Первоначальная настройка параметров

В начале работы можно указать размер буфера захвата для временного хранения перехваченных фреймов: пункт меню " Запись " — " Параметры буфера ".

Запуск захвата сетевых пакетов

Запуск захвата фреймов осуществляется через меню " Запись " — " Запустить " или нажатием кнопки " Начать запись данных " на панели инструментов (кнопка ). В процессе работы " Сетевой монитор " показывает статистику сетевой активности данного компьютера (рис. 16.36).

Рис. 16.36.

Левая верхняя панель показывает процент загруженности сетевого сегмента, скорость передачи кадров и скорость передачи байтов.

Панель слева посередине окна показывает физические адреса адаптеров, с которыми происходит обмен данными.

Нижняя панель показывает детальную статистику обмена пакетами для всех сетевых адаптеров, с которых получены или на которые отправлены фреймы.

Панель справа вверху показывает общую статистику сети.

Останов захвата пакетов

Для останова процесса захвата фреймов нужно выбрать пункт меню " Запись " — " Остановить " (просто для останова) или " Запись " — " Остановить и просмотреть" (чтобы после останова сразу перейти в режим просмотра захваченных фреймов), а также нажатием кнопок соответственно " Закончить запись данных " ( ) или " Закончить запись и отобразить данные " ( ).

Просмотр захваченных фреймов

Если вы сразу после останова записи фреймов не перешли в режим их просмотра, это можно сделать через меню " Запись " — " Отобразить записанные данные " или нажатием кнопки " Отобразить записанные данные " ( ). Первоначально при переходе в режим просмотра окно " Сетевого монитора " примет вид, изображенный на рис. 16.37 (в окне отображается полный список захваченных фреймов с краткой информацией о каждом из них):

Рис. 16.37.

Двойным щелчком мыши на любом из фреймов мы переходим в режим просмотра содержимого захваченных фреймов (рис. 16.38).

Рис. 16.38.

На данном рисунке:

• верхняя панель — полный список захваченных " Сетевым монитором" фреймов;
• средняя панель — структура выделенного в верхней панели фрейма; рис. 16.39 — общие сведения о фрейме (дата, время, размер); рис. 16.40 — информация о протоколе канального уровня Ethernet (физические адреса адаптера-отправителя и адаптера-получателя, тип протокола — IPv4); рис. 16.41 — содержимое заголовка протокола IP; рис. 16.42 — содержимое заголовка протокола TCP; рис. 16.43 — сама информация, передающаяся по сети (в данном случае — информация о сессии протокола NetBIOS);
• нижняя панель — содержимое фрейма в шестнадцатиричном и символьном виде; содержимое той части фрейма, которая выделена в средней панели, в нижней панели выделено инверсным цветом (рис. 16.44).

Рис. 16.39.

Рис. 16.40.

Рис. 16.41.

Рис. 16.42.

Рис. 16.43.

Рис. 16.44.

Фильтрация просматриваемых данных

В окне просмотра данных, захваченных " Сетевым монитором " можно установить фильтры, ограничивающих множество просматриваемых пакетов. Фильтры просмотра используются для отбора кадров по следующим критериям:

• по адресу отправителя или получателя;
• по протоколу передачи кадров;
• по свойствам и значениям, которые содержит кадр.

Включить фильтр просмотра можно через меню " Отображение " — " Фильтр " или кнопкой " Изменить фильтр отображения " на панели инструментов ( ). Панель редактирования фильтра изображена на рис. 16.45:

Рис. 16.45.

Нажатие кнопок логических операторов AND ( И ), OR ( ИЛИ ), NOT ( НЕ ) и значений выражений можно накладывать условия на тип протокола или адреса компьютеров. По умолчанию выбираются все протоколы (" Protocol == Any " ) и все сетевые адреса с передачей пакетов в обоих направлениях (" ANY < -> ANY " ).

Фильтрация захватываемых данных

Чтобы уменьшить количество захватываемых фреймов, можно установить фильтр захвата до начала процесса захвата фреймов (меню " Запись " — " Фильтр " ). Нарис. 16.46 изображена панель редактирования фильтра захвата (записи):

Рис. 16.46.

Резюме

Данный раздел посвящен вопросам мониторинга сетевых узлов и состоит из четырех частей:

• просмотр событий, регистрируемых системой;
• аудит, т.е. целенаправленное отслеживание определенных видов событий;
• мониторинг производительности;
• мониторинг сетевой активности.

Консоль " Просмотр событий " позволяет просматривать события, регистрируемые системой и относящиеся к функционированию различных системных компонент:

• самой операционной системы (журнал " Система " );
• подсистемы безопасности (журнал " Безопасность " );
• подсистемы исполнения приложений (журнал " Приложения " );
• службы каталогов (для контроллеров доменов, журнал " Служба каталогов " );
• службы DNS (если на сервере установлена служба DNS, журнал " DNS-сервер " );
• службы репликации файлов (для контроллеров доменов, журнал " Служба репликации файлов " ).

Задача сетевого администратора — регулярный просмотр системных журналов с целью своевременного обнаружения уже возникших или предупреждения потенциальных неисправностей или атак злоумышленников. Для более удобного просмотра событий можно создать отдельную консоль, в которой будут отображаться события группы серверов и, возможно, отдельных рабочих станций.

Аудит различных событий заключается в разработке и реализации в системе политик аудита. Набор категорий событий, подлежащих аудиту, необходимо формировать на основе требований безопасности компании/организации и потенциальных угроз системе безопасности.

После определения и настройки политик аудита задача администратора снова сводится к регулярному просмотру журналов событий (в первую очередь — журнала " Безопасность " ).

Третья часть раздела посвящена описанию мониторинга производительности системы Windows. Рассмотрены два основных инструмента — " Диспетчер задач " и консоль " Производительность ". " Диспетчер задач " предназначен для наблюдения и оценки параметров производительности в реальном времени. Консоль " Производительность " позволяет как просматривать параметры производительности в реальном времени, так и накапливать статистику загруженности компонент системы в фоновом режиме с последующим детальным анализом, причем статистика может собираться с нескольких систем одновременно. Работа в режиме оповещений позволяет настроить отправку оповещений администратору в случае отклонения каких-либо параметров от допустимых значений.

Задача сетевого администратора — оценка функционирования системы с точки зрения производительности с целью обнаружения узких мест и принятия решения о перераспределении нагрузки между серверами или приобретении более мощных серверов.

В четвертой части рассказано о мониторинге сетевой активности не сточки зрения производительности и пропускной способности сети, а с точки зрения содержимого передаваемых по сети пакетов (фреймов). Изучение содержимого сетевых пакетов позволяет определить и ликвидировать некоторые сложныесетевые проблемы.

Задача сетевого администратора при анализе сетевой активности — поиск сетевых проблем на основе данных, содержащихся в сетевых фреймах.

 

⇐ Предыдущая12345

Поделиться: