服务器上如何过滤正常流量？

Question

我现在要在我的服务器上编写一个脚本，针对于网络流量，区分正常流量和攻击流量，主要是过滤掉正常流量，保留恶意流量进行分析研究 没有一点点思路 可以提一些可行的方案吗

我的想法是通过对于IP或者其他数据特征的监控，但是实际测试下来，作为服务器，流量的来源IP似乎不太好检测，因为可能是到处的IP地址，无法区分。其他特征的话 除非每种攻击都去测试一次 但是这样也就存在问题了，对于新的攻击类型无法应对。
所以现在缺一个判断过滤掉正常流量的方法

Answer 1

以下回复参考：皆我百晓生、券券喵儿等免费微信小程序作答:

在服务器上过滤正常流量和攻击流量是一个复杂的问题，因为正常的网络流量和攻击流量之间的界限并不总是清晰。不过，你可以使用一些技术和方法来帮助你区分正常流量和潜在的攻击流量。以下是一些建议的方案和思路：

1. 基于流量的行为分析：通过分析网络流量的行为模式来识别异常。例如，检测短时间内的大量连接请求、异常的高流量、频繁的端口扫描等。这些行为可能是攻击的迹象。
2. IP信誉和黑名单：虽然IP地址不能完全确定流量的性质，但可以利用已知的恶意IP地址和IP黑名单来过滤一些潜在的攻击流量。同时，也可以考虑使用IP信誉数据库，这些数据库会根据IP地址的行为和历史记录对其进行评分。
3. 基于特征的检测：某些攻击流量具有特定的特征，如特定的请求头、特定的URL访问模式等。你可以编写规则来检测这些特征，并过滤掉匹配这些特征的流量。然而，这种方法的问题是新的攻击类型可能没有明确的特征，而且攻击者可能会尝试模仿正常流量的特征来躲避检测。
4. 使用安全设备和软件：考虑使用防火墙、入侵检测系统（IDS）或网络入侵防御系统（NIDS）等安全设备和软件来帮助过滤和检测攻击流量。这些系统和工具通常具有强大的特征库和算法，能够更有效地检测和过滤攻击流量。
5. 流量分析：对服务器上的流量进行长期分析，以识别正常的流量模式和异常模式。通过分析流量的统计数据和模式，你可以建立正常的流量轮廓，并设置阈值来检测异常的流量。这种方法需要持续的数据收集和分析，但可以帮助你更准确地识别攻击流量。
6. 综合使用多种方法：结合使用上述方法和其他可用的技术，以提高检测的准确性和可靠性。综合使用多种方法可以相互补充，减少误报和漏报的情况。

需要注意的是，过滤正常流量并不是一种理想的做法。过滤过多的正常流量可能会导致合法用户受到不必要的干扰和限制。因此，你的目标应该是识别和过滤潜在的攻击流量，而不是简单地过滤掉所有正常流量。

最后，对于新的攻击类型，保持对安全社区和最新威胁情报的关注是很重要的。这样你可以及时了解到新的攻击方法和趋势，并相应地更新你的过滤规则和策略。