局域网网络监控软件的研究

网络与通信　●●●●●●●●●●●●…●●●●●●●…●…●●●●●……●………●●●●●●●●●●●●……●●●●●●●●●●－●●…………●………●ＮＥＴＷＯＲＫ　ＡＮＤ　ＣＯＭＭＵＮＩＣＡＴＩＯＮ　●●●●●●…●●…………………●●●●●－●　局域网网络监控软件的研究　肖同松　（南京信息工程大学网络信息中心，南京２１００４４）　摘要：本文介绍了网络监控软件的主要功能，对网络监控软件在局域网中的部署方法进行比较，分析了不同操作　系统平台下网络监控软件所提供的抓包技术。　关键宇：网络监控软件；数据包　Ｒｅｓｅａｒｃｈ　ｏｆ　ＬＡＮ　Ｎｅｔｗｏｒｋ　Ｍｏｎｉｔｏｒｉｎｇ　Ｓｏｆｗａｒｅ　ｔＸＩＡＯ　Ｔｏｎｇｓｏｎｇ　（Ｎｅｔｗｏｒｋ　Ｉｎｆｏｒｍｍｉｏｎ　Ｃｅｎｔｅｒ　ｏｆ　ＮａｎＪｉｎｇ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ，ＮａｎＪｉｎｇ　２１００４４）　【Ａｂｓｔｒａｃｔ】Ｔｈｅ　ｐａｐｅｒ　ｉｎｔｒｏｄｕｃｅｓ　ｔｈｅ　ｍａｉｎ　ｆｕｎｃｔｉｏｎｓ　ｏｆ　ｎｅｔｗｏｒｋ　ｍｏｎｉｔｏｒｉｎｇ　ｓｏｆｔｗａｒｅ，ｃｏｍｐａｒｅｓ　ｔｈｅ　ｍｅｔｈｏｄ　ｏｆ　ｎｅｔｗｏｒｋ　ｍｏｎｉ—　ｔｏｔｉｎｇ　ｓｏｆｔｗａｒｅ　ｉｎ　ｔｈｅ　ｌｏｃａｌ　ａｒｅａ　ｎｅｔｗｏｒｋ　ｄｅｐｌｏｙｍｅｎｔ，ａｎａｌｙｓｅｓ　ｄａｔａ　ｐａｃｋｅｔ　ｃａｐｔｕｒｅｄ　ｂｙ　ｎｅｔｗｏｒｋ　ｍｏｎｉｔｏｒｉｎｇ　ｓｏｆｔｗａｒｅ　ｉｎ　ｔｈｅ　ｄｉｆｆｅｒｅｎｔ　ｏｐｅｒａｔｉｎｇ　ｓｙｓｔｅｍ　ｐｌａｔｆｏｒｍ．　【ＫｅｙＷｏｒｄｓ】ｎｅｔｗｏｒｋ　ｍｏｎｉｔｏｒｉｎｇ　ｓｏｆｔｗａｒｅ；ｄａｔａ　ｐａｃｋｅｔ　随着计算机网络技术在企业的普及和应用，网络为企业　（２）防止并追查重要资料、机密文件等外泄。　（３）记录和监视ＱＱ／ＭＳＮ聊天记录内容和行为过程。　（４）备份重要网络资源文件和工作文件。　（５）流量限制以及网站访问统计，员工使用网络情况分析。　（６）记录和管理网络打印机设备及其他输出设备的使用，　的信息化建设和工作效率的提高发挥了重要作用。但企业如　何规范员工的网络操作，保证网络上的信息安全，监控员工　的上网行为，提高员工的工作效率是有一个急需解决的问题。　在企业的局域网中安装网络监控软件，对员工的上网行为进　行监管，再辅以企业的内部管理规范，可有效规范员工的上　网行为，提高工作效率。　杜绝可能的信息泄露和安全隐患。　２　模式　网络监控软件的解决方案按照管理目标可分为内网监控　和外网监控两个部分。　内网监控的主要目标是管理网内电脑的所有资源和使用　过程。比如网内的硬件资源（计算机、网络打印机等）、软件　资源（计算机及相关设备中安装的软件，可否访问网络）、数　据资源（重要资料文件、数据、使用权限）、行为操作（对工　作的评估、使用电脑的合法性）等等。　外网监控的主要目标是监视网内电脑上网内容和管理上　网行为；比如网络监控、邮件监控、网页监控、ｍ监控、　１　功能　网络监控系统总体目标是限制员工计算机及网络操作，　知道员工在做什么，能够监控到局域网中员工机操作内容、　上网记录、程序运行记录、邮件记录、聊天记录、能禁止游　戏和ＢＴ下载、禁止乱装软件、只允许运行与工作有关的软　件，从而有效防止员工通过网络以各种方式泄密，实现对网　络电脑及网络资源的统一管理和有效监控。对用机、上网、　收发邮件、网上聊天和电脑游戏进行严格管理与控制，未经　授权不得以各种方式外发文件、不得上班时间利用网络做不　应该做的事、并能够记录网络往来的内容，对电脑的各种端　口和设备实施全面管理和控制，对重要信息进行强制备份和　安全防护。其具体功能有：　１．１限制功能　ＭＳＮ／ＱＱ聊天内容监控、游戏监控、流量监视和限制、ＢＴ下　载监控、ＴＣＰ／ＤＵＰ全系列双向端口监视和控制等等。　按照运行原理可分为旁路监听模式、网关模式和用户模　式等。　（１）禁止网络聊天和网络游戏以及股票行为，禁止一切　（１）旁路监听模式　旁路监听模式的原理：当用户和其他计算机（如外部网　站）进行通信，企业里另一台电脑（监听服务器）在监听，　用户与其他计算机的通信过程可以监视到；若监听服务器认　为该通信不允许发生，就向网络总线上发一个阻断过程，把　不允许的软件运行。　（２）禁止ＢＴ恶意下载，禁止在线观看电影听音乐，禁止　一切与工作无关的大量占用企业网络带宽的软件。　（３）禁止私自更改ＩＰ地址，支持ＭＡＣ地址与ＩＰ地址　绑定。　（４）支持有限任务集功能，根据权限设置判定软件能否　连接网络，管理计算机中的软件。　１．２监控功能　用户和其他计算机的通信禁止，如图ｌ所示。　旁路监听的前提是监听服务器可以采集到通信的ＭＡＣ层　数据包。旁路监听模式由于其不断地进行数据包采集和发送　阻断信号，这些信息会占用网络的部分带宽，对于大规模网　（１）监督、审查、规范网络使用行为。　本文收稿日期：２００８年８月２８日　一络，这些信息将会严重占用网络资源，并且对于大量的信息　监听和交互，对监听服务器的要求将非常高，因此旁路监听　１０２一　ＮＥＴＷ０ＲＫ　ＡＮＤ　Ｃ０ＭＭＵＮＩＣＡ　ｎ０Ｎ　●●●－－●……●●●－●●…●…●●…●●……●●●●●……●●…●●●●…●●●…●●●…●●…●●－－●●………●●＿　网络与通信　作进行记录，以便出现问题时进行追踪查询。监控软件的工　模式只适合小型网络，对于大规模的网络管理是不推荐的。　目前主要有两种方式实现旁路模式：　服务器　用户　图１旁路监听模式的原理　①采用公开免费接口ＷＩＮＰＣＡＰ协议层驱动　公开免费接口ＷＩＮＰＣＡＰ协议层驱动方式需通过ＨＵＢ或　交换机镜像获得ＭＡＣ层总线数据流。通过该技术进行旁路监　听，会造成网络速度严重限制，容易导致网络阻塞；又由于　ＷＩＮＰＣＡＰ本身设计的天生弱点，所以在流量限制方面很难实　现，阻断ＵＤＰ的同时也会导致网络中断，而且无法支持千兆　网络和无线网络，因此其性能很低，在目前的网络监控中很　少被采用。　②采用操作系统核心ＮＤＩＳ中间层驱动模式　该模式在ＮＤＩＳ层位置驱动，性能效率非常高，更多功能　也成为可能；采用操作系统核心ＮＤＩＳ中间层驱动的网络监控　软件安装也非常简单；可以在普通交换机模式下任何一台计　算机中安装，不需要ＨＵＢ，也不需要镜像交换机；能够克服　ＷＩＮＰＣＡＰ所有的弱点，但采用操作系统核心ＮＤＩＳ中间层驱　动模式的监控软件的开发实现难度较大；　（２）网关模式　由于旁路模式的特点，其只适合于小规模的网络，在规　模庞大的网络监控中是不推荐的；而网关模式将更强大有效，　特别是在阻断ＢＴ等Ｐ２Ｐ应用、流量限制、ＵＤＰ应用将更加有　效；这些应用都是实时性非常强，而且都是动态变换的，因　此在一般的外网监控应用中建议选择网关模式。　（３）用户绑定模式　用户绑定模式主要有基于ＩＰ策略的和基于ＭＡＣ策略的两　种用户模式，即以计算机ＩＰ地址或以网卡Ｍ２｛Ｃ地址与用户计　算机进行绑定；在网关模式下可以直接绑定ＩＰ和ＭＡＣ的对应　关系；对于非法的ＩＰ地址和ＭＡＣ地址，不允许访问网络。　在一般的企业网络管理中，需要采用上述几种模式的结　合，通过对用户进行绑定，经过监听可对每个员工计算机网　络行为进行分析和记录，不仅可以监视Ｉｎｔｅｒｎｅｔ的行为和内　容，也可以监视局域网内部的网络活动；通过在用户计算机　中安装相关管理软件，可以直接在用户计算机中监视员工的　所有工作行为，可直接对不合法的行为进行制止，对重要操　作模式一般采用Ｃ／Ｓ模式，不仅在网络服务器端配置常用网络　限制，而且在每台员工的计算机中安装网络管理客户端软件，　通过服务器对各客户端统一进行权限设置和详细的监控管理　设置，这样通过两者结合，不仅能够快速有效地监控网络而　且可以对各客户端计算机的各种行为提供详尽方便的管理。　３　抓包技术　为了更换掌握用户的上网行为，局域网监控软件提供对　网络数据包进行抓包分析技术。　３．１　Ｕｎｉｘ平台中的网络数据包采集　Ｕｎｉｘ系统提供了标准的ＡＰ１支持：Ｐａｃｋｅｔ　ｓｏｃｋｅｔ和ＢＰＦ　ｆＢＳＤ　Ｐａｃｋｅｔ　Ｆｉｌｔｅｒ，简称ＢＰＦ）。　（１）ＢＳＤ（Ｂｅｒｋｅｌｅｙ　Ｓｏｆｔｗａｒｅ　Ｄｉｓｔｒｉｂｕｔｉｏｎ）抓包法　ＢＳＤ包过滤器位于ＢＳＤ　Ｕｎｉｘ的内核中，它独立于ＴＣＰ／ＩＰ　协议栈，为应用程序访问数据链路层提供了一个原始接口，　被广泛地运用在网络监控及其它软件中。　ＢＰＦ使用了３种技术以降低系统开销：　①ＢＰＦ的过滤器存在于内核中，以减小开销　②由于从内核复制所有数据包到达应用层的开销太大，　可以考虑只复制部分数据（ｃａｐｔｕｒｅ　ｌｅｎ￣ｈ），一般的应用程序　主要使用的是数据包头，如Ｔｃｐｄｕｍｐ就定义了只获取前６８个　字节。　③ＢＰＦ在内核中设置了缓存，当ａ缓存满或ｂ缓存ｒｅａｄ　ｔｉｍｅｏｕｔ过期，则发送数据到应用程序。这样做是为了减少从　核心态到用户态的系统开销。在实际的操作中，使用ｄｏｕｂｌｅ　ｂｕｆｆｅｒｉｎｇ技术，一个用于发送数据到应用程序；另一个用于缓　存ＢＰＦ获得的数据。　（２）Ｌｉｂｐｃａｐ抓包工具库　Ｌｉｂｐｃａｐ库是基于ＢＰＦ系统的。ＢＰＦ是ＢＳＤ系统在的　ＴＣＰＢＰ软件在实现的时候所提供的一个接口，通过这个接口，　外部程序可以得到到达本机的数据链路层网络数据，同时也　可以设置过滤器，嵌入到网络软件中，获得过滤后的数据包。　Ｌｉｂｐｃａｐ是一个与实现无关的访问操作系统所提供的分组　捕获机制的分组捕获函数库；　Ｌｉｂｐｃａｐ提供了系统独立的用户级别网络数据包捕获接　口，其充分考虑到应用程序的可移植性；　Ｌｉｂｐｃａｐ可以在绝大多数类Ｕｎｉｘ平台下工作；　Ｕｎｉｘ系统中，可通过Ｌｉｂｐｃａｐ库调用用户状态上的缓冲　区，直接与内核交互，实现网络数据包的截取，如图２所示。　状态上的缓冲区Ｉ　ｌ状态上的缓冲区Ｉ　系　统　佛　议　内核缓冲区ａ　内核缓冲区ｈ　栈　过滤器ａ　过滤器ｂ　丁　丁丁　丁　网卡驱动ｆＮ　帅ｒＵｎ妇　Ｉｃｅ　ｉｆａｒｄｌｈｉｖ神　图２　Ｕｎｉｘ系统监听机制　一１０３—　网络与通信　……●……………●…●……………………………－●●●……………●…●●………………ＮＥＴＷＯＲＫ　ＡＮＤ　ＣＯＭＭＵＮＩＣＡＴＩＯＮ　●…●………………………………　３．２　Ｗｉｎｄｏｗｓ平台上通过驱动程序来获取数据包　ＯＳＩ定义的这层又被ＩＥＥＥ分为两层：ＬＬＣ和ＭＡＣ。ＬＬＣ　层提供将数据帧从一个节点无错误传输到另一个节点。ＬＬＣ　Ｗｉｎｄｏｗｓ　２０００下的网络驱动程序实现网络体系结构中由　下而上的４个协议层：　层建立并终止逻辑链路，控制帧传输，帧排序，确认帧和再　次传输非确认帧。ＬＬＣ层利用帧确认和再次传输来通过链向　上一层提供最终的无错误的传输。ＭＡＣ层管理存取网络媒介，　检查帧错误，并管理接收帧地址确认。在Ｗｉｎｄｏｗｓ　２０００网络　ｌ传输层（确保信息传输无误．确定传输顺序）　＋　ｌ网络层（控制子弼的运行，决定数据传送的路径）　●　数据链路层（ＬＬＣ层和ＭＡＣ层）　体系结构中，ＬＬＣ子层是由传输驱动程序实现的，而ＭＡＣ子　层是由网络接口卡（ＮＩＣ）来实现。　４　结语　本文介绍了局域网监控软件功能和解决方案，为关注局　域网网络监控软件的使用人员提供策略参考；同时企业管理　人应认识到网络监控的重要性。　牛　物理层（接收和转发无结构的原始比特流）　图３　Ｗｉｎｄｏｗｓ系统的网络体系结构　（上接第５７页）　３　结语　以上是在应用系统开发中的１６位与３２位ＰＢ应用程序需　（５）为３２位应用程序配置数据库连接参数，以确保应用　程序能够正常访问数据库。　（６）试运行３２位应用程序ＡＰＰ３２，确认该应用程序可以　要混合运行的特殊需求下产生的解决方法，并且已经在项目　实践中得到实际应用，ＰＢ的其他版本的１６位及３２位应用可　以此类推解决。　正常启动运行，然后关闭该程序。　（７）首先运行１６位应用程序ＡＰＰＩ６，然后再运行３２位　应用程序ＡＰＰ３２，这样即可实现两个不同开发环境的ＰＢ应用　程序的同时运行。需要注意的是其运行顺序不能颠倒，否则　会出现文件冲突造成应用程序崩溃。　２．３部分动态链接库文件　参考文献　【１】ＰｏｗｅｒＢｕｉｌｄｅｒ　５．０　Ｕｓｅｒ’Ｓ　Ｇｕｉｄｅ．Ｐｏｗｅｒｓｏｆｌ，１９９８．　【２】胡宇．用ＰｏｗｅｒＢｕｉｌｄｅｒ开发数据库应用．北京：化学工业出　版社，１９９９．　表１中的文件是ＰＢ应用程序运行所需的关键ＤＬＬ文件，　读者可以参考决定是否需要全部安装所有ＤＬＬ文件或安装部　分必需文件，文件可以在ＰｏｗｅｒＢｕｉｌｄｅｒ的ＳｈａｒｅｄＷｏｗｅｒＢｕｉｌｄｅｒ　【３】陈华明等．ＰｏｗｅｒＢｕｉｄｅｒ应用技巧与常见问题．北京：机械　工业出版社，２００３．　【４】崔巍．ＰｏｗｅｒＢｕｉｌｄｅｒ数据库应用系统开发教程．北京：清华　大学出版社，２０００．　文件夹中找到。提交应用程序时需要将它们拷贝到ＥＸＥ文件　所在的路径下。　表１　ＰＢ部分动态链接库说明　序号　ｌ　文件名　说明　备注　必需　【５】袁晓君．ＰＯＷＥＲＢＵＩＬＤＥＲ计算机语言函数应用．北京：科　学出版社，２００２．　【６】宋晔等．ＰｏｗｅｒＢｕｉｌｄｅｒ实用教程：数据库应用系统开发．北　京：北京理工大学出版社，２００４．　【７１王梅君．ＰｏｗｅｒＢｕｉｌｄｅｒ基础类库技术详解．北京：电子工业　出版社，２０００．　ＰＢＲｒｒＥ０５０．ＤＬＬ　ＰｏｗｅｒＢｕｉｌｄｅｒ运行环境引擎。　２　３　４　５　６　７　８　ＰＢＲＴＦＯ５Ｏ．ＤＬＬ　ＰＢＴＲＡＯ５０．ＤＬＬ　ＰＢＲＴＣＯ５Ｏ．ＤＬＬ　ＰＢＳＹＣ０５０．ＤＬＬ　ＰｏｗｅｒＢｕｉｌｄｅｒ运行环境函数。　用来数据库跟踪调用。　对ＲｉｃｈＴｅｘｔ的支持。　ＳＹＢＡＳＥ数据库服务器的接口　ｆＮａｔｉｖｅ　ｄａｔａｂａｇｅ　ｉｎｔｅｒｆａｃｅｓ）。　必需　可选　可选　可选　必需　【８】　（美）加拉赫，赫伯特著，曹康等译．ＰｏｗｅｒＢｕｉｌｄｅｒ５．０程序　设计大全．北京：机械工业出版社，１９９７．　作者简介　ＰＢＤＷＥＯ５Ｏ．ＤＬＬ　ＤａｔａＷｉｎｄｏｗ引擎，如果使用了　Ｄａｔａ　Ｗｉｎｄｏｗ和Ｒｅｐｏｒｔ。　ＮＴＷＤＢＵＢ．ＤＬＬ　ＤＢＭＳ客户端链接库，负责执　行与服务器的连接。　ＤＢＮＭＰＮＴＷ．ＤＵ　Ｎａｍｅｄ　Ｐｉｐｅｓ　Ｎｅｔｗｏｒｋ　Ｌｉｂｒａｒｙ，　必需　可选　温翔，　（１９７３一），男，硕士学位，高级工程师，主要研究方　向：软件系统建模，数据库系统设计。　９　网络连接方式之一。　ＤＢＭＳＳ０ＣＮ．ＤＬＬ　ＴＣＰ／ＩＰ　Ｎｅｔｗｏｒｋ　Ｌｉｂｒａｒｙ，网络　律播青吉　一　可选　１０　ＰＢ０ＤＢ０５０．ＤＬＬ　数据库联接接口。如果不是使　必需　用专用接口，而是采用ＯＤＢＣ，　则需要该文件。　一１０４—