01 配景

应用资产关系梳理及拓扑测绘在清静运营事情系统的战略层面和战术层面都起着主要的支持作用。。。。。然而随着企业营业需求的一直增添，，，，，，各企业建设的应用系统数目也随之增添，，，，，，一个营业系统所涉及的应用数目可能高达几百甚至上千个，，，，，，这些应用系统之间的依赖交互越多，，，，，，应用系统的关系就越重大，，，，，，整个营业系统的逻辑也更为重大。。。。。

关于清静能力成熟度很是高的企业，，，，，，通；；；；；；嵊幸惶子杏玫淖什寰采芷谥卫聿椒ァ。。。。但现在大部分企业由于治理职员变换和资产维护不到位，，，，，，在资产方面或多或少保存一定的死角。。。。。

在营业系统泛起异；；；；；；虮欢褚夤セ魇保，，，企业IT治理员都需要一个准确且尽可能完整的营业系统拓扑，，，，，，从而快速定位故障点并实时处置惩罚已爆发的清静事务。。。。。通太过析全流量数据信息，，，，，，即可知足这一需求。。。。。

本文将从现实清静运营项目中总结出的履历出发，，，，，，讲述应用资产关系梳理及拓扑测绘的详细思绪及办法，，，，，，资助各人在现实事情中无邪运用。。。。。

02 条件条件

在安排应用系统的各网络区域内提前安排流量收罗剖析系统，，，，，，通过网络焦点、汇聚甚至接入交流机收发的网络流量数据，，，，，，并对其举行剖析，，，，，，从而盘算出一张准确且完整的营业系统拓扑。。。。。数据收罗方法有以下3种：

1、NetFlow：网络装备开启Netflow功效，，，，，，并将Netflow信息导出至Netflow网络器，，，，，，建议Elastic Stack。。。。。

2、Zeek&suricata：通过收罗网络装备的镜像流量，，，，，，剖析网络流量中的要害信息，，，，，，并将这些要害信息以JSON的名堂保存文本文件中。。。。。

3、Arkime：通过收罗网络装备的镜像流量，，，，，，剖析网络流量中的关系信息，，，，，，并将这些要害信息直接写入Elasticsearch数据库中。。。。。

03 应用交互关系梳理建议

1、会见源梳理：凭证给定IP地点，，，，，，盘问会见该IP的所有源IP地点，，，，，，并过滤掉互联网地点，，，，，，获得该应用节点的受众工具。。。。。

2、会见目的梳理：凭证给定IP地点，，，，，，盘问该IP会见的所有目的IP地点，，，，，，并过滤掉互联网地点，，，，，，获得该应用节点的服务工具。。。。。

3、Zeek/Suricata/Arkime的数据泉源为网络镜像流量，，，，，，若是系统没有收到TCP的SYN包时，，，，，，会导致源目IP地点对调，，，，，，可以通过限制目的端口数值，，，，，，确保盘问效果的准确性。。。。。

4、在保存大宗多层级挪用关系的营业系统时，，，，，，建议先通过应用关系梳理工具将每一层级的挪用关系梳理完毕，，，，，，再通过人工调研判断的方法牢靠好营业拓扑，，，，，，在后续挪用该营业拓扑时，，，，，，应用关系梳理工具自动盘问每一个节点上的交互，，，，，，即可相识营业拓扑的准确转变。。。。。

5、若是保存与牢靠公网地点通讯的应用，，，，，，通过盘问条件包括相关通讯地点即可。。。。。

04 现实效果

以剖析Arkime系统的数据为基础。。。。，，，挪用Arkime的API接口，，，，，，将需要展示营业系统拓扑的特定营业IP地点、盘问的时间规模以及为包管数据效果的准确性设计的数据过滤语句作为数据剖析条件提交至Arkime系统，，，，，，营业系统剖析程序将返回的数据效果举行名堂化，，，，，，即可将营业系统拓扑展示至画布中。。。。。

05 总结

当应用系统运行异常，，，，，，或泛起渗透攻击时，，，，，，一份准确、真实的应用拓扑图，，，，，，往往能让清静团队的事情效率获得极大的提升。。。。。用户数据中心运行着几百上千套应用系统，，，，，，此时若是通过人工维护拓扑信息，，，，，，则需要投入极大的人力本钱，，，，，，并且极可能泛起维护信息禁绝确的情形。。。。。但通过流量以及遥测数据基于真实营业挪用会见数据，，，，，，结适用户的资产治理系统数据，，，，，，可自动天生各应用系统真实、准确的应用拓扑图。。。。；；；；；Ｉ杏幸恍┯攀评绲庇τ梅浩鸨浠唬，，，如新增应用节点或会见关系爆发转变时，，，，，，系统可自动更新拓扑，，，，，，并为应用端到端追踪剖析攻击者渗透后的内网横向及纵向移动行为，，，，，，为后续的应急响应事情提供真实准确的数据支持。。。。。

资产关系拓扑是整个资产运营模？？？？？？榈闹饕槌刹糠郑，，，可以快速地、周全地、准确地展示资产关系，，，，，，有用的做好资产梳理是企业资产清静建设的基石。。。。。