网络嗅探教程:使用Sniffer Pro监控网络流量 3
2007-11-04 12:57
330 查看
第四步:基于IP层流量
1.为了进一步分析219.*.238.93的异常情况,我们切换至基于IP层的流量统计图中看看。
点击菜单栏中的Monitor->Host Table,选择Host Table界面左下角的MAC-IP-IPX中的IP。
2.找到IP:219.*.238.93地址(可以用鼠标点击IP Addr排序,以方便查找)->选择single station->bar (如图11所示)
图11
3.我们切换至Traffic Map来看看它与所有IP的通信流量图。(图12)
图12
我们可以从219.*.238.93的通信图中看到,与它建立IP连接的情况。图中IP连接数目非常大,这对于普通应用终端来讲,显然不是一种正常的业务连接。我们猜测,该终端可能正在进行有关P2P类的操作,比如正在使用P2P类软件进行BT下载、或者正在观看P2P类在线视频等。
为了进一步的证明我们的猜测,我们去看看219.*.228.93的流量协议分布情况。
4.如图(13)所示:Protocol类型绝大部分为Othen.我们知道在Sniffer Pro中Othen表示未能识别出来协议,如果提前定义了协议类型,这里将会直接显现出来。
图13
如图(14)通过菜单栏下的Tools->Options->Protocols,在第19栏中定义14405(bitcomet的默认监听端口),取名为bitcom。
图14
现在我们再次查看219.*.238.93协议分布情况.(如图15)
图15
现在,协议类型大部分都转换为bitcom,这样我们就可以断定,此终端正在用bitcomet做大量上传、下载行为。
注意:
很多P2P类软件并没有固定的使用端口,且端口也可以自定义,因此使用本方法虽然不失为一种检测P2P流量的好方法,但并不能完全保证其准确性。
好了,使用Sniffer Pro监控网关流量,就到这里结束了。实际上我们可以用同样的方法监控网络内的任何一台终端。后续,我们将继续连载使用Sniffer Pro监控网络的其它新手教程,例如:利用Sniffer pro做网络的预警机制、利用Sniffer pro分析病毒、通过包分析结合专家系统发现网络内存在的“未知问题”,以后我们将陆续做更深一步的探讨和分析。
概念解释:
1.什么是端口镜像?
把交换机一个或多个端口(VLAN)的数据镜像到一个或多个端口的方法。
2.为什么需要端口镜像 ?
交换机的工作原理与HUB有很大的不同,HUB组建的网络数据交换都是通过广播方式进行的,而交换机组建的网络是根据交换机内部CAM表(通常也称IP-MAC表)进行数据转发,因此需要通过配置交换机来把一个或多个端口(VLAN)的数据转发到某一个端口来实现对网络的监听。
3.端口镜像通常有以下几种别名:
①Port Mirroring 通常指允许把一个端口的流量复制到另外一个端口,同时这个端口不能再传输数据。
②Monitoring Port 监控端口
③panning Port 通常指允许把所有端口的流量复制到另外一个端口,同时这个端口不能再传输数据。
④PAN Port 在 Cisco 产品中,SPAN 通常指 Switch Port ANalyzer。某些交换机的 SPAN 端口不支持传输数据。
文章源于 51CTO
1.为了进一步分析219.*.238.93的异常情况,我们切换至基于IP层的流量统计图中看看。
点击菜单栏中的Monitor->Host Table,选择Host Table界面左下角的MAC-IP-IPX中的IP。
2.找到IP:219.*.238.93地址(可以用鼠标点击IP Addr排序,以方便查找)->选择single station->bar (如图11所示)
图11
3.我们切换至Traffic Map来看看它与所有IP的通信流量图。(图12)
图12
我们可以从219.*.238.93的通信图中看到,与它建立IP连接的情况。图中IP连接数目非常大,这对于普通应用终端来讲,显然不是一种正常的业务连接。我们猜测,该终端可能正在进行有关P2P类的操作,比如正在使用P2P类软件进行BT下载、或者正在观看P2P类在线视频等。
为了进一步的证明我们的猜测,我们去看看219.*.228.93的流量协议分布情况。
4.如图(13)所示:Protocol类型绝大部分为Othen.我们知道在Sniffer Pro中Othen表示未能识别出来协议,如果提前定义了协议类型,这里将会直接显现出来。
图13
如图(14)通过菜单栏下的Tools->Options->Protocols,在第19栏中定义14405(bitcomet的默认监听端口),取名为bitcom。
图14
现在我们再次查看219.*.238.93协议分布情况.(如图15)
图15
现在,协议类型大部分都转换为bitcom,这样我们就可以断定,此终端正在用bitcomet做大量上传、下载行为。
注意:
很多P2P类软件并没有固定的使用端口,且端口也可以自定义,因此使用本方法虽然不失为一种检测P2P流量的好方法,但并不能完全保证其准确性。
好了,使用Sniffer Pro监控网关流量,就到这里结束了。实际上我们可以用同样的方法监控网络内的任何一台终端。后续,我们将继续连载使用Sniffer Pro监控网络的其它新手教程,例如:利用Sniffer pro做网络的预警机制、利用Sniffer pro分析病毒、通过包分析结合专家系统发现网络内存在的“未知问题”,以后我们将陆续做更深一步的探讨和分析。
概念解释:
1.什么是端口镜像?
把交换机一个或多个端口(VLAN)的数据镜像到一个或多个端口的方法。
2.为什么需要端口镜像 ?
交换机的工作原理与HUB有很大的不同,HUB组建的网络数据交换都是通过广播方式进行的,而交换机组建的网络是根据交换机内部CAM表(通常也称IP-MAC表)进行数据转发,因此需要通过配置交换机来把一个或多个端口(VLAN)的数据转发到某一个端口来实现对网络的监听。
3.端口镜像通常有以下几种别名:
①Port Mirroring 通常指允许把一个端口的流量复制到另外一个端口,同时这个端口不能再传输数据。
②Monitoring Port 监控端口
③panning Port 通常指允许把所有端口的流量复制到另外一个端口,同时这个端口不能再传输数据。
④PAN Port 在 Cisco 产品中,SPAN 通常指 Switch Port ANalyzer。某些交换机的 SPAN 端口不支持传输数据。
文章源于 51CTO
相关文章推荐
- 网络嗅探教程:使用Sniffer Pro监控网络流量
- 网络嗅探教程:使用Sniffer Pro监控网络流量
- 网络嗅探教程:使用Sniffer Pro监控网络流量 2
- 网络嗅探教程:使用Sniffer PRO监控“广播风暴”
- 使用Sniffer Pro监控网络流量
- 使用Sniffer Pro监控网络流量
- 使用Sniffer Pro监控网络流量
- 使用Sniffer Pro监控网络流量
- 使用Sniffer Pro监控网络流量
- 通过改变网络拓扑使用Sniffer Pro监控、分析协议的示意图
- 使用shell监控网络实时流量
- 通过改变网络拓扑使用Sniffer Pro监控、分析协议的示意图
- VC++如何使用Mschart 实例-------网络流量监控程序
- 在windows2003安装网络流量监控软件简明教程
- linux下的几个网络流量监控工具使用
- VC++如何使用Mschart 实例-------网络流量监控程序
- [转]linux下iftop工具的安装与使用详解(图文)——实时的网络流量,监控TCP/IP连接(单机)
- 通过改变网络拓扑使用Sniffer Pro监控、分析协议的示意图
- iftop监控网络流量安装及使用
- linux下使用vnstat监控网络流量