時間點進行數據聚合，形成基于對象的流量特征模型。以異常流量檢測為目的流量數據分析過程分為三個步驟：檢測指標實測值的計算、檢測指標基線值的計算、實測值與基線值的比較。對流量中符合攻擊特征的數據進行統計，根據特征流量是否超出正常范圍，判斷攻

16、擊流量是否存在。每一種檢測指標都對應一種或可能的幾種攻擊。也就是說，有的檢測指標是專門檢測某一種特定的異常流量的。而有的檢測指標出現異常時，則能判斷存在幾種可能的異常流量。無論哪種檢測指標都要先有自己的基線，而基線的算法是類似的。NSFOCUS NTA的基線算法分為兩種： 靜態基線算法靜態基線是一條水平直線，通常是根據經驗或是實驗測量的結果得來，由于基線水平不變，很難反映客觀網絡流量的變化。靜態基線較大依賴于需要運維人員的自身能力，需要對特征數據大小進行準確配置，閾值配置過高容易導致漏報，閾值配置過低則又容易產生誤報，導致真正的攻擊事件被淹沒。 動態基線算法動態基線算法在靜態基線的基礎上開發而

17、來，基于正態分布的理論原理，解決了靜態基線配置困難，準確性相對不高的缺點。動態基線配置簡單，選取動態基線的生成對象，開啟流量自學習功能，經過一段時間對網絡特征流量的學習，系統自動生成一條隨流量特征變化的曲線。如圖3.2展示了靜態和動態基線的樣式，動態基線是一條更貼近于實際流量的曲線：時間固定基線（紅）實時流量值（黑）動態基線（藍）流量告警1告警3告警2圖3.2基線告警示意圖圖3.2中展示了動態基線的三次告警，以流量告警為例，從告警1可看出由于靜態基線的特征值通常設置為網絡流量的平均值，無法感知網絡情況變化，對于部分總是低于平均值的流量若出現異常突增，靜態基線算法根本無法感知，更不會產生告警；從

18、告警2、3可看出，靜態基線產生的告警，由于基線值和實際值差異較大，無法真實反映流量異常的嚴重程度，。而動態基線是一條隨不同時段的網絡狀況變化的曲線，更貼近于實際流量情況，特征感知明顯，產生的告警更加準確。3.4接口聯動當設備檢測到異常流量時，會產生相應的告警事件，并支持對攻擊事件的進一步處理提供四種方案：ADS牽引、BGP牽引、空路由牽引和不牽引。ADS牽引。通過部署綠盟科技三位一體的解決方案，將NTA檢測到的受攻擊的目的IP通知給防護設備ADS，并由ADS設備下發牽引通告給路由器進行引流和清洗。BGP牽引。NTA在部署時可以與路由器建立BGP鄰居關系。通過選擇BGP牽引可以由NTA向路由器宣

19、告一條BGP路由更新條目，將受攻擊的目的IP下一跳指向第三方清洗設備的牽引口。以此實現與第三方清洗設備的聯動并對攻擊流量進行牽引防護。空路由牽引。當NTA與路由器建立BGP鄰居關系后，如果攻擊流量觸發了空路由的牽引閾值，由NTA通過BGP向路由器宣告一條路由更新條目，路由器上下一跳為null。因此，當指定目的IP的流量到達路由器并匹配中此條路由時，會被黑洞。不牽引。對受攻擊的目的IP不進行任何牽引操作，路由不更新。4. NSFOCUS NTA產品介紹4.1產品概述綠盟科技網絡流量分析系統（NSFOCUS Network Traffic Analyzer, 簡稱 NSFOCUS NTA）是一款基

20、于Flow技術，在綠盟科技長期對網絡流量分析技術的經驗積累上，面向運營商、數據中心等市場推出的流量分析檢測產品。NSFOCUS NTA給用戶提供網絡狀況的實時監控、網絡攻擊異常的實時告警，保證用戶的網絡環境安全。經過多年的發展，NSFOCUS NTA在客戶中已經具備良好的口碑，成功案例覆蓋國內和國際等多個區域。4.2產品架構NSFOCUS NTA的系統架構如圖4.1所示，主要的架構分為三個部分，數據采集、分析檢測和頁面呈現。數據采集層負責對網絡中的流量數據進行采集，提供多種主流格式的Flow及SNMP數據采集，并支持將SPAN數據轉化成Flow格式進行分析。分析檢測層負責對采集到的數據進行多種

21、維度的分析，并通過分析檢測判斷流量數據中是否存在異常流量，對異常流量成分、來源等進行分析。頁面呈現層，負責將分析檢測層得到的結果分類在頁面上進行呈現，如以告警、報表、日志等方式對分析數據進行篩選聚類，集中呈現。除此以外，還專門設置一個配置管理層對數據、配置、用戶等進行集中管理。4.3產品特色4.3.1 全網狀況實時監控NSFOCUS NTA通過對網絡中的流量數據進行采集和分析，能夠對全網絡狀況進行實時監控，幫助網絡管理員建立全網的視角，縱觀網絡的狀況與趨勢變化，及時掌握網絡負載情況，及網絡應用資源的使用情況。圖4.1全網監控圖如同4.2所示，NSFOCUS NTA對全網的狀態監控包括四個方面：

22、1. 網絡設備的狀態監控：對網絡中的路由設備、接口狀態、設備流狀態進行實時監控，告知網絡管理員網絡是否暢通，負載如何、性能狀況等概括信息。2. 自身設備的狀態監控：對NSFOCUS NTA自身的CPU、內存利用率、硬盤使用率、接口狀態、每秒Flow數等進行實時監控，實時提供NSFOCUS NTA的運轉信息。3. 網絡流量的狀態監控：對網絡出口、核心設備、特定子網等網絡對象實時監控，提供多維度的流量分析。4. 網絡異常的狀態監控：對網絡安全運營的各種異常事件進行實時監控，及時發現網絡瓶頸，找出網絡性能下降的真兇。4.3.2 準確詳盡的流量分析NSFOCUS NTA基于多年來對Flow數據的檢測分

23、析經驗，不斷改進流數據分析算法，保證應對差異復雜的現網環境均能夠提供準確的分析。網絡流量狀況監控的對象包括互聯網出口、重要業務、特定子網、關鍵服務器等，分析的維度包括總流量、TOP IP，TOP端口/應用、TOP接口流量等。根據對象在不同維度的關聯分析，了解其不同時段網絡的成分信息、流向信息、趨勢信息。NSFOCUS NTA的最小分析粒度僅為30秒，能實時反映網絡流量的變化。系統提供長期的分析數據存儲功能，能夠存儲長達一年的分析數據。基于長期的歷史數據分析，很容易建立網絡在時間、地域、流向上的分布與趨勢特征，幫助運營商和數據中心等機構對業務需求、熱點、走向等進行深入挖掘，提供網絡決策者對網絡的

24、規劃與設計的依據。NSFOCUS NTA的流量分析不僅于此，對于觸發告警的異常流量事件，NSFOCUS NTA能夠迅速鎖定受害IP，從攻擊開始到結束，詳細記錄受害IP所遭受的攻擊流量大小、流量組成情況，攻擊來源和基于時間的變化趨勢，對整個攻擊事件發送的全過程進行取證。4.3.3 強大的異常檢測功能針對網絡中的異常狀況，NSFOCUS NTA具備強大的異常檢測功能，基于綠盟科技自主研發的異常檢測算法，確保及時準確的發現問題。NSFOCUS NTA的異常檢測功能十分強大，表現在以下幾個方面： 檢測類型豐富，全面覆蓋骨干網上的所有威脅NSFOCUS NTA提供系統內置以及用戶自定義兩種的異常特征檢測

25、方式，除了系統內置的檢測特征，用戶可根據自行發現的網絡異常特征進行自定義特征告警，系統支持多達128種自定義異常特征檢測。異常檢測的類型包括：流量超常、帶寬超常、DDoS攻擊、Dark IP異常、私有IP異常等。NSFOCUS NTA支持的DDoS攻擊告警覆蓋網絡層和應用層，支持如SYN FLOOD、ACK FLOOD、HTTP FLOOD、SIP FLOOD等多達14種攻擊事件告警，全面覆蓋骨干網上的所有威脅。 快速發現攻擊，記錄攻擊事件全過程NSFOCUS NTA能夠快速對攻擊事件進行響應，最快20秒內就能發出告警通知。告警的級別可按照嚴重程度預先定義為高、中、低三級，從而觸發不同級別的告

26、警。當網絡遭受外部攻擊時，NTA將從多個維度記錄并分析攻擊的原因、地點、強度等情況，如記錄攻擊前后網絡流量的變化情況，攻擊目標IP的流量變化情況，分析攻擊的類型、攻擊流量的組成情況等，從而回溯攻擊事件發生的全過程，幫助網絡管理員定位攻擊源。 內網的安全保障攻擊事件越演越烈、呈現多元化的發展趨勢，內網、外網都存在發生攻擊事件的可能。內部的攻擊可能會堵塞網絡出口帶寬，造成網絡瓶頸的嚴重后果，抵御內網攻擊同樣嚴峻。很多機構都已經意識到內網攻擊的危險，如數據中心的政策要求，監控內部是否有對外發起的攻擊事件；運營商的建設要求，除了知道是否遭受外省的網絡攻擊，也需要知道省內是否正在發起攻擊。應對新的需求，

27、NTA自主研發的智能檢測系統，不僅能檢測外部攻擊，同時也對內部流量異常進行實時監控。根據事先定義的流量閾值，智能判斷由內網向外網的訪問流量是否超過正常范圍，并準確定位內網流量超常的TOP IP。只有抵御網絡外部攻擊的同時，揪出內部攻擊的元兇，全網的安全才能得到保障，NSFOCUS NTA的雙向檢測功能無疑給用戶網絡提供了雙重的安全保障。 智能檢測的算法由于靜態基線配置參數困難，準確性不高。NSFOCUS NTA研發了智能的動態基線生成算法。通過一段時間對學習對象的流量特征分析、建模，智能生成該對象多維度的網絡特征。基線自學習的理論依據是：業務相似流量相似的主機在正常網絡情況下，流量大小及特征保

28、持穩態，以此為依據對該主機正常情況下的不同特征進行流量建模，通過一段時間的機器學習得到其正常狀態的流量上限。自學習過程中系統自動記錄網絡的流量變化特征，進行基礎數據建模，按照可信范圍的數據設置置信區間，通過對置信區間內的歷史數據進行分析計算，得到流量的變化趨勢和模型特征。為了保證學習的流量特征符合正態分布，系統支持開啟日歷模式的數據建模，如設置工作日、雙休日等日歷時間點，針對不同的時間點進行自學習建模。同時系統支持對生成的動態基線進行手動調整，和日歷自學習模式相結合，共同保證動態基線的準確性。 靈活高效的檢測 系統的計算引擎的程序結構采用框架和插件模式，這樣就在結構上保證了系統的靈活性和高效性

29、。每一種或幾種檢測算法都對應一種插件。用戶可根據自身的網絡特征和業務特征加載最適當插件。系統也提供一些預設的插件模板，不同的模板對應不同的典型用戶。例如電信運營商的骨干網的運維，對應用層攻擊的關注程度就很低，因此在這類用戶的環境中，就可以不加載相應的檢測插件。 攻擊源IP詳情查詢NTA通過與云端NTI進行互聯，實時查詢攻擊源IP詳情。快速獲取攻擊源IP的關聯域名、開放端口、ASN等詳細信息。NTI數據實時更新，及時將捕獲的數據信息更新到數據庫中，確保的數據的豐富性和查詢結果的準確性，為DDoS攻擊的來源分布、防護策略制定提供了有效保障。4.3.4 IPV4/V6雙棧分析檢測支持IPV6的時代大

30、幕正在逐漸開啟，互聯網向IPV6過渡已經開始進入實施階段。國內作為IPV6商用主要力量的運營商部分已進入功能驗證，大型互聯網企業也搭建了自己的實驗室平臺，用于旗下各個業務進行IPV6的實驗和試點。針對網絡由IPV4向IPV6的變遷趨勢，NSFOCUS NTA積極接應客戶需求，產品支持對IPV4/V6的雙棧分析及攻擊檢測，解除客戶后顧之憂。4.3.5 靈活多樣的報表展示為了支撐對分析、檢測數據的全方位展示，NSFOCUS NTA開發了靈活的報表系統，可根據需要進行條件篩選、組合，生成多種類型的報表。系統提供實時和歷史兩種時間維度的報表，支持日/周/月/年及用戶自定義時段的報表，一方面滿足查看實時

31、監控報表的需求，另一方面提供對歷史數據信息的追溯與取證。報表有餅圖、柱圖、趨勢圖等展現形式，也支持面積圖、折線圖的圖形自定義。針對網絡的流量狀況，系統可以根據關注的不同網絡對象進行選擇，自定義報表的生成規則，從多維度、多視角對流量數據進行分析、展現。針對網絡中的DDoS攻擊，系統提供攻擊目標、攻擊告警次數、攻擊流量、牽引情況等信息詳細記錄，并可根據攻擊類型、告警級別、統計對象等進行數據篩選。系統還具備報表組合功能，幫助用戶將關注的分析進行組合，生成所需的綜合報表。靈活多樣的報表系統，全方位滿足運維人員的各種需要。4.3.6 完整的解決方案綠盟科技針對電信運營商、大型數據中心對Anti-DDoS

32、系統“可管理、可運營”的需求，推出了三位一體的解決方案。該解決方案由異常流量檢測系統（NSFOCUS NTA）、異常流量凈化系統（NSFOCUS ADS）及管理和取證系統（NSFOCUS ADS M）組成。圖4.2綠盟科技三位一體方案NSFOCUS NTA負責進行網絡監控、DDoS攻擊檢測的工作，當發現攻擊時，NTA根據預先定義好的規則，智能啟動和綠盟抗拒絕服務設備NSFOCUS ADS的聯動機制，立刻將異常事件通知ADS。隨后由ADS設備啟動流量牽引機制，從路由器或交換機處分流可疑流量至ADS設備，在完成DDoS攻擊的過濾后， ADS再將“干凈”的流量注入回網絡當中。另外，NTA還可以通過B

33、GP Flow spec技術與路由設備進行聯動，通過靜態規格在路由器端對四層攻擊進行壓制、過濾、限速等，有效分配清洗資源，提高防護效率。綠盟抗拒絕服務管理中心NSFOCUS ADS M負責對不同網絡位置中的多臺NTA和ADS設備進行集中監控，對NTA、ADS的策略進行集中管理，提供豐富的報表統一呈現攻擊流量發現、清洗的全過程。ADS M更提供用戶自服務系統，滿足運營商利用DDoS做增值服務的需要。4.3.7 增值運營帶來收益NSFOCUS NTA針對大客戶或關鍵業務，可按路由器接口、IP（組）、AS號等定義業務域，基于增值運營維度的特性，提供基于業務域的攻擊檢測、流量分析功能。結合ADS M系

34、列的管理產品，系統可提供特有的運營維護和自服務系統的增值服務平臺，從而獲取服務收益。運營商藉此對有強烈防護需求的大客戶（網吧、證券、珠寶商場、電力、政府、酒店、IPTV提供商等）提供安全防護增值服務，而大客戶可通過登錄NSFOCUS ADS M開放的自服務界面，查看自己的實時網絡流量、應用協議分布情況、攻擊防護等關鍵業務信息。該平臺，一方面提高了大客戶對其系統安全狀況的感知度；另一方面提升客戶服務質量和內涵。4.3.8 便捷智能的運維方式 即插即用NSFOCUS NTA擁有智能的配置系統，設備上線以后，只需要非常簡單的配置操作，即可生效運行。例如配置監測IP地址范圍，無需手工輸入，系統直接從備選清單中把擬監測的IP地址段勾選上。IP地址段的備選清