Что такое сетевой монитор

Обновлено: 08.07.2024

Сетевой монитор. Краткий обзор возможностей сетевого монитора.

Сетевые администраторы могут использовать Сетевой монитор (Network Monitor) Microsoft Windows 2000 для перехвата и отображения кадров (также называемых пакетами или фреймами) при обнаружении и решении проблем в локальных сетях. Например, с помощью сетевого монитора можно диагностировать аппаратные и программные проблемы в случае, если два (или более) компьютера не могут связаться друг с другом. Можно также зафиксировать (перехватить) сетевой трафик, а затем файл с полученными данными послать специалистам по сетям или организации, занимающейся поддержкой сети. Разработчики сетевых приложений могут использовать сетевой монитор для того, чтобы контролировать и отлаживать сетевые приложения во время разработки.

Сервер Microsoft Systems Management Server (SMS) также включает в себя версию сетевого монитора. В дополнение к функциональным возможностям, описанным в этой главе, версия из состава SMS может перехватывать пакеты, посланные с любого компьютера в сети, редактировать и передавать пакеты по сети, а также дистанционно перехватывать пакеты (например, посредством удаленного доступа по телефонной линии) с других компьютеров в сети, в которой работает Агент сетевого монитора (Network Monitor Agent) (включая компьютеры под управлением Windows 2000 Professional/NT Workstation и Windows 95).

Краткий обзор возможностей сетевого монитора

Сетевой монитор контролирует сетевой поток данных, т. е. всю информацию, передаваемую по сети в любой заданный момент времени. До передачи эта информация разделяется сетевым программным обеспечением на меньшие части (пакеты, кадры или фреймы). Каждый кадр содержит следующую информацию:

Адрес компьютера, пославшего кадр
Адрес компьютера, получившего кадр
Заголовки каждого протокола, используемого для пересылки данного кадра
Данные или их часть

Чтобы гарантировать безопасность сети на базе Windows 2000, сетевой монитор показывает только те кадры, которые посланы на/с компьютер(а) пользователя, широковещательные кадры и кадры группового (multicast) вещания.

Сетевой монитор может перехватить и запомнить только тот объем информации, который сможет поместиться в доступной памяти компьютера. Обычно не требуется фиксировать большой объем информации, нужно только записать небольшое подмножество кадров, передаваемых в сети. Чтобы выделить подмножество кадров, можно разработать фильтр сбора данных, функционирующий подобно запросу базы данных. Возможна фильтрация на основе адресов источника и адресата, протоколов, свойств протокола или по образцу смещения.

Для того чтобы способ сбора данных отвечал событиям, происходящим в сети, как только они будут обнаружены, разрабатывают триггер сбора данных, который выполняет определенное действие (например, запускает исполняемый файл), когда сетевой монитор обнаруживает в сети набор условий, соответствующий триггеру. Сетевой монитор поддерживает множество популярных протоколов, включая NetBIOS (NetBEUI), IPX, SPX и большую часть протоколов из набора TCP/IP.

После того как данные зафиксированы (и факультативно сохранены в файле сбора данных), их можно просмотреть. Сетевой монитор проделает большую часть работы по анализу данных, формируя из необработанных собранных данных кадр согласно его логической структуре.

Основные функциональные возможности сетевого монитора, описанные в этой главе, поддерживаются службами поддержки продуктов Microsoft (Microsoft Product Support Services, MPSS,). Службы поддержки не решают задачи, зависящие от конкретной сети, такие как интерпретация данных, которые перехватываются и сохраняются в сети.

В этом разделе вы узнаете, как использовать Microsoft Network Monitor 3.4, который является средством захвата сетевого трафика.

Чтобы начать работу, скачайте средство Network Monitor. При установке сетевого монитора он устанавливает драйвер и подключает его к всем сетевым адаптерам, установленным на устройстве. На свойствах адаптеров можно увидеть то же самое, что и на следующем изображении:

Когда во время установки драйвер подключается к карте сетевого интерфейса (NIC), NIC повторно получает новый интерфейс, что может вызвать кратковременный сбой в сети.

Для захвата трафика

Запустите netmon в повышенном состоянии, выбрав run as Administrator.

Сетевой монитор открывается со всеми сетевыми адаптерами. Выберите сетевые адаптеры, в которых необходимо захватить трафик, нажмите кнопку Новыйзахват и нажмите кнопку Начните.

Воспроизведите проблему, и вы увидите, что Network Monitor захватывает пакеты на проводе.

Выберите Стопи перейдите в файл > сохранить результаты. По умолчанию файл будет сохранен в качестве файла ".cap".

Сохраненный файл запечатлел весь трафик, который пропускается в выбранные сетевые адаптеры на локальном компьютере и из него. Однако вы заинтересованы только в том, чтобы посмотреть трафик/пакеты, связанные с конкретной проблемой подключения, с которой вы столкнулись. Чтобы увидеть только связанный трафик, необходимо отфильтровать сетевой захват.

Часто используемые фильтры

Ipv4.address=="client ip" и ipv4.address=="server ip"
Tcp.port==
Udp.port==
Icmp
Arp
Property.tcpretranmits
Property.tcprequestfastretransmits
Tcp.flags.syn==1

Если вы хотите отфильтровать захват для определенного поля и не знать синтаксис для этого фильтра, щелкните правой кнопкой мыши это поле и выберите Добавить выбранное значение для **отображения фильтра ** **.

Сетевые трассировки, которые собираются с помощью команд сетки, встроенных в Windows, являются расширением "ETL". Однако эти файлы ETL можно открыть с помощью сетевого монитора для дальнейшего анализа.

Сетевой экран действует как защита локального компьютера от вирусов, червей, троянских программ и хакерских атак.

Сетевой экран это программный (защитное решение) или аппаратный (физический маршрутизатор) элемент компьютерной сети, осуществляющий контроль и фильтрацию проходящего через него сетевого трафика в соответствии с заданными правилами.

Сетевые экраны сканируют каждый «пакет» данных (небольшие куски большого целого, уменьшенные по размеру для удобства передачи), чтобы убедиться, что в них не содержится вредоносных элементов.

Существует несколько принципов обработки поступающего трафика. Во-первых, сетевой экран может отображать все запросы на доступ к компьютеру из внешних сетей и анализировать запрашивающий сервис: есть ли у него известное доменное имя и интернет-адрес.

Сетевые экраны также могут полностью изучить каждый пакет входящих данных на наличие в нем строк кода, находящегося в черном списке.

Наконец, сетевые экраны могут оценивать пакеты на основе их сходства с другими пакетами, которые были недавно отправлены и получены.

Если пакеты находятся в рамках допустимых уровней сходства, они распознаются как разрешенные.

Преимущества

Идея сетевого экрана заимствована из концепции пожаротушения: файрвол (firewall -противопожарная стена) представляет собой барьер, созданный для предотвращения распространения огня.

Целью сетевого экрана тоже является блокировка всего, что может «сжечь» компьютер пользователя.

Без сетевых экранов не обходятся ни разработчики ПО, ни поставщики услуг по обеспечению безопасности.

Операционные системы Windows поставляются со встроенным сетевым экраном, и его, как правило, рекомендуется оставлять включенным.

Но в домашней сети для фильтрации сетевого трафика рекомендуется использовать аппаратное решение, такое как маршрутизатор.

Компании-разработчики защитного ПО обычно включают сетевые экраны в свои антивирусные решения.

Во многих случаях это сетевые экраны более высокой сложности, чем те, которые входят в состав базовой операционной системы.

В список стандартных функции сетевых экранов входят регистрация и создание отчетов об атаках (успешные или нет), а также уведомлениями в случае несанкционированного вторжения.

Недостатки

Среди потенциальных недостатков – замедление сетевого трафика, особенно если пакеты полностью анализируются на локальном компьютере пользователя.

Сетевой экран (межсетевой экран, файрвол, брандмауэр) – это устройство или программа для защиты абонентов локальной сети от интернет-атак. Он мониторит входящий трафик в соответствии с установленными правилами безопасности, в случае необходимости блокирует подозрительные действия.

Сетевой экран – это защита от сетевых и хакерских атак

Благодаря файрволу пользовательские устройства словно скрыты от интернет-пользователей своеобразным барьером или противопожарной стеной, не позволяющей атакам вирусов, троянов или червей сжечь локальные данные, а также повредить оборудование.

Как реализован сетевой экран

Устройство может быть выполнено аппаратно в виде маршрутизатора или программно. Первые из них, предназначенные для защиты от вредоносного сетевого трафика, появились в 1980-х годах. Это были именно маршрутизаторы, которые блокировали вредоносные проникновения. А первая программа-файрвол начала работу в 1998 году задолго до появления антивирусов. Сегодня на каждом компьютере есть межсетевой экран, являющийся частью операционной системы либо же сторонним специализированным приложением.

Операционные системы Windows уже много лет имеют встроенную защиту. Его не стоит отключать, если компьютер подключен к интернету и не имеет отдельной программы-брандмауэра. Именно брандмауэр отражает хакерские атаки, предотвращает несанкционированные вторжения, о чем предупреждает пользователя, а также создает отчеты.

Правила работы

Межсетевой «защитник» начинает работать с поступающим на компьютер трафиком по завершении трансляции адресов и маршрутизации. В соответствии со стандартными настройками программы или индивидуальными пожеланиями пользователя он контролирует и фильтрует поток данных, который разбивается на небольшие пакеты, проверяется на вредоносность. При обнаружении опасности пакет блокируется. При этом пользователь получает оповещение, чтобы иметь возможность оспорить действия брандмауэра, если считает, что произошла ошибка.

Все провайдеры защищают своих пользователей аппаратным сетевым экраном. Такое устройство позволяет устанавливать соединение из домашних интерфейсов (LAN) в публичные сети (WAN), но при этом блокирует возможность соединения в обратную сторону. При этом у пользователей есть доступ к параметрам безопасности, с помощью которых можно разрешать доступ к определенным сервисам или же блокировать некоторые хосты.

Работа сетевого экрана: публичным сетям запрещен доступ к локальным устройствам

Где находится сетевой экран в вашем компьютере

Если на компьютере установлена операционная система Windows, значит, у вас есть и стандартный брандмауэр, который разработан компанией Microsoft. Чтобы получить к нему доступ, необходимо зайти в «Панель управления» → «Система и безопасность» → «Брандмауэр Windows».

В настройках брандмауэра можно получить исчерпывающую информацию о состоянии сетевых подключений, а также выполнить все нужные действия по настройке.

Отключить файрвол. Это необходимо, если вы устанавливаете отдельное защитное приложение, чтобы не возникло конфликтов с брандмауэром Windows. Также его можно отключать, если компьютер не включен ни в одну сеть и не связан с интернетом.
Разрешить или запретить взаимодействие с разными приложениями и хостами.
Настроить параметры уведомлений.
Восстановить настройки по умолчанию.

Теперь вы знаете, где находится сетевой экран и для чего он нужен, поэтому сможете легко выполнить его настройку под свои цели.

Оставьте свою электронную почту и получайте самые свежие статьи из нашего блога. Подписывайтесь, чтобы ничего не пропустить

Читайте также: