1-协议分析工具介绍.ppt

实验1 协议分析工具介绍 协议分析工具 进行网络管理和网络安全管理，不仅要从宏观上管理网络的性能，还要从微观上分析数据包的内容，这样才能确保网络安全并且正常地运行。 使用协议分析工具的目的，就是为了捕获网络中传输的数据包并对数据包中的比特进行统计和分析。 宏观上，可以进行统计以确定网络性能的基线。微观上，可以从数据包分析中了解协议的实现情况、是否存在网络攻击行为等，为制定安全策略及进行安全审计提供直接的依据。 如果黑客在网络当中使用协议分析工具，就是一种消极的安全攻击。 协议分层 协议分层 协议体系 TCP/IP模型各层的功能 协议分析器概述 协议分析器就是捕获网络数据包进行协议分析的工具。从广义上可以分为局域网分析器和广域网分析器，也有的分析器既可以用于局域网又可以用于广域网。 广域网分析器用以捕获分析PPP、帧中继、ATM和其他链路上的数据，它采用特殊的接口卡来读取从广域网上下载的数据帧。广域网分析器通常用一个“Y”形接头连接到广域网以便于捕获流经的数据流。 局域网分析器用来捕获和显示来自局域网的信息数据，这些局域网包括以太网、令牌环网和光纤分布式数据接口（FDDI）等。局域网分析器是通过集线器或者交换机连接到局域网网段上的。将局域网分析器连接到交换机时，需要进行一些特殊的考虑。一般情况下，分析器只能捕获经过它所连接的端口的所有数据。某些交换机可以配置监视端口，把分析器接入到监视端口就可以捕获监视流经所有端口的数据。 常见的局域网分析器产品有：Network Associates公司的Sniffer、NetXray公司的Sniffer Basic，还有免费的Ethereal协议分析器等。另外，Windows中自己带的网络监视器也可以抓取数据包进行协议分析。 协议分析器的特点 捕获数据包 进行协议分析的前提是要有捕获的数据包，协议分析器可以捕获所有流经其所控制的媒体的数据。高端的协议分析器还可以制定捕获的计划和触发条件。 数据包统计 协议分析器可以对捕获到的数据包进行统计和分析，根据时间、协议类型和错误率等进行分析，甚至可以打印出各种直观的图表和报表。 过滤数据 大量的数据包的捕获会消耗太多的系统资源，性能很低。协议分析器可以设置过滤，只捕获满足特定条件的数据包。根据大量捕获结果排错的时候，也需要能过滤无关的大量数据包，把最有用的数据包找出来。协议分析器往往有强大的过滤功能。 数据包解码 捕获的数据包的内容就是0/1的比特流，协议分析器可以对这些比特流解码，识别哪些部分是封装的头部信息，哪些是有效净载荷。网络通信协议非常多，好的协议分析器能对各种协议数据包解码。 读取其他协议分析器的数据包格式 大部分协议分析器可以读取显示其他协议分析器捕获的数据包文件。 作为嗅探器的协议分析器 黑客使用协议分析器的时候，它就成了一种黑客工具，我们可以称之为嗅探器。 嗅探器与一般的键盘捕获程序不同。键盘捕获程序捕获在终端上输入的键值，而嗅探器则捕获真实的网络报文。嗅探器工作在网络环境中的底层，它会拦截所有的正在网络上传送的数据，并且通过相应的软件处理，可以实时分析这些数据的内容，进而分析所处的网络状态和整体布局。嗅探是一种安静的、消极的安全攻击。 常见的危害有： 捕获口令 这大概是绝大多数非法使用嗅探器的理由，嗅探器可以记录明文传送的用户名和密码。 捕获专用的或者机密的信息，比如金融账号 许多用户很放心在网上使用自己的信用卡或现金账号，然而嗅探器可以很轻松地截获在网上传送的用户姓名、口令、信用卡号码、截止日期、账号和PIN。比如偷窥机密或敏感的信息数据，通过拦截数据包，入侵者可以很方便地记录别人之间敏感的信息传送，或者干脆拦截整个的E-mail会话过程。 可以用来危害网络邻居的安全，或者用来获取更高级别的访问权限 窥探低层的协议信息 常见的协议分析工具Sniffer Pro ISS对Sniffer的定义是：Sniffer是利用计算机的网络接口截获目的地为其他计算机的数据报文的一种工具。Sniffer工具软件很多，Network Associates公司的Sniffer Pro是其中的一个代表。 Sniffer Pro除了可以截取网络数据包之外，它还提供了对许多协议的分析和统计功能。 Sniffer Pro的主要功能如下： 为网络协议分析捕获网络数据包 分析诊断网络故障 实时监控网络的活动情况 收集单个工作站、会话、或者网络中的任何一部分的详细的网络利用情况和错误统计； 保存网络情况的历史记录和错误信息，建立基线 当检测到网络故障的时候，生成直观的实时警报并通知网络管理员 模拟网络数据来探测网络，衡量响应时间，路由跳数计数，排错 Microsof