t交换机所集成的安全特性和Netflow，就可以做到！
发现可疑流量。
我们利用Cisco Netflow所采集和输出的网络流量的统计信息，可以发现单个主机发出超出正常数量的连接请求，这种不正常的大数量的流往往是蠕虫爆发或网络滥用的迹象。因为蠕虫的特性就是在发作时会扫描大量随机IP地址来寻找可能的目标，会产生大量的TCP或ICMP流。流记录里其实没有数据包的载荷（payload）信息。这是Netflow和传统IDS的一个重要区别，一个流记录里不包含高层信息，这样的好处则是可以高速地以硬件方式处理，适合于繁忙的高速局域网环境。通常部署在核心层和分布层的Catalyst 4500和Catalyst 6500交换机都支持基于硬件的Netflow。所以Netflow不能对数据包做出深层分析，但是已经有足够的信息来发现可疑流量，而且不受“0日”的局限。如果分析和利用得当，Netflow记录非常适用于早期的蠕虫或其他网络滥用行为的检测。
了解流量模式的基线非常重要。
例如，一个用户同时有50-100个活动的连接是正常的，但是如果一个用户发起大量的（例如1000个）活动的流就是非正常的了。
追踪可疑的源头。
识别出可疑流量后，同样重要的是页码：[1] [2] [3] [4] [5] [6] 第3页、共6页 |
