1.3 利用Netflow技术进行IPTV承载网络的安全管理

　　利用Netflow技术，运营商的网络管理人员主要可以实现对网络异常通信的检测，重点防范网络攻击和大范围的蠕虫病毒发作，为IPTV业务的顺利开展提供更多的保障。

　　建议的处理流程如下：

　　o 管准备阶段：预先在网络设备上启动Netflow，并把Netflow采集到的网络通信流量和流向数据发送给运营商安全管理中心部署的相应Netflow分析和安全管理系统。管理系统通过分析日常Netflow采集到的统计数据，可以事先掌握网络的流量分布状况以及全网通信的正常基线，并以此为依据为日后可能出现的通信异常进行评估。

　　o 攻击发现和识别阶段：由于Netflow管理代理是内嵌在网络设备中的，当网络流量突然出现异常时，Netflow可以迅速做出反应。异常通信的流量和流向统计信息可以被实时汇总到管理中心的安全管理系统。通过分析，管理系统可以区分出异常流量的具体属性，包括异常出现的时刻，通信的来源地址和目的地地址的分布，占用端口的分布状况，通信流量的峰值，持续的时间等等。

　　o 攻击确认和分类阶段：根据分析出的异常通信的具体属性，以及与网络通信正常基线的比对，管理员可以快速定性出现的通信异常是否为网络安全攻击、确定安全攻击的类型和评估本次攻击的危险程度及可能造成的影响范围。对会造成大范围网络影响甚至业务瘫痪的恶性安全攻击需要进行实时告警。

　　o 攻击追踪阶段：在确定安全攻击的类型和危险级别后，为便于在源头阻塞安全攻击，需要为进一步澄清安全攻击出现的原始来源以及除主要攻击源外是否还存在其它安全危险来源。管理员可以利用管理系统对Netflow采集到的原始攻击数据包的具体特性进行察看，查找最先出现攻击的数据源，以及随时间的发展是否还有其它新的安全攻击数据源的出现。

　　o 处理阶段：在确认了所有主要安全攻击的来源后，管理员可根据本次所受攻击的特点采用相应技术手段实施事故应急处理，如为出现攻击的网络端口配置入向或出向的访问控制列表，对特定类型通信流量进行限速等。通过这些技术措施可以对网络安全攻击流量进行阻断，防止其对大范围网络的运行造成影响。

　　o 后续监视阶段：在安全攻击被阻断后，全网所有设备中的Netflow管理代理还会继续对网络通信流量进行采集和检测，汇总到管理系统的统计数据可以评估是否所有攻击都已经被屏蔽，并持续监视是否还有新的安全攻击的出现。