14、网络异常检测：TCP、UDP与电子邮件的全方位洞察

网络异常检测：TCP、UDP与电子邮件的全方位洞察

1. 主机网络出现时间判断与端口分析

在网络管理中，我们可以通过查看DHCP、路由器或交换机日志来确定主机何时出现在网络中。最后一个包含该主机的端口报告的时间戳就是我们所需的关键信息。

对于端口报告中的特定行（如第4行），它是端口签名字段的特殊排序版本。这一行会收集所有观察到的目标端口及其相关的数据包计数，然后按照数据包计数对端口进行排序，从而展示出该主机最繁忙的端口。需要注意的是，这里的数据包计数并非按频率平均，而是所有单个报告中观察到的数据包计数总和。例如，常见的端口445和139，它们成为扫描探测的目标，是因为这些端口可能存在被植入僵尸客户端漏洞利用的潜在受害者。

下面我们来看一个主机统计示例：

192.168.2.3 () () (0:0:35) 0: (5/1) (7:10:0) (317:407) dns: dhcpclient.verydull.somewhere.edu :162: Wed_Sep_20_10:12:35_PDT_2006: Wed_Sep_20_12:02:09_PDT_2006: portuples[2]: [80, 52540][554, 227]

这是一个普通主机的情况。该主机没有标志或应用标志，平均工作权重为0，SA/S平均值也为0。从端口信息来看，端口80通常用于Web服务器，可能有Web客户端在使用它进行网页浏览；端口554用于实时流传输，说明涉及了一些视频或音频内容。整体平均工作权重较低，SYNS和FINS数量接近，且接收的数据包多于发送的。综合判断，这可能只是一个普通用户在使用网络浏览网页。