軟件使用-科來(lái)網(wǎng)絡(luò)分析系統(tǒng).使用介紹

軟件使用－科來(lái)網(wǎng)絡(luò)分析系統(tǒng)5.0使用1)最小需求?P3500CPU?256MB內(nèi)存?10M/100M自適應(yīng)網(wǎng)卡?InternetExplorer5.5或更高版本2)推薦需求?P42.0GCPU?InternetExplorer5.5或更高版本2.安裝環(huán)境1)共享式網(wǎng)絡(luò)使用集線器(Hub)作為網(wǎng)絡(luò)中心交換設(shè)備的網(wǎng)絡(luò)即為共享式網(wǎng)絡(luò)，集線器(Hub)以共享模式工作在OSI層次的物理層。如果您局域網(wǎng)的中心交換設(shè)備是集線器(Hub)，可將科數(shù)據(jù)通訊。2)交換式網(wǎng)絡(luò)工作在OSI模型的數(shù)據(jù)鏈接層，交換機(jī)各端口之間能有效地分隔沖突域，由交換機(jī)連接的網(wǎng)絡(luò)會(huì)將整個(gè)網(wǎng)絡(luò)分隔成很多小的網(wǎng)域。如果您局域網(wǎng)的中心交換設(shè)備是交換機(jī)連接 (Switch)，科來(lái)網(wǎng)絡(luò)分析系統(tǒng)的安裝有以下兩種情況：交換機(jī)具備鏡像端口功能您網(wǎng)絡(luò)中的交換機(jī)此具備功能時(shí)，可在交換機(jī)上配置好端口鏡像(關(guān)于交換機(jī)鏡像端口)，再整個(gè)網(wǎng)絡(luò)中所有的數(shù)據(jù)通訊。交換機(jī)不具備鏡像端口功能當(dāng)您網(wǎng)絡(luò)中的交換機(jī)不具備端口鏡像功能時(shí)，可通過(guò)以下兩種方式實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)數(shù)據(jù)的捕獲。串接一個(gè)分路器(Tap)系統(tǒng)可以捕獲整個(gè)網(wǎng)絡(luò)中的所有進(jìn)出數(shù)據(jù)通訊。串接一個(gè)集線器(Hub)在小型網(wǎng)絡(luò)中，可在交換機(jī)與網(wǎng)絡(luò)出口設(shè)備(路由器或防火墻)之間串接一個(gè)集線器 絡(luò)分析系統(tǒng)可以捕獲整個(gè)網(wǎng)絡(luò)中的所有進(jìn)出數(shù)據(jù)通訊。3)檢測(cè)一個(gè)網(wǎng)段端口的主機(jī)上，此時(shí)科來(lái)網(wǎng)絡(luò)分析系統(tǒng)可以捕獲此網(wǎng)段主機(jī)的所有數(shù)據(jù)通訊；如果連接此時(shí)科來(lái)網(wǎng)絡(luò)分析系統(tǒng)可以捕獲此網(wǎng)段主機(jī)的所有進(jìn)出數(shù)據(jù)通訊。換機(jī)隨機(jī)配套的方盤或說(shuō)明書，或者訪問</support/port_mirroring.php>獲取鏡像端口的配置信息，更詳細(xì)的安裝環(huán)境請(qǐng)參見科來(lái)網(wǎng)絡(luò)分析系統(tǒng)5.0程序自帶的幫助文件。安裝號(hào)(可以先不用激活，不過(guò)在未激活只能使用15次)，然后單擊主界面工具欄上的“開始”按鈕，科來(lái)網(wǎng)絡(luò)分析系統(tǒng)開始捕獲當(dāng)前網(wǎng)絡(luò)中的數(shù)據(jù)通信，并自動(dòng)將當(dāng)前工程文件命令(注：在科來(lái)網(wǎng)絡(luò)分析系統(tǒng)5.0中，工程是指對(duì)捕獲任務(wù)進(jìn)行設(shè)置和過(guò)濾的計(jì)劃安排，同，并且可將此區(qū)域或容器中的數(shù)據(jù)保存到磁盤。)(圖1科來(lái)網(wǎng)絡(luò)分析系統(tǒng)5.0主界面)從圖1中可知，科來(lái)網(wǎng)絡(luò)分析系統(tǒng)5.0主界面布局從上到下為標(biāo)題欄、菜單欄、工具欄、瀏覽器、左下部的工程狀態(tài)欄、右邊的視圖內(nèi)容顯示區(qū)，下面分別對(duì)其進(jìn)行介紹。2.節(jié)點(diǎn)瀏覽器確地查看該節(jié)點(diǎn)對(duì)應(yīng)的網(wǎng)絡(luò)數(shù)據(jù)通訊。節(jié)點(diǎn)瀏覽器中的節(jié)點(diǎn)類型有三種，協(xié)議、物理端點(diǎn)、協(xié)議：以樹狀層級(jí)方式顯示出當(dāng)前網(wǎng)絡(luò)中的通訊所使用的協(xié)議，當(dāng)網(wǎng)絡(luò)中出現(xiàn)使用某協(xié)議進(jìn)顯示區(qū)中各視圖均只顯示使用該協(xié)議進(jìn)行通訊的信息。如當(dāng)用戶希望查看訪問互聯(lián)網(wǎng)(默認(rèn)情況下使用標(biāo)準(zhǔn)的HTTP協(xié)議)的信息時(shí)，可通過(guò)如圖2的方式對(duì)協(xié)議進(jìn)行定位，此時(shí)，主視圖區(qū)的所有視圖均只顯示網(wǎng)絡(luò)中使用HTTP協(xié)議通訊的信息。另外，使用協(xié)議節(jié)點(diǎn)，還可以有效得出網(wǎng)絡(luò)中正在使用的服務(wù)，從而確定網(wǎng)絡(luò)中是否存在非常用協(xié)議的異常數(shù)據(jù)通(圖2節(jié)點(diǎn)瀏覽器的協(xié)議節(jié)點(diǎn)中定位HTTP協(xié)議)以方便地定位一個(gè)網(wǎng)絡(luò)，一個(gè)網(wǎng)段，或一個(gè)IP主機(jī)，定位某個(gè)節(jié)點(diǎn)時(shí)，主視圖顯示區(qū)中各主機(jī)相關(guān)的數(shù)據(jù)通訊信息。另外，使用IP端點(diǎn)節(jié)點(diǎn)，可以有效確定任何網(wǎng)段內(nèi)部主機(jī)間的流量；可以有效得出當(dāng)前網(wǎng)絡(luò)中活動(dòng)的IP主機(jī)，并確定這些活動(dòng)主機(jī)是否正常，即是否為的IP主機(jī)(偽造IP)，從而確定網(wǎng)絡(luò)中是否存在偽造IP地址的攻擊。(圖3節(jié)點(diǎn)瀏覽器的IP端點(diǎn)中定位/24網(wǎng)段)(圖4節(jié)點(diǎn)瀏覽器的物理端點(diǎn)中定位D-LINK:47:E8:DF主機(jī))物理端點(diǎn)：以樹狀方式顯示當(dāng)前網(wǎng)絡(luò)中的通訊所涉及到的MAC地址和IP地址，物理端點(diǎn)以網(wǎng)絡(luò)的物理拓?fù)浣Y(jié)構(gòu)為顯示的依據(jù)，它的下級(jí)分類里默認(rèn)有本地網(wǎng)段、網(wǎng)關(guān)、廣播地址、組播地址，系統(tǒng)捕獲到某個(gè)MAC地址或IP地址時(shí)會(huì)自動(dòng)將其加入到相應(yīng)的分類中。通過(guò)物理端點(diǎn)，用戶可以方便地定位一個(gè)網(wǎng)絡(luò)，一個(gè)MAC地址(即一塊網(wǎng)卡)或一個(gè)IP主機(jī)，某個(gè)節(jié)點(diǎn)時(shí)，主視圖顯示區(qū)中各視圖均只顯示與該節(jié)點(diǎn)有關(guān)的數(shù)據(jù)通訊信息。圖4中，節(jié)點(diǎn)被定位在物理端點(diǎn)下本地網(wǎng)段中MAC地址為D-LINK:47:E8:DF的主機(jī)，此時(shí)主視圖顯示區(qū)的所有視圖均只顯示與D-LINK:47:E8:DF主機(jī)有關(guān)的數(shù)據(jù)通訊信息。另外，使用物理端點(diǎn)節(jié)點(diǎn)，可以有效確定任何網(wǎng)段內(nèi)部主機(jī)間的流量；通過(guò)MAC地址與IP地址的對(duì)應(yīng)比較，可以有效確定網(wǎng)絡(luò)中是否存在用戶私自更改IP或MAC的情況，以及網(wǎng)絡(luò)中是3.工程狀態(tài)欄數(shù)據(jù)包、丟失的數(shù)據(jù)包、接受的數(shù)據(jù)包、拒絕的數(shù)據(jù)包和緩存使用率，如圖5所示。(圖5工程狀態(tài)欄)在具體值和百分比間切換；雙擊“數(shù)據(jù)包過(guò)濾器”、“接受的數(shù)據(jù)包”、“拒絕的數(shù)據(jù)包”可打開過(guò)濾器設(shè)置對(duì)話框，雙擊“緩存使用率”將打開常規(guī)設(shè)置對(duì)話框。4.主視圖顯示區(qū)息。它包括概要統(tǒng)計(jì)、節(jié)點(diǎn)、協(xié)議、數(shù)據(jù)包、連接、日志、圖表七個(gè)視圖，用以顯示節(jié)點(diǎn)瀏覽器中選定節(jié)點(diǎn)所對(duì)應(yīng)的不同數(shù)據(jù)通訊信息。指明節(jié)點(diǎn)的位置，均表示節(jié)瀏覽器中選定的是根節(jié)點(diǎn)，即當(dāng)前工程名。)統(tǒng)計(jì)信息：顯示科來(lái)網(wǎng)絡(luò)分析系統(tǒng)開始運(yùn)行的日期、時(shí)間，以及持續(xù)運(yùn)行的時(shí)間。物理錯(cuò)誤：顯示網(wǎng)絡(luò)中的物理錯(cuò)誤數(shù)據(jù)包數(shù)，包括CRC錯(cuò)誤、對(duì)齊錯(cuò)誤、過(guò)大數(shù)據(jù)包損壞、接觸不良、線路兩端設(shè)備速率不匹配等情況造成。802.3錯(cuò)誤：顯示網(wǎng)絡(luò)中IEEE802.3錯(cuò)誤的數(shù)據(jù)包數(shù)，包括802.3一次沖突錯(cuò)誤、速率模式不匹配、傳輸線路超出規(guī)定范圍、網(wǎng)絡(luò)設(shè)備(如網(wǎng)卡)硬件錯(cuò)誤等情況造成。流量。網(wǎng)絡(luò)的負(fù)載過(guò)重；廣播流量或組播流量大于總流量的20%，表示網(wǎng)絡(luò)中可能存在廣播數(shù)據(jù)包大小分布：顯示網(wǎng)絡(luò)中數(shù)據(jù)包的大小分布情況，不同大小的數(shù)據(jù)包，都可對(duì)其總大時(shí)，表示網(wǎng)絡(luò)中可能存在非正常的網(wǎng)絡(luò)通訊，如碎片或數(shù)據(jù)包溢出攻擊。最常見的數(shù)據(jù)包大?。猴@示網(wǎng)絡(luò)中數(shù)量最多的數(shù)據(jù)包的大小以及這些數(shù)據(jù)包的流量占用1518和64字節(jié)左右的數(shù)據(jù)包排在前兩位，表示網(wǎng)絡(luò)中可能存在大文件的上傳下載操TCPTCPTCP、TCP結(jié)束連接數(shù)據(jù)包，對(duì)每一種TCP數(shù)據(jù)包，都可以顯示出其占用字節(jié)數(shù)，數(shù)據(jù)包個(gè)數(shù)，每秒數(shù)據(jù)包數(shù)以及利用率等信息，通過(guò)這些信息，可以知道網(wǎng)絡(luò)中的通訊是否正常。如TCP同步數(shù)據(jù)包和TCP復(fù)位數(shù)據(jù)包大大超過(guò)其他類型數(shù)據(jù)包時(shí)，表示網(wǎng)絡(luò)中可能有掃描器在工作，或者網(wǎng)絡(luò)中有主機(jī)正在被掃描攻擊；當(dāng)TCP重傳數(shù)據(jù)包過(guò)多時(shí)，則表示網(wǎng)絡(luò)的通訊質(zhì)量極低，可能存在環(huán)路現(xiàn)象；當(dāng)TCP零窗口數(shù)據(jù)包較多時(shí)，表示對(duì)端主機(jī)當(dāng)前無(wú)法接受數(shù)據(jù)，對(duì)方主機(jī)系統(tǒng)可能存在故障。TCP連接：顯示網(wǎng)絡(luò)中的TCP連接數(shù)，可統(tǒng)計(jì)出初始化的TCP連接數(shù)、成功建立的可以知道網(wǎng)絡(luò)中的TCP通信是否正常，如初始化的TCP連接數(shù)較多，而成功建立的TCP連接數(shù)很少時(shí)，表示網(wǎng)絡(luò)中的主機(jī)可能感染病毒，且此病毒正在試圖連接其他主掃描攻擊或用戶名密碼破解攻擊。括工作效率)；網(wǎng)絡(luò)中的SMTP服務(wù)器是否可能被黑客控制，正被用于處理垃圾郵件；網(wǎng)絡(luò)中是否存在感染蠕蟲病毒的主機(jī)；網(wǎng)絡(luò)中是否存在破解郵箱用戶名密碼的情況。POP使用POP3協(xié)議進(jìn)行郵件接收的信息，包括建立的POP3連接數(shù)，POP，以及接收的郵件數(shù)等等。通過(guò)這些數(shù)據(jù)，我們可以確定網(wǎng)絡(luò)中的郵件接收是否正常，如郵件的POP3服務(wù)器是否正常工作(包括其工作效率)；網(wǎng)絡(luò)中是否存在破解郵箱用戶名密碼的情況。網(wǎng)絡(luò)中是否存在FTP賬戶的用戶名密碼的情況，以及對(duì)上傳下載的數(shù)據(jù)進(jìn)行統(tǒng)計(jì)。HTTP分析：顯示網(wǎng)絡(luò)中上網(wǎng)的統(tǒng)計(jì)信息，包括HTTP連接數(shù)、HTTP請(qǐng)求數(shù)、通過(guò)我們可以對(duì)網(wǎng)絡(luò)中的網(wǎng)頁(yè)瀏覽進(jìn)行統(tǒng)計(jì)，并確定網(wǎng)絡(luò)中是否存在使用HTTP代理的程端點(diǎn)：端點(diǎn)視圖可以有效顯示出當(dāng)前網(wǎng)絡(luò)通訊所涉及到的節(jié)點(diǎn)情況，有All、Physical、IP(圖6端點(diǎn)視圖)的具體流量占用情況，如總流量最大的主機(jī)、發(fā)送流量最大的主機(jī)、接收流量最大的主機(jī)、收發(fā)數(shù)據(jù)包數(shù)最多的主機(jī)、發(fā)送數(shù)據(jù)包最多的主機(jī)、接收數(shù)據(jù)包最多的主機(jī)、內(nèi)部流量、以及廣播流量最大的主機(jī)等信息。通過(guò)這些信息，我們可以確定網(wǎng)絡(luò)中是否廣播/組播風(fēng)暴，并幫助用戶排查網(wǎng)絡(luò)速度慢、網(wǎng)絡(luò)時(shí)斷時(shí)續(xù)、蠕蟲病毒攻擊、DOS攻擊、以及用戶無(wú)法上協(xié)議：協(xié)議視圖可以有效顯示網(wǎng)絡(luò)中數(shù)據(jù)通訊所使用的協(xié)議，協(xié)議采用樹狀層級(jí)方式顯示，百分比、以及使用此協(xié)議的數(shù)據(jù)包在總數(shù)據(jù)包中的百分比進(jìn)行了統(tǒng)計(jì)，如圖7所示。通過(guò)協(xié)議視圖對(duì)各視圖占用流量及百分比的統(tǒng)計(jì)，用戶可以得出當(dāng)前網(wǎng)絡(luò)中占用流量最多的協(xié)擊、網(wǎng)絡(luò)時(shí)斷時(shí)續(xù)以及用戶無(wú)法上網(wǎng)等網(wǎng)絡(luò)故障。(注：查看協(xié)議占用的比例時(shí)，需對(duì)應(yīng)科來(lái)網(wǎng)絡(luò)分析系統(tǒng)協(xié)議列表中各層次的協(xié)議關(guān)系，在(圖7協(xié)議視圖)我們可以知道，網(wǎng)絡(luò)中的數(shù)據(jù)包的類型、網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)包是否正確、網(wǎng)絡(luò)中IP數(shù)據(jù)包時(shí)間(即鏈路長(zhǎng)度)、目標(biāo)主機(jī)對(duì)客戶端主機(jī)請(qǐng)求的服務(wù)的響應(yīng)時(shí)間、網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)是(圖8數(shù)據(jù)包視圖)連接：連接視圖專指TCP連接，用來(lái)顯示網(wǎng)絡(luò)中TCP連接的信息，包括成功的、失敗的、活動(dòng)的、停止的、正在建立的、已建立的、正在關(guān)閉的、已關(guān)閉的。并在下方的子窗口中顯示當(dāng)前選定連接的基本通信信息、TCP數(shù)據(jù)流重組信息、原始數(shù)據(jù)包信息、對(duì)應(yīng)的日志文件。對(duì)于每條連接，都可統(tǒng)計(jì)其源地址、目標(biāo)地址、當(dāng)前狀態(tài)、協(xié)議、該連接收發(fā)的數(shù)據(jù)包如查看兩臺(tái)主機(jī)之間的通訊內(nèi)容、網(wǎng)絡(luò)中是否存在TCP端口掃描攻擊、網(wǎng)絡(luò)中是否存在基于TCP協(xié)議的服務(wù)的賬戶用戶名密碼破解攻擊、網(wǎng)絡(luò)中是否存在郵件蠕蟲病毒攻擊、網(wǎng)絡(luò)中是否存在長(zhǎng)時(shí)間連接且流量小的TCP連接(QQ/MSN等程序使用HTTP代理即為此現(xiàn)象)；下方的TCP數(shù)據(jù)流重組，可以方便地得出當(dāng)前選定連接的原始操作信息，通過(guò)TCPTCP(圖9連接視圖)日志：日志視圖記錄網(wǎng)絡(luò)中用戶的高級(jí)網(wǎng)絡(luò)運(yùn)用，包括HTTP請(qǐng)求(網(wǎng)頁(yè)瀏覽)，郵件信息 (通過(guò)SMTP/POP3進(jìn)行的郵件收發(fā))以及FTP傳輸(通過(guò)FTP進(jìn)行的數(shù)據(jù)上傳下載)，并可根據(jù)用戶的需要將這些日志信息保存到硬盤以備查閱。其界面如圖10所示，當(dāng)前選定(圖10日志視圖)TP應(yīng)、服務(wù)器返回的狀態(tài)碼、以及這條日志所持續(xù)的時(shí)間等信息。通過(guò)這些信息，我們可以有效查看網(wǎng)絡(luò)中所有用戶或者指定某用戶的網(wǎng)頁(yè)瀏覽情況(包括請(qǐng)求/被請(qǐng)求的網(wǎng)址信息，以及訪問的頻率)，從而確定網(wǎng)絡(luò)中是否存在惡意網(wǎng)頁(yè)訪問(攻擊Web服務(wù)器80端口)、以在郵件信息日志視圖中，每條日志均表示用戶通過(guò)SMTP/POP3協(xié)議成功進(jìn)行的郵件收發(fā)在郵件蠕蟲病毒攻擊、是否存在對(duì)郵件服務(wù)器的攻擊等情況。在FTP傳輸日志視圖中，每條日志均表示用戶從FTP服務(wù)器上傳/下載一個(gè)文件的操作。類型(上傳或下載)、傳輸模式(主動(dòng)或被動(dòng))、傳輸?shù)目傋止?jié)數(shù)和總包數(shù)等信息。通過(guò)這些FTPFTP傳輸是否正常、網(wǎng)絡(luò)中是否存在FTP攻擊(攻擊相應(yīng)主機(jī)后通過(guò)FTP方式對(duì)其進(jìn)行上傳下載文件的操作)等情況。圖表：圖表視圖的內(nèi)容與統(tǒng)計(jì)概要的內(nèi)容相同，它使用圖表方式形象地顯示當(dāng)前的網(wǎng)絡(luò)通訊中顯示的是數(shù)據(jù)包大小分布情況。(圖11圖表視圖)錯(cuò)誤數(shù)據(jù)包：包括物理錯(cuò)誤包的統(tǒng)計(jì)信息、802.3錯(cuò)誤包的統(tǒng)計(jì)信息、以及錯(cuò)誤包與正常存在故障、網(wǎng)絡(luò)的傳輸是否存在故障、網(wǎng)絡(luò)設(shè)備(如網(wǎng)卡)是否存在硬件錯(cuò)誤、傳輸線路是否超過(guò)規(guī)定范圍、網(wǎng)絡(luò)對(duì)端設(shè)備的速率是否匹配、線路干擾是否過(guò)大等情況。TCP分析：對(duì)網(wǎng)絡(luò)中的TCP連接進(jìn)行統(tǒng)計(jì)并以圖表方式顯示，包括TCP連接、TCP數(shù)據(jù)包的傳輸質(zhì)量、網(wǎng)絡(luò)中是否存在自動(dòng)運(yùn)行的重傳攻擊、是否存在端口掃描攻擊等信息。FTP分析：對(duì)網(wǎng)絡(luò)中的FTP數(shù)據(jù)傳輸信息進(jìn)行統(tǒng)計(jì)并以圖表方式顯示，通過(guò)此表，我們可TTP可以確定網(wǎng)絡(luò)中HTTP請(qǐng)求(網(wǎng)頁(yè)訪問)的數(shù)量、增長(zhǎng)趨勢(shì)，并幫助用戶判斷網(wǎng)絡(luò)中的網(wǎng)正常。5.報(bào)表科來(lái)網(wǎng)絡(luò)分析系統(tǒng)提供的報(bào)表功能可以將網(wǎng)絡(luò)中的各種信息輸出為html格式的報(bào)表文件，TOP物理地址、確定網(wǎng)絡(luò)中是否存在異常數(shù)據(jù)通訊；確定網(wǎng)絡(luò)ARP)；網(wǎng)絡(luò)中出現(xiàn)較多此類物理錯(cuò)誤的數(shù)據(jù)包時(shí)，表示網(wǎng)絡(luò)的物理層存在故障，具體可能是網(wǎng)絡(luò)設(shè)良、線路兩端設(shè)備速率不匹配等。網(wǎng)絡(luò)中出現(xiàn)較多此類錯(cuò)誤數(shù)據(jù)包時(shí)，表示網(wǎng)絡(luò)的傳輸存在故障，具體可能是由網(wǎng)絡(luò)阻塞、兩端設(shè)備速率模式不匹配、傳輸線路超出規(guī)定范得出網(wǎng)絡(luò)的總體工作狀態(tài)，如總共流量的利用樹狀層級(jí)方式顯示網(wǎng)絡(luò)中通訊使用的協(xié)議樹狀方式顯示當(dāng)前網(wǎng)絡(luò)中通樹狀方式顯示當(dāng)前網(wǎng)絡(luò)中通訊所涉及到的MAC地址和節(jié)點(diǎn)瀏覽器概要統(tǒng)計(jì)視圖最常見的數(shù)據(jù)包大小端點(diǎn)視圖All/Physical/IP三種端網(wǎng)絡(luò)中不同大小數(shù)據(jù)包分布網(wǎng)絡(luò)中數(shù)量最多的數(shù)據(jù)包確定網(wǎng)絡(luò)中是否存在碎片或溢出攻擊等非正常確定