万兆校园网上网日志查询及入侵检测系统构建

2024年1月1日发(作者：)

ＣＥＲＮＥＴ学术专栏囵　蒌圆　万兆校园网上网日志查询及入侵　检测系统构建　摘要：为解决万兆校园网出口海量数据的采集、用户上网日志明细的快速查询以及入侵检测的问题，基于ＮｅｔＦｌｏｗ、Ｎｆｄｍｎｐ、　Ｎｆｉｅｎ和Ｎｆ￣ｉｇｈｔ构建了一套万兆校园网出１７：流量日志采集分析系统，既实现了对ＮｅｔＦｌｏｗ单向流的处理，也实现了对双向流的重构，　因而相较传统的ＮｅｔＦｌｏｗ流量分析系统易于识别网络异常行为　此外，联动计费系统与校园网出口流量日志采集分析系统开发了　万兆校园网上网日志明细查询系统，该系统能｛蔓１（）ｓ内为校园网用户提供详细的上网明细，也能诊断和监测网络攻击行为，以及配　合安全监管部门定位某一上网行为的用户身份本系统提供了简单直观的Ｗｅｂ及图形化查询界面　口文／劳　ｌ圩李军理苏磊朱骏君　随荷新技术和新臆川的发展，互联网使只】模式已经发生了显著　技术是高速网络中常用的一种方法，它在提供数据细　以及可　扩展性上具有较好的平衡性，且不会成为网络的瓶颈或故障点　１　２－３１　ｏ　Ｎ　ｔＦｌｏｗ足由Ｃｉ　ｓｃｏ公司研发的一种流持监控技术．数据　变化，¨前．网络视频、网盘、｝）２Ｐ及移动Ａｐｐ等新应用占据了大　流为单向流，包含有：源地址和口的地址、源端口和目的端［Ｊ、　壁　络带览？为提高用户上网体验，大学校同网ｍ　ｒ丁已进入到万兆　协议类型、字　数、包数量和流数量等　本文在中周农业大学　网络时代万兆阿络产生的大流量上网１３志数据对网络管理人员提　校闰网ｍ【ｊ的两台万兆Ｊｕｎｉｐｅｒ　ＳＲＸ３４００防火墙内Ｌ『上配置了　ｍ　Ｊ　睹多新的管　哩要求，通过构建校同网上网Ｈ忐查询及入侵检测　Ｎ　【Ｆ１０Ｗ　Ｊ｛＝将接口的数据流通过ＵＤＰ方式发往校内的１３志服　系统，将出ｕ的流量进行采集、｝１　总和分析，了解校同网爿］户的ｆ：　务器　网子亍为．包于Ｉ　流揎构成、协议分布和用户活动情况，按需为刚户提　Ｉ１前有很多命令行或图形化的１３志处瑚工具可供管理员对　供』　网Ｌｉ忠｝１月细查询．以及校外用户对校内资源的访问情况（特别　口忐服务器接收到的ＮｅｔＦｌｏｗ数据流进行渎或过滤杏询操作，　是危险的访问）．将对规范网络管理、合理分配网络带宽、增强信　本文往日忠服务器上配置日志处珲工具ＮｆｄｕｍＰ及Ｎｆｓｅｎ（含　息安全以及确保校园网络环境的平稳，具有最要意义…　ＮｔＭｇｈｔ）用于接收和分析ＮｅｔＦｌｏｗ数据流，并将其存储至文件及　Ｎｆｉｔｕｍｐ是一款被使用最多的Ｎｅｌｌｆｏｗ命令行工具，具有执行　现有佼阔网出口一般包括计费、流控、防火墙、负载均衡或　数据库中。　路　器等波箭或系统，柯些高校为备查另外部署了上网行为审汁　系统，ｆＨ这　系统提供的原始口志信息相互独说、格式不统一、　速度快、州时支持ＩＰｖ４和ＩＰｖ６、过滤查询功能强大的特点、但　信息不够完褴、仔储量大、查询缓慢、流量信息与汁费流量有较　命令行显示不够直观明了，本文【太ｌ而选取并配置厂Ｎｆｓｅｎ工具作　大差距等原闰难以直接用之实现以上的目标　为此，本文利用　为ＮｅｔＦｌｏｗ的可视化查询工具”　１，它使用Ｎｆｄｕｍｐ工具包收集及　ＮｅｌＦｌｏｗ＋Ｎｆｉｌｕｎｌ　Ｎｆｓ　＋ＮＩｓｌｉｇｈｔ搭建了校园网出口流量１３忠采集　处理ＮｅｔＦｌｏｗ数据流，但较Ｎｆｄｕｍｐ多了可视化查询功能，简单　分析系统，并融合校同网计ｔ费管理系统．自主扑发ｒ一套万兆校　』＝１．易于扩展。　网卜网Ｈ志查询硬入侵检测系统，集流垃采集、存储、查询、　Ｎｔ　ｌＦｌＯＷ采集数据时会将单个逻辑流分成多个分开的单　分析于一休，既能快速对校同网用户提供详细的上网明细，又能　向流．其并不能保持对客户机（Ｃ１ｉｅｎｔ）和服务器（Ｓｅ　ＦＶｅ　ｒ）　诊断和　测网络攻山行为或备查安全事件，并提供ｒ简单直观的　问逻辑网络会话的跟踪．．无论是命令行的Ｎｆｄ　－ｍＰ，还是图　ｗｒｈ及　形化查询界面、　形化的Ｎ　ｒｓｅＩ１，都仅对ＮｅｔＦｌＯＷ单向流进行处理操作，不　易对一些较为隐蔽的攻击进行识别。为解决此问题，本文　相关技术　进一步引入了美国吗里兰大学与ＡＴ＆Ｔ实验室共同研发的　Ｎｆｓｉｇｈｔ，它作为Ｎｆｓｅｎ的插件存在，用于将ＮｅｔＦｌｏｗ的单向　刚　流　数据的收集和分析有多利·解决方案，而Ｎ　ＩＦＩｎｗ　数据流构建为双向数据流，并可提供Ｃｌｉ　ｎｔ／Ｓｅ　ｒｖｅ　ｒ识别及　２ｏ侣１中国教育网络４３　

固瑟蚕圈ＣＥＲＮＥＴ学术专栏　（３）配置合适的采样率。　·‘—　本文设置的采样率为３００，不建议设置太小的采样率，过于　频繁采样会降低设备的性能。　＼　ｓｅｔ　ｆｏｒｗａｒｄｉｎｇ—ｏｐｔｉｏｎｓ　ｓａｍｐｌｉｎｇ　ｉｎｐｕｔ　ｒａｔｅ　３００　（４）指定收集ＮｅｔＦｌｏｗ的日志服务器设备。　ｓｅｔ　ｆｏｒｗａｒｄｉｎｇ——ｏｐｔｉｏｎｓ　ｓａｍｐｌｉｎｇ　ｆａｍｉｌｙ　ｉｎｅｔ　ｏｕｔｐｕｔ　ｆｌｏｗ－ｓｅｒｘ　ｅｒ　图１　Ｎｆｓｉｇｈｔ工作原理　２０２．２０５．８８．５　１　ｐｏｒｔ　２０５５＃＃指定收集设备及端¨　ｓｅｔ　ｆｏｒｗａｒｄｉｎｇ—ｏｐｔｉｏｎｓ　ｓａｍｐｌｉｎｇ　ｆａｍｉｌｙ　ｉｎｅｌ　ｏｕｔｐｕｔ　ｔｌｏｗ－ｓｅｒｖｅｒ　入侵检测功能Ｉ　”、　Ｎ　ｇｈｔ的工作原理如图１所示，描述如下：服务检测组　件（Ｓｅｒｖｉｃｅ　Ｄｅｔｅｃｔｏｒ）获取ＮｅｔＦｌｎｗ数据流，通过推理判断网　络会话的Ｃｌｉｅｎｔ和Ｓｅｒｖｅｒ，从而将单向流转化为双向流，并保　２０２．２０５．８８．５　１　ｖｅｒｓｉｏｎ　５槲指定ＮｅｔＦｌｏｗ版本。　如果未配置ＮＴＰ，则第（４）步的指令在提交时会报错。　２．系统架构　系统的硬件平台仅需一台虚拟服务器，安装６４位ＣｅｎｔＯＳ　存至文件中，同时，将Ｃｌｉｅｎｔ和Ｓｅｒｖｅｒ信息保存至ＭＹＳｑｌ数　６．７操作系统，配置２颗２核主频２ＧＨｚ的ＣＰＵ及８Ｇ内存，　据库；入侵检测组件检测双向流中可疑或频繁的网络行为，　出口日志保存于日志服务器挂载的一块网蕊中．．对于　卜国农　将其和事件通知一并写入ＭｙＳｑｌ数据库；聚合脚本周期性执　业大学校园网规模（月均２．５万活动用户，ＩＰｖ４出口带宽为　５Ｇ），本系统自２０１５年７月至２０１７年７月共２年时问内，　行用于维护数据库，其提供了每５分钟、每小时和每天三个　４．层次的数据聚合；可视化查询提供过滤查询及图形化显示网　所保存的出口１３志约为１．２Ｔ，可见，ＮｅｔＦｌｏｗ格式的出口日志　络行为的Ｗｅｂ用户界面。　所占空间非常小。系统的软件平台涉及较多的应用软件，这些　（２）ＮｅｔＦｌｏｗ图形化管理软件ｎｆｓｅｎ及其插件Ｐｍ－ｔ　Ｆｒａ＜·ｋｍ　、　服务检测组件在将单向流转化为双向流的过程中，Ｃｌｉｅｎｔ和　软件从功能上可分为：　（１）ＮｅｔＦｌｏｗ捕获及处理软件ｎｆｄｕｍｐ；　Ｓｅｒｖｍ·的区分是其中的一个难点问题。Ｎｆｓｉｇｈｔ在一个采集周期里　的算法实现了Ｃｌｉｅｎｔ和Ｓｅｒｖｅｒ的区分。过程如下：　（本系统设置５分钟采集一次），通过启发式推理和贝叶斯推理　ｎｆｓｅｎ　ｅｖｅｎｔｓ、ｎｆｓｉｇｈｔ；（３）Ｗｅｂ服务器及Ｐｈｐ脚本支持环境：　ａｐａｃｈｅ、ｐｈｐ和ｔｏｍｃａｔ；（４）数据库服务器——Ｉ”ｙｓｑｌ；（５）功　能软件所需的支撑软件：ｐｅｒｌ、ｒｒｄｔｏｏｌ、ａｐｒ、ａｐｒ—ｕｔｉｌ、ｐｃｉ　其　１．Ｎｆｓｉｇｈｔ合并源、目的ＩＰ（含端口）相同的数据流。　２．Ｎｆｓｉｇｈｔ进一步合并源ＩＰ、目的ＩＰ（含端口）相反的数据流。　中，ｎｆｓｅｎ、ＰｏｒｔＴｒａｃｋｅｒ、ｎｆｓｅｎ　ｅｖｅｎｅｔｓ和ｎｆｓｉｇｈｔ软件包括有前端　３．Ｎｆｓｉｇｈｔ通过启发式推理辨识网络事务中的Ｓｅｒｖｅｒ和Ｃｌｉｅｎｔ　和后端程序。前端指的是Ｐｈｐ语言编写的Ｗｅｈ程序，后端指的　端Ｓｅｒｖｅｒ相较Ｃｌｉｅｎｔ的判断条件有：时间戳（ｔｉｍｅｓｔａｍｐ）较大、　是Ｐｅｒｌ语言编写的管理程序及配置文件。按需成功编泽配置后，　问到Ｎｆｓｅｎ和Ｎｆｓｉｇｈｔ的图形化管理界面。　端口较小、端口小于１０２４、端口在ｕｎｉｘ或ｌｉｎｕｘ的／ｅ　ｒｅ／ｓｅｒｖｉｃｅｓ　则浏览ｈｔｔｐ：／／主机ＩＰ／ｎｆｓｅｎ以及ｈｔｔｐ：／／主机１Ｐ／ｕｆｓｉｇｈｔ即可分别访　ｌ｛】有定义、终端端口或ＩＰ为固定值等。　４．在不易区分Ｓｅｒｖｅｒ端（例如时间戳相同或端口相同的情况）　此外，本文基于ｉａｖａ语言，结合计费管理系统，研发＿ｒ　上网日志明细的查询，或可查询出针对某个ＩＰ、某段ＩＰ或　某些服务端口在自定义时间范围内的上网日志明细，因而即　时，则利用贝叶斯推理将过程３的各类启发式推理的结果进一步　ｗｅｂ上网日志明细查询系统，以实现精确到用户账号的单次　进行综合，通过概率计算识别Ｓｅｒｖｅｒ端。　校园网上网日志查询及入侵检测系统构建　１．ＮｅｔＦｌｏｗ的设置方法　可作为校园流量计费系统的验证系统，也可作为辅助的安令　管理系统。　（１）要在Ｊｕｎｉｐｅｒ　ＳＲＸ系列防火墙接口上配置ＮｅｔＦｌｏｗ，首　先必须要设置ＮＴＰ。　ｓｅｔ　ｓｙｓｔｅｍ　ｔｉｍｅ—ｚｏｎｅ　Ａｓｉａ／Ｓｈａｎｇｈａｉ＃＃设定时区为上海　ｓｅｔ＜ｌａｔｅ　ｎｔｐ　２０２．２０５．８１．４８＃＃手动与时间服务器校时　ｓｅｔ　ｓｙｓｌｅｍ　ｎｔｐ　ｓｅｌ·ｖｅｒ　２０２．２０５．８　１．４８＃＃配置校时服务器　（２）住欲取样的防火墙内口配置ＮｅｔＦｌｏｗ。　ｓｅｔ　ｉｎｔｅｒｆａ￣’　ｓ　ｘｅ－３／０／１　ｕｎｉｔ　０　ｔａｍｉｌｙ　ｉｎｅｔ　ｓａｍｐｌｉｎｇ　ｉｎｐｕｔ　ｏｕｔｐｕｔ　应用实践　１．校园网上网日志明细查询系统　为防止校园网用户浪费出口带宽资源，口前多数高校校同网　趋向于采用流量汁费策略。在网速快、多媒体及Ａｐｐ应用普及、　软件客户端会自动更新的情况下，有可能产生用户不白知情况下　的大流量网费。如果用户对其流量产生质疑，如何快速在大带宽　４４中国教育网络２０１８　

二二二二二二二二＝Ｉ　ＣＥＲＮＥＴ学术专栏匝　圈　的高速网络下为　提供划　应的上网明细Ｊ亡显承要．　【ｌＩ前高校的计　系统昕提供口　明细功能仍有欠缺，表现　上网叫细仪能提供　ｈｔｔ｝）　问ｆＩ　，　速度缓慢　（２）按川厂　查询Ｉ　网［１志叫细　系统实现了　＿ｊ汁费系统的紧密结合，能够针肿川户ｌ　网账　淘川户的上网ｒＪ志叫细，或根据上网ＩＰ定位Ｈ｛户身份此处　给　了根据账号夼询单次卜网明细的功能说口ＪＪ　此功能　校　网　Ｕｄｌ，歧非ｈｌｌ１）的日志获取　到或小全．且查询　。水文　Ｆ　Ｎ　ｉｆｌＯＷ…Ｉ　１　Ｈ志平¨引‘赀系统开发的校陆Ｉ网Ｊ－网　汁费ｉｆ，经常使ＨＪ．１￣ＩＪ，ｑＪ于与汁费对账使川　．　Ｉｊ志ｆＪＩ］细　询系统，Ｉ１ｆ实现利Ｈ｛ｌＰ或汁费网关账号　询Ｈ】　按计费用　账号查询其历史一Ｉ　网｝Ｊｌｊ细的功能　而｛ｎＪ图３所　：ｌ＝刚叫细的功能．　ＩＪｒ查｝ｆｌＪ校Ｉ大】特定网段的敏感端¨访问信　按需输入校同网账号、Ｉ　刚＿Ｊｆ始及ｉｌ；￣，ｊｈｆｉ，Ｊ’问的　询条件，Ｊｆ　息，或查　Ｕ某一｝Ｉ１ｆ『『ｌＪ段内访问校外某一地址的刚户明细　分为　点击台找，则系统会查ｍ对Ｊ、　账号　在指定时Ｍ段『人Ｊ的所　上刚记　而　僻理　手¨面　校同网川户的子功能一本文仅介绍管理段的　录信息，　爪　贝而的底部　功能　（１）按Ｉｌ，或端ｆ　Ｉ　询ｆ　网ＥＩ志明细　互——■ｌ■…　系统提供ｒ址于：源地址、源端口、目的地址、目的端ｌ－１、　仪向地址或双　端ｒ］查询某ＬＬＩＩ＇ＨＩ段内　网明细的快速查询＝奠Ｉ】下　”　”　＾　＿　：　＿■．ｔ■　ｔ■啊　。　’ｒ　、｝　＾Ｊ　日　ｖ＾　Ｂ　以源地址　询为例进行说明　源地址台询功能模块可根据输入的源ＩＰ地址、Ｌ网开始时　问歧他止口、ｆ问（以天为单位），　洵出对应时间段内　Ｉ　Ｉ数据包　ｉ｝ｉ源　为此ＩＰ的所有Ｊ　网¨志明细：例如输入　２的查询条件，　墨裔●—■■■　■　目‘　　’咖ｌ　■　ｔｔ　■一日　…　ｍ　■■精　哺■“啊　●■■　，　■■＿　●　髓ｉｈ　脯　ｌｔ‘Ｊ●Ｉ■＾月　…■朔■　＊　■艚｜－　ｗ　０，　·　■Ｍ　■＾＾　■■＾　……１，¨ｎ∞　ｌ＂　…　，，■　Ⅱｍ　片点　查找，则　台州度ｎｆｄｕｎｌＩ　进行过滤食询，『Ｌ１］时将查询结　果写入一个㈧文件，　：在　２　面给ｍ链接　５　■ｔ＾－●　■■月＾＾　ｌ州　…ｔｏ１　ｌ¨……●·”　ｍ　●’　ｍｕ■Ｍ－·ｗ　＾Ｍ　＇峨月　’ｆｔ　ｂ啪　２｝　１　口　＊∞　ｌ；“　Ｉ珊∞　……ｌ，　■　ｗ”　ｌ●＊　点　２的Ｉｘｔ查渤结果文件链接，则可查看相应的网络访　Ｉ】■Ｒ＾呐　…４∞　１●，ｌ　问Ｈ　叫细　本系统的ｋ网ｒ｛忠Ｉ｛Ｊ】细查询结果以网络五元组的格　式给ｊ｝１．铒一行均包括：Ｈ，ｊ‘Ｍ１（Ｄａｔａ　ｆｉ，－ｓｔ　ｓｅｅｎ）、　议（Ｐｒｏｔｏ）、　源地址及源端Ｆｌ（Ｓｌｖ　ＩＰＡ（ｈｈ·：Ｐ…·１）、口的地址及ｒＩ的端门（Ｄｓｌ　ＩＰＡ（ｈｈ·：Ｐｏｒｔ））、流城大小（　ｌｅｓ）等信息　渤时间段内的总计流量大小（Ｉｏｌａｌ　ｂｙｔｅｓ）　图３账号在指定时间段内的上网记录查询　点击　３所食…的某条上网　录ｆ已录的ＩＰ地址链接，则　ｄｕｍＩ，　成对幢１１　本次ｊ　ｆ“Ｊ登录时问刮断开时　洵结果的尾部（最　后台会捌川ｎｆ细　通过此功能管理员可轻松匝Ｉ答用ｒＩ在什么时间与哪个【ｌＪ的　后例数４＂）则址本次查湖的汇总信息，其　ＩＩ经常关注的是本次　间内的所有网络访问Ｉｊ志叫细，所查结果为ＩＰ的双　Ｆ｛志明　通过此模块可以怏速查询　指定ＩＰ或端【ｊ在某个时问段　服务器进行交瓦、流量集Ｉ｝ｌ１在哪些［１的地址、所使川的协议　内卜ｊ哪些ＩＰ发牛过信息交　，其最大的特点是快速（一般在　和端口、共计产生ｒ多少流量等信息，从而减轻管理员的查　ＩＯｓ内即可完成一次查询操作），也可完成对某些安全事件的　询　作量、此外，按用广１　询ｆ　网Ｈ志日』ｊ细程序还可作为计　询　费准确与　的一个验证，这部分功能目前也已经在ｆＩ］户向助　平台ｋ提供　（３）服务器网段安全查询　校外对校内服务器所进行的攻击中，某些攻击是正常的网络　■Ｔ　ｌ　ａＩ■女牟‘　ｎ　‘‘日Ｉ■　■　访问（例如已获得了服务器的访问权限．例盘ｌＪ获得ｒｒ　ＳＳＨ权限、　数据库控制权限、远程桌面权限等）　．这种情况在中国农大校同　网实际运行过程【｛＿ｊ曾有发乍，主要集中在学院自管的服务器ｍ＿’　ｌ　此类攻击址通过正常访问进行的，所产生的流量或异常数据包许　｝。　＾ｉ■●■■ｕ●■■●－ｔ日　不大，不容易被发现。为解决此『【ｆ】题，本系统提供ｒ针刈谓艮务器　ｔ一｝，ｌＩｌ／ｌｌ，ｌｌｌａＮ￣ｔ柚■，－¨２瑚■　■■毗丑Ｕ，Ｕ■■■Ｌ■■Ｌ盈‘■‘■Ｕ虹啦　ｌ田·＿Ｌ■　‘　敏感端口的安全查询功能　以查咖校外通过ｓｓＨ端ＬＩ访问校内某段地址为例：根据　　｝．一‘　。·ｆ】　．　．’；　ｔ　０　输入的服务器网段、Ｌ网开始和上网结束时间，呵查询出指定　图２按源地址查询上网日志明细的界面　时『兀Ｊ段内访问此网段２２端口的所有～Ｌ网明细，点击卡ｆｊ应链接，　２ｏ１８　１中国教商网络４５　

巨Ｅ耋翻ＣＥＲＮＥＴ学术专栏　回应的数据包，经常在服务器遭受攻击时产生？危险端口包括　远程桌面的３３８９、ｓｓｈ协议的２２、数据库的３３０６和１５２１、ｌｉｎｕｘ　ｗｅｂｍｉｎ的ｌ００００等。　在２０１６－７—１　１，查询到２０２．２０５．９１．９７的无效数据包数量达到　了７１７０ＨＤ个；进一步查询此ＩＰ当天的上网明细，发现虽然其发　生的总流量仅为５６５．７Ｍ，ｆＨ自凌晨起校外的几个ＩＰ一直在不问　断访问它的３３８９服务直至早上８点多；再一次查询这些校外ＩＰ　的网络明细，发现其不仅对２０２．２０５．９１．８７，还对此网段的几台服　务器进行了３３８９端口的频紫｝力问，而这些机器分别是不同学院　图４　Ｎｆｓｅｎ显示ｌＣＭＰ存在异常　课题组的服务器，由此推测此网段的服务器Ⅱ！遭受对３３８９端Ｉ＿＝Ｉ＿　的攻击。网络管理员将相关情况告知卡¨关负责人，并进行网络拦　即可查看具体的Ｅ网日志明细，以排查是否有异常访问。　２．异常流量实时监测　截，及时阻止了事态的恶化。　本文介绍了中冈农业大学万兆校阔网上网日志查询及入侵　Ｎｆｓｅｎ的图形化监控界面可实时监测出口流量信息。管理员　检测系统构建：基于Ｎｆｄｕｍｐ和计费系统实现　ｌＯｓ内定位到　可侧重分析网络流量图出现的尖峰信息及原因，占用了校园网出　用户身份的Ｌ网明细查询，基于Ｎｆｓｅｎ及Ｎｆｓｉｇｈｔ的图形化接口　口大带宽Ｔｏｐ　Ｎ的ｌＰ地址，校园网Ｔｏｐ　Ｎ的应用，正进行端口　实现了网络流量构成及异常流量的快速分析，并基于Ｎｆｓｉｇｈｔ对　扫描的机器等。　Ｎｅｔｌｆｏｗ单向流的双向重建和对数据库的聚集过滤检索，实现了　图４显示在２０１７－７—３０　１６：３５左右校园网出口曾出现了　对流量不明显入侵的检测。日前该系统不仅成为校同网计费系统　ＩＣＭＰ流的异常情况，管理员在异常处点击鼠标选定时间点、并　的一个辅助子系统，对用户提供流量日志明细查询及｛｛　费验证，　没置过滤条件后即可查出对应时间所发生的具体ＩＣＭＰ流的明细　而且也成为了校同网安全监控及日志审计‘系统的一个有机组成部　信息　、　３．非大流量入侵检测的诊断案例　分。囱（责编：杨洁）　（作者单位为中国农业大学网络中心）　图形化界面虽然易于对异常流量进行掌控和分析，但很　多时候黑客对某台设备的攻击并不会导致机器流量异常。本　系统通过对Ｍｖ　ｓｑ１数据库的汇总统计实现了对海量网络流量　日志中非法行为的准确定位。要实现此功能，需在Ｎｆｓｉｇｈｔ配　置文件中预先定义校内ＩＰ的范围。图５为系统所使用的入侵　检测方法。　图５中，无效数据包（ｉｎｖａｌｉｄ—ｐａｃｋｅｔ）一般为服务器拒绝　图５入侵检测方法　４６中国教育网络２ｏ１８