在信息安全工程师的备考之路上，网络安全流量分析是一个至关重要的部分。特别是在强化阶段的第 79 - 80 周，重点关注的通过 Wireshark 分析异常流量更是难点与重点。其中第 91 讲所涉及的演示抓包过滤、协议分析技巧，以及识别 DDoS、端口扫描等攻击流量的内容更是需要我们深入理解和掌握。
一、Wireshark 抓包过滤技巧
（一）基本过滤语法
Wireshark 提供了强大的过滤功能，首先要熟悉基本的过滤语法。比如，“ip.addr == 192.168.1.1”可以过滤出源 IP 或目的 IP 为 192.168.1.1 的数据包；“tcp.port == 80”能够筛选出 TCP 协议且端口号为 80 的数据包。
学习方法：多进行实际操作，在不同的网络环境中输入各种过滤条件，观察过滤结果，加深对语法的理解和记忆。
（二）组合过滤条件
可以使用逻辑运算符“and”“or”“not”来组合多个过滤条件。例如，“ip.addr == 192.168.1.1 and tcp.port == 80”表示同时满足源 IP 为 192.168.1.1 且端口号为 80 的数据包。
学习方法：通过实际的案例来练习组合条件，比如分析特定服务器在特定端口上的通信情况。
二、协议分析要点
（一）常见协议的识别
要能够识别常见的网络协议，如 TCP、UDP、HTTP、DNS 等。了解它们的特点和工作原理，比如 TCP 是面向连接的可靠传输协议，UDP 是无连接的不可靠传输协议。
学习方法：阅读相关协议的规范文档，同时结合 Wireshark 中的实际数据包进行分析。
（二）协议字段的分析
深入研究协议中的关键字段，例如 TCP 头部的序列号、确认号、标志位等。这些字段对于理解数据传输的过程和状态非常重要。
学习方法：通过抓取不同类型的数据包，仔细对比和分析各个字段的值的变化情况。
三、识别 DDoS 攻击流量
（一）流量特征
DDoS 攻击通常表现为大量的重复请求，导致目标服务器资源耗尽。其流量特征包括源 IP 地址的大量变化、短时间内大量的数据包涌入等。
学习方法：收集和分析已知的 DDoS 攻击样本，观察其流量的模式和特点。
（二）利用 Wireshark 分析
通过设置合适的过滤条件，结合上述特征来识别 DDoS 攻击流量。例如，可以过滤出短时间内来自大量不同 IP 的相同请求。
学习方法：进行模拟攻击实验，然后使用 Wireshark 进行分析，提高识别的准确性。
四、识别端口扫描攻击流量
（一）扫描行为特征
端口扫描攻击会尝试连接目标主机的多个端口，以获取可利用的服务信息。其特征包括短时间内对大量端口的连接尝试。
学习方法：分析正常的端口连接行为和扫描行为的差异，掌握其特点。
（二）Wireshark 中的识别方法
可以通过过滤特定协议和端口的连接请求，观察连接的时间间隔和频率来判断是否为端口扫描攻击。
学习方法：结合实际案例进行练习，不断总结经验。
总之，在备考过程中，要充分理解和掌握 Wireshark 的抓包过滤和协议分析技巧，通过大量的实践和分析来提高识别 DDoS、端口扫描等攻击流量的能力。只有这样，才能在考试中应对自如，为成为一名优秀的信息安全工程师打下坚实的基础。
喵呜刷题：让学习像火箭一样快速，快来微信扫码，体验免费刷题服务，开启你的学习加速器！
