Отслеживание сетевого трафика что это

Мониторинг сети. Сниффер Wireshark

Под мониторингом сети понимают процесс сбора и анализа сетевого трафика, по результатам которого можно судить о качественных и количественных характеристиках работоспособности сети или ее отдельных компонентов. Программы мониторинга сети позволяют выполнять захват пакетов и их реассемблирование для дальнейшего анализа.

Цель работы: Освоить базовые навыки мониторинга сети с использованием программ для анализа протоколов.

Задания к работе

1. Запустить ENA в режиме захвата трафика, проходящего через интерфейс, подключенный к локальной сети (обычно это eth0). Перейти к следующему заданию.
2. Эмулировать сетевую активность в течении 10-15 минут. Для этого можно выполнить, например, некоторые из указанных действий.
   • Открыть сайт http://asoiu.com;
   • Подключиться к серверу ftp://ftp.omgtu;
   • Выполнить пинг любых узлов;
   • Подключиться к одному из доступных сетевых дисков Windows (если такие ресурсы представлены в сети)
   • Выполнить прочие действия, требующие сетевого подключения.
3. Остановить захват.
4. Заполнить таблицу 2.1. Исходные данные для таблицы представлены в отчете Statistics/Summary. При заполнении таблицы обратите внимание на соблюдение размерности величин (кб, Мб, Мбит).

Таблица 2.1.

Параметр	Значение
Время захвата, мин
К-во захваченных пакетов
Объем, Мб
Средн.размер пакета, Кб
Средняя скорость, пакетов/сек
Средняя скорость, Мбит/сек

Таблица 2.2.

Протокол	Трафик, Мб	Трафик, %
HTTP
FTP
.
ИТОГО	100

Таблица 2.3.

MAC-адрес	IP-адрес	Трафик
		входящий		исходящий		общий
		Мб	%	Мб	%	Мб	%
ИТОГО		100	100	100

По данным табл. 2.1 определить относительную загрузку сети (в %) за контрольный период времени по формуле:

По данным табл. 2.2 сделать выводы о качественном составе трафика, т.е. о соотношении прикладных и служебных протоколов.

По данным табл. 2.3 определить, какие из узлов являются наиболее загруженными с учетом направления трафика (исходящий, входящий, общий).

Указания к работе

Для мониторинга используют специальные программы — анализаторы сети. Таких программ много, например Windows Network Monitor, tcpdump, Ethereal Network Analyzer (ENA), Wireshark и т.п. Они схожи по функциям, а отличаются в основном пользовательским интерфейсом и возможностями генерации статистических отчетов. На рис. 2.1 приведены примеры таких программ.

Рис.2.1. Программы анализа трафика. Главное окно программы Wireshark с результатами захвата и программа tcpdump (в консоли).

Онлайн-анализ трафика

В глобальной сети все большее распространение получают онлайн-сервисы, выполняющие мониторинг серверов. Основное назначение таких сервисов — контроль за работоспособностью узлов и оповещение администратора о нештатных ситуациях по эл.почте, через IM и по SMS. Основные проверки выполняются для сервисов прикладного уровня (HTTP, FTP, SMTP, POP3 и т.п.) с возможностью указания интервала проверок. Дополнительными возможностями являются, например, uptime-информеры, средства контроля за появлением вредоносного кода, подключение нескольких ресурсов на аккаунт и т.п. Детальное изучение онлайн-сервисов мониторинга выходит за рамки этой лабораторной работы.

Для выполнения этой работы рекомендуется использовать программы Ethereal Network Analyzer или Wireshark (версии для UNIX/Linux, Windows-версия работает не стабильно). Эти программы практически идентичны как по возможностям, так и по использованию.

Прежде чем приступить к выполнению заданий лабораторной работы, необходимо выполнить следующие действия:

• Установить программу WireShark (см. Управление пакетами в Linux).
• Ознакомиться с кратким руководством пользователя и документацией man (англ.).
• Запустить программу (требуются права суперпользователя) и ознакомиться с пользовательским интерфейсом и основными пунктами меню.

Что такое сетевая активность пользователей и как ее отслеживать

В настоящее время сложно представить работу компании и бизнеса без сети. В 2019 году индекс сетевой активности в России, по данным Всемирного экономического форума, составил 54,98. Индекс имеет четыре показателя: технологии, люди, управление и влияние. Поэтому оптимизация и сетевой мониторинг — важная задача ИТ-отдела компании. Антивирусы и файерволы не смогут защитить ее от внутренних угроз: ошибочных действий сотрудников и уязвимостей самой сети. На каждом сетевом устройстве в ИТ-инфраструктуре организации происходит множество действий, таких как передача пакетов, сообщений из сетевых протоколов, событий состояния устройства и т. д. Все это и есть сетевая активность. Сетевая активность используется для выявления узких мест в сети при наличии проблем с нагрузкой между серверами. Она влияет на общую производительность и работоспособность сети, а также время безотказной работы. Поэтому компаниям необходимо осуществлять контроль сетевой активности пользователей. Для этого используются инструменты сетевого мониторинга.

Мониторинг сетевой активности

• для диагностики и решения проблем в сети;
• контроля безопасности конфиденциальных данных;
• быстрой реакции на ошибки и неисправности;
• предупреждения длительного простоя сети;
• предотвращения подозрительной сетевой активности и атак.

Можно отслеживать активность практически любой сети: проводной или беспроводной, локальной сети предприятия и т. д. Мониторинг сетевой активности — это непрерывный процесс наблюдения за рабочей сетью. По его результатам можно делать выводы о качестве работы сети и ее компонентов. Контроль осуществляется системным администратором с помощью установленной системы мониторинга.

К системам мониторинга относятся программные и аппаратные средства, которые отслеживают сеть и ее компоненты: трафик, пропускную способность, время безотказной работы. Эти системы обнаруживают устройства и элементы сети, обновляют статус сети, а также уведомляют администратора о проблемах. Системы предоставляют отчеты по активности за определенный период и записывают статистику во внутреннюю базу данных. Важно сохранять всю информацию по сетевой активности. Задача сетевого администратора — поиск и анализ сетевых проблем на основе этих данных и принятие решений по их устранению.

Способы анализа сетевой активности

Методов проверки и мониторинга много, и все они зависят от целей анализа, сетевой конфигурации, файловой системы и т. д.

Начнем с методов, основанных на применении маршрутизатора. Функция мониторинга встроена в маршрутизатор и не нуждается в установке дополнительного ПО. Имеют низкую гибкость.

• Протокол простого сетевого мониторинга (SNMP). Позволяет управлять производительностью сети. Собирает данные по трафику до конечного хоста через пассивные датчики. Ключевые компоненты: управляемые устройства, агенты и системы управления сетью (NMS). Протокол SNMP работает на прикладном уровне и использует пассивные сенсоры для отслеживания сетевого трафика и производительности сети. Создает угрозу безопасности тем, что не имеет аутентификации.
• Удаленный мониторинг (RMON). Включает в себя сетевые мониторы и консольные системы для изменения данных. Может настроить сигналы для отслеживания сети по определенному критерию. Компоненты RMON: датчик (агент или монитор) и клиент (станция управления). Основан на протоколе SNMP.
• Netflow. Это сетевой протокол, предназначенный для учета сетевого трафика и , разработанный компаниейCisco Systems. По данным Netflow можно определить источник трафика и причины переполненности. Состоит из трех компонентов: FlowCaching (кэширующий поток), FlowCollector (собиратель информации о потоках) и Data Analyzer (анализатор данных). Преимущество Netflow — наглядные и удобные графики активности сети на любом отрезке времени.

Теперь рассмотрим методы, не основанные на применении маршрутизатора, которые нуждаются в дополнительном программном или аппаратном обеспечении. Являются более гибкими. Бывают активными и пассивными.

• Активный мониторинг. Осуществляет измерения между двумя конечными точками и сообщает о неполадках при их наличии. Недостаток активного мониторинга — измерения в сети могут вмешиваться в нормальный трафик. Это вызывает сомнения в ценности информации по этим пробам. Этот метод используется редко.
• Пассивный мониторинг. Отслеживает информацию только об одной точке в сети. Осуществляется с помощью любой программы, которая вытягивает пакеты. Минус метода — измерения можно проанализировать только офлайн.
• Комбинированный мониторинг. Содержит две технологии: просмотр ресурсов на концах сети (WREN) и монитор сети с собственной конфигурацией (SCNM). WREN активно обрабатывает данные при малом трафике и пассивно при большом. SCNM собирает данные на 3 уровне проникновения.

Мониторинг производительности сети (Network Performance Monitoring). Это инструмент для анализа производительности сетевых компонентов, каналов связи и передаваемого трафика. Отличается от классического Network Monitoring (SNMP и т. д.) тем, что работает с реальным сетевым трафиком и данные анализируются в реальном времени. Пользователь сам выбирает приложения для контроля. Поддерживает Flow-технологии.

Программы для просмотра сетевой активности

Данный тип программного обеспечения помогает быстро реагировать на подозрительную активность в сети, анализировать сетевые процессы и автоматизировать сетевую безопасность.

1. Cacti — инструмент мониторинга с открытым исходным кодом. Строит графики на основе практически любых статистических данных. Метод сбора данных SNMP, но могут использоваться сценарии на Perl или PHP. С помощью плагинов строит карту сети в реальном времени.
2. Observium. Отслеживает состояние сети в реальном времени и анализирует уровень производительности. Графический интерфейс дает большой выбор надстроек. Отчеты в виде диаграмм и графиков. Основан на протоколе SNMP.
3. Nagios. Дает возможность удаленно корректировать нагрузку на оборудование, следить за загруженностью памяти в БД и за физическими показателями оборудования (температура материнской платы). Автоматически посылает сообщения о подозрительной активности. Недостаток для начинающих — конфигурация через командную строку.
4. PRTG Network Monitor. Можно использовать не только для сканирования устройств, но и для выявления сетевых атак. Сохраняет статистические данные в БД. Есть возможность посмотреть карту сети в реальном времени и сбора технических параметров устройств, подключенных к сети. Графический интерфейс понятен и открывается в любом браузере.
5. Ранее в Windows XP была функция индикатора сетевой активности — значок двух мониторов, которые мерцали при наличии входящего или исходящего трафика. В операционных системах Windows 7 и Vista эту функцию убрали. Сегодняшней альтернативой может быть программа Network Activity Indicator. Ее интерфейс похож на Windows. После установки необходимо правой кнопкой мыши нажать на иконку программы, далее пункт «Настройки». После этого нужно выбрать необходимые опции и нажать «Применить». Трафик будет отображаться при наведении курсора на иконку программы.

Система мониторинга и анализа сетевого трафика (Network Forensics)

Широкий спектр сетевых атак («сетевая разведка», парольные атаки, атаки типа Man-in-the-Middle, атаки на приложения, распространение вредоносных программ и т.д.), используемых для получения доступа к информационным ресурсам, применение злоумышленниками комплексных целенаправленных атак (Advanced Persistent Threats, ATP) требуют включения в состав систем обеспечения безопасности информации (СОБИ) специализированных систем/подсистем защиты сетевого уровня.

Одним из возможных эффективных решений является система записи, просмотра и анализа сетевого трафика, которая внедряется в качестве самостоятельной подсистемы СОБИ или дополнения к системам класса SIEM (Security Information and Event Management) в составе Центра управления инцидентами ИБ (SOC – Security Operation Center).

ЭЛВИС-ПЛЮС предлагает построение системы мониторинга и анализа сетевого трафика на базе продукта RSA Security Analytics, построенного на базе архитектуры и возможностей RSA NetWitness (продукта, зарекомендовавшего себя за долгие годы работы в Центре управления инцидентов корпорации EMC, а также во многих других российских и зарубежных компаниях различных направлений деятельности и форм собственности).

Архитектура и основные функции

Компоненты системы собирают и анализируют сетевой трафик взаимодействия сегментов корпоративной информационной системы (КИС) между собой и с Интернетом. Администратор ИБ на своем автоматизированном рабочем месте может оперативно анализировать зафиксированный сетевой трафик (на основе настроенных правил обработки, графических панелей представления или вручную) и расследовать возможные и обнаруженные инциденты ИБ.

Интерфейс системы предоставляет следующие возможности:

• Настраиваемые на базе шаблонов инструментальные панели, диаграммы и таблицы, создающие единое представление для анализа угроз.
• Отчётность по выявленным в сетевом трафике аномалиям и угрозам или различным профилям трафика, включая возможность экспорта данных в различных форматах (HTML, PDF, CSV).

Отправка предупреждений посредством различных протоколов CEF, SNMP, Syslog, SMTP.

Система сохраняет и анализирует содержимое отдельных сетевых пакетов и сессий. Это позволяет извлекать из собранного трафика и мониторить в интерактивном режиме весь подозрительный контент (изображения, аудио, файлы документов и т.д.). Интерфейс визуализации сетевых сессий обеспечивает удобную навигацию, сортировку и воспроизведение содержимого (multi-touch, drill-down, задание временных интервалов).

Преимущества от внедрения

• Ускорение реакции на критичные для бизнеса инциденты ИБ.
• Повышение эффективности работы подразделения, ответственного за обеспечение ИБ компании.
• Повышение эффективности взаимодействия подразделений компании, ответственных за эксплуатацию средств информатизации и обеспечение ИБ.

8 лучших программ для анализа сетевого трафика

Анализ трафика является процессом, важность которого известна любому ИТ-профессионалу, не зависимо от того, работает ли он в небольшой компании или в крупной корпорации. Ведь выявление и исправления проблем с сетью — это настоящее искусство, которое напрямую зависит как от инстинкта самого специалиста, так и от глубины и качества оперируемых им данных. И анализатор трафика является именно тем инструментом, который эти данные предоставляет вам. Выбранное с умом решение для анализа сетевого трафика может не только помочь вам выяснить, как пакеты отправляются, принимаются и насколько сохранно передаются по вашей сети, но и позволит сделать намного-намного больше!

Сейчас на рынке представлено большое количество вариаций программного обеспечения для анализа сетевого трафика. Причем некоторые из них способны вызвать ностальгические воспоминания у специалистов «старой школы»; они используют терминальный шрифт и интерфейс командной строки, и на первый взгляд кажутся сложными в использовании. Другие решения, наоборот, — выделяются простотой установки и ориентированы на аудиторию с визуальным восприятием (они буквально перенасыщены различными графиками). Ценовой диапазон этих решений также весьма существенно отличается — от бесплатных до решений с весьма дорогой корпоративной лицензией.

Для того, чтобы вы в зависимости от своих задач и предпочтений смогли выбрать лучшее решение для анализа сетевого трафика, представляем вам список из наиболее интересных из доступных сейчас на рынке программных продуктов для анализа трафика, а также краткий обзор встроенной в них функциональности для извлечения, обработки и визуального предоставления различной сетевой информации. Часть этих функций у всех приведенных в этом обзоре решений для анализа сетевого трафика схожая — они позволяют с тем или иным уровнем детализации увидеть отправленные и полученные сетевые пакеты, — но практически все из них имеют некоторые характерные особенности, которые делают их уникальными при использовании в определенных ситуациях или сетевых средах. В конце концов, к анализу сетевого трафика мы прибегаем тогда, когда у нас появилась сетевая проблема, но мы не можем быстро свести ее к определенной машине, устройству или протоколу, и нам приходится проводить более глубокий поиск. Мы поможем вам выбрать наиболее подходящее для этих целей программное решение для анализа трафика.

SolarWinds Network Bandwidth Analyzer

Данное решение позиционируется производителем как программный пакет из двух продуктов — Network Performance Monitor (базовое решение) и NetFlow Traffic Analyzer (модульное расширение). Как заявляется, они имеют схожие, но все же отличающиеся функциональные возможности для анализа сетевого трафика, дополняющие друг друга при совместном использовании сразу двух продуктов.

Network Performance Monitor, как следует из названия, осуществляет мониторинг производительности сети и станет для вас заманчивым выбором, если вы хотите получить общее представление о том, что происходит в вашей сети. Покупая это решение, вы платите за возможность контролировать общую работоспособность вашей сети: опираясь на огромное количество статистических данных, таких как скорость и надежность передачи данных и пакетов, в большинстве случаев вы сможете быстро идентифицировать неисправности в работе вашей сети. А продвинутые интеллектуальные возможности программы по выявлению потенциальных проблем и широкие возможности по визуальному представлению результатов в виде таблиц и графиков с четкими предупреждениями о возможных проблемах, еще больше облегчат эту работу.

Модульное расширение NetFlow Traffic Analyzer больше сконцентрировано на анализе самого трафика. В то время, как функциональность базового программного решения Network Performance Monitor больше предназначена для получения общего представления о производительности сети, в NetFlow Traffic Analyzer фокус внимания направлен на более детальный анализ процессов, происходящих в сети. В частности, эта часть программного пакета позволит проанализировать перегрузки или аномальные скачки полосы пропускания и предоставит статистику, отсортированную по пользователям, протоколам или приложениям. Обратите внимание, что данная программа доступна только для среды Windows.

Wireshark

WireShark является относительно новым инструментом в большой семье решений для сетевой диагностики, но за это время он уже успел завоевать себе признание и уважение со стороны ИТ-профессионалов. С анализом трафика WireShark справляется превосходно, прекрасно выполняя для вас свою работу. Разработчики смогли найти золотую середину между исходными данными и визуальным представлением этих данных, поэтому в WireShark вы не найдете перекосов в ту или иную сторону, которым грешат большинство других решений для анализа сетевого трафика. WireShark прост, совместим и портативен. Используя WireShark, вы получаете именно то, что ожидаете, и получаете это быстро.

WireShark имеет прекрасный пользовательский интерфейс, множество опций для фильтрации и сортировки, и, что многие из нас смогут оценить по достоинству, анализ трафика WireShark прекрасно работает с любым из трех самых популярных семейств операционных систем — *NIX, Windows и macOS. Добавьте ко всему вышеперечисленному тот факт, что WireShark — программный продукт с открытым исходным кодом и распространяется бесплатно, и вы получите прекрасный инструмент для проведения быстрой диагностики вашей сети.

tcpdump

Анализатор трафика tcpdump выглядит как некий древний инструмент, и, если уж быть до конца откровенными, с точки зрения функциональности работает он также. Несмотря на то, что со своей работой он справляется и справляется хорошо, причем используя для этого минимум системных ресурсов, насколько это вообще возможно, многим современным специалистам будет сложно разобраться в огромном количестве «сухих» таблиц с данными. Но бывают в жизни ситуации, когда использование столь обрезанных и неприхотливых к ресурсам решений может быть полезно. В некоторых средах или на еле работающих ПК минимализм может оказаться единственным приемлемым вариантом.

Изначально программное решение tcpdump разработано для среды *NIX, но на данный момент он также работает с несколькими портами Windows. Он обладает всей базовой функциональностью, которую вы ожидаете увидеть в любом анализаторе трафика — захват, запись и т.д., — но требовать чего-то большего от него не стоит.

Kismet

Анализатор трафика Kismet — еще один пример программного обеспечения с открытым исходным кодом, заточенного для решения конкретных задач. Kismet не просто анализирует сетевой трафик, он предоставляет вам гораздо более расширенные функциональные возможности. К примеру, он способен проводить анализ трафика скрытых сетей и даже беспроводных сетей, которые не транслируют свой идентификатор SSID! Подобный инструмент для анализа трафика может быть чрезвычайно полезен, когда в вашей беспроводной сети есть что-то, вызывающее проблемы, но быстро найти их источник вы не можете. Kismet поможет вам обнаружить неавторизированную сеть или точку доступа, которая работает, но имеет не совсем правильные настройки.

Многие из нас знают не понаслышке, что задача становится более сложной, когда дело доходит до анализа трафика беспроводных сетей, поэтому наличие под рукой такого специализированного инструмента, как Kismet, не только желательно, но и, зачастую, необходимо. Анализатор трафика Kismet станет прекрасным выбором для вас, если вы постоянно имеете дело с большим количеством беспроводного трафика и беспроводных устройств, и вы нуждаетесь в хорошем инструменте для анализа трафика беспроводной сети. Kismet доступен для сред * NIX, Windows под Cygwin и macOS.

EtherApe

По своим функциональным возможностям EtherApe во многом приближается к WireShark, и он также является программным обеспечением с открытым исходным кодом и распространяется бесплатно. Однако то, чем он действительно выделяется на фоне других решений — это ориентация на графику. И если вы, к примеру, результаты анализа трафика WireShark просматриваете в классическом цифровом виде, то сетевой трафик EtherApe отображается с помощью продвинутого графического интерфейса, где каждая вершина графа представляет собой отдельный хост, размеры вершин и ребер указывают на размер сетевого трафика, а цветом отмечаются различные протоколы. Для тех людей, кто отдает предпочтение визуальному восприятию статистической информации, анализатор EtherApe может стать лучшим выбором. Доступен для сред *NIX и macOS.

Cain and Abel

У данного программного обеспечения с весьма любопытным названием возможность анализа трафика является скорее вспомогательной функцией, чем основной. Если ваши задачи выходят далеко за пределы простого анализа трафика, то вам стоит обратить внимание на этот инструмент. С его помощью вы можете восстанавливать пароли для ОС Windows, производить атаки для получения потерянных учетных данных, изучать данные VoIP в сети, анализировать маршрутизацию пакетов и многое другое. Это действительно мощный инструментарий для системного администратора с широкими полномочиями. Работает только в среде Windows.

NetworkMiner

Решение NetworkMiner — еще одно программное решение, чья функциональность выходит за рамки обычного анализа трафика. В то время как другие анализаторы трафика сосредотачивают свое внимание на отправке и получении пакетов, NetworkMiner следит за теми, кто непосредственно осуществляет эту отправку и получение. Этот инструмент больше подходит для выявления проблемных компьютеров или пользователей, чем для проведения общей диагностики или мониторинга сети как таковой. NetworkMiner разработан для ОС Windows.

KisMAC

KisMAC — название данного программного продукта говорит само за себя — это Kismet для macOS. В наши дни Kismet уже имеет порт для операционной среды macOS, поэтому существование KisMAC может показаться излишним, но тут стоит обратить внимание на тот факт, что решение KisMAC фактически имеет свою собственную кодовую базу и не является непосредственно производным от анализатора трафика Kismet. Особо следует отметить, что KisMAC предлагает некоторые возможности, такие как нанесение на карту местоположения и атака деаутентификации на macOS, которые Kismet сам по себе не предоставляет. Эти уникальные особенности в определенных ситуациях могут перевесить чашу весов в пользу именно этого программного решения.

Заключение

Программы для анализа сетевого трафика могут стать жизненно важным для вас инструментарием, когда вы периодически сталкиваетесь с сетевыми проблемами разных видов — будь то производительность, сброшенные соединения или проблемы с сетевыми резервными копиями. Практически все, что связано с передачей и получением данных в сети, может быть быстро идентифицировано и исправлено благодаря сведениям, полученным с помощью программного обеспечения из вышеприведенного списка.

Результаты, которые даст вам проведенный качественный анализ трафика сети с помощью проверенного специализированного программного инструментария, поможет вам углубится значительно ниже верхнего слоя проблемы, и понять, что на самом деле происходит в вашей сети, или не происходит, но должно происходить.

Появились вопросы или нужна консультация? Обращайтесь!