本文目录一览：

• 1、局域网监控软件是不是首先得到被监控方允许才可以监控?或者是在被控制方电脑上安装什么软件之类的呢？
• 2、请问通常企业的都用些什么流量监控软件 ，以及相应 的监控软件原理是什么
• 3、监控软件的分类
• 4、网络监控软件的网络监控软件工作原理
• 5、网络监控原理！

局域网监控软件是不是首先得到被监控方允许才可以监控?或者是在被控制方电脑上安装什么软件之类的呢？

不需要被允许；要在被控方电脑安装客户端。

详解介绍：

网络监控软件一般能够监控QQ软件、MSN软件，可以在不安装客户端的情况下轻松封堵屏蔽这些聊天软件的使用。可以监控到每台电脑实时的上行流量，下午流量；FreeEIM 同时可以监控到公司整个网络的带宽流量大小。可以监控到下面电脑的屏幕和电脑里的文件，还可以设置对下面的电脑屏幕定时截取照片，内网管控还可以实现控制USB存储，控制应用程序的运行等。

一、网络监控软件定义

网络监控软件是指针对局域网内的计算机进行监视和控制；针对内部的电脑上互联网以及内部行为与资产等过程管理；包含了上网监控（上网行为监视和控制、上网行为安全审计）和内网监控（内网行为监视、控制、软硬件资产管理、数据与信息安全）；

二、网络监控应用背景

首先，我们谈谈email。比起传统信件，email速度快，还更有效率，在许多企业，电子邮件已渐渐具备正式公文的性质，企业档案资料的管理已不仅限于各类纸张文挡，也包括各类来往的电子邮件。如果对电子邮件进行管理、备份，企业可更有效地管理对内对外的档案。方便的email，也可能被员工当作有意或无意泄漏机密的主要管道。据调查，美国大约四分之三的大型企业，利用特殊软件，检查员工的电子邮件，防止泄漏公司机密。电子邮件也正在变成调查犯罪的重要证据，许多案件都追查过嫌犯的电子邮件，发现他们使用的讯息类型，以及在网络上找到的讯息等。许多证券公司，都根据规定，将企业往来的电子邮件，储存一段时间。基于此，对企业电子邮件进行备份已经相当必要。同样，互联网的其他应用，如最基本的网页浏览功能，msn、QQ等IM即时通讯工具，Google、百度等搜索引擎，以及企业网站等等，也越来越成为企业必不可少的业务通道。一句话，我们已经进入了互联网时代。

三、网络监控软件应包含的基本功能

1、上网监控软件（上网行为管理、网络行为审计、内容监视、上网行为控制）

应包含如下基本功能：上网监控、网页浏览监控、邮件监控、Webmail发送监视、聊天监控、 BT禁止、流量监视、上下行分离流量带宽限制、并发连接数限制、FTP命令监视、TELNET命令监视、网络行为审计、操作员审计、软网关功能、端口映射和PPPOE拨号支持、通过WEB方式发送文件的监视、通过IM聊天工具发送文件的监视和控制等；

2、内网监控软件（内网行为管理、屏幕监视、软硬件资产管理、数据安全）

应包含如下基本功能：内网监控、屏幕监视和录象、软硬件资产管理、光驱和USB等硬件禁止、应用软件限制、打印监控、ARP防火墙、消息发布、日志报警、远程文件自动备份功能、禁止修改本地连接属性、禁止聊天工具传输文件、通过网页发送文件监视、远程文件资源管理、支持远程关机注销等、支持MSN、ICQ、SKYPE、YAHOO通、google talk、淘宝旺旺、飞信、QQ等常见IM软件的聊天内容记录等功能；

四、网络监控软件4种工作模式

1、网关模式：原理是把本机作为其他电脑的网关（设置被监视电脑的默认网关指向本机），分别可以作为单网卡方式和双网卡甚至多网卡方式，原始的 PROXY模式目前基本淘汰了一般不再有人采用，目前常用的是NAT存储转发的方式；简单说有点像个路由器工作的方式；因此控制力极强，但由于存储转发的方式，性能多少有点损失；不过效率已经比较好了；缺陷是假如网关死了，全网就瘫痪了；

2、网桥模式：原理是双网卡做成透明桥，而桥是工作在第2层的，所以可以简单理解为桥为一条网线，因此性能是最好的几乎没有损失；WINPCAP本身并不支持该模式；该模式可以说是最理想的了，即使桥坏了，只要简单做个跳线就可以了，因为桥是透明的可以看成网线，即使桥坏了就可以理解为网线坏了换一条而已；支持多VLAN、无线、千M万M、以及VPN、多出口等等几乎所有的网络情况，原因很简单，因为透明桥嘛等于理解为那是网线而已；

3、旁路模式：原理是使用ARP技术建立虚拟网关，只能适合于小型的网络，并环境中不能有限制旁路模式；路由或火墙的限制或被监视电脑安装了ARP火墙都会导致无法旁路成功，因为你一边在禁止旁路一边却正在旁路，所以自相矛盾；同时如网内同时多个旁路将会导致混乱而中断网络；但只要条件该方式是最简单的部署以及最方便的安装设置；

4、旁听模式：原理是旁路监听，是通过交换机的镜像功能来实现监控， 该模式需要采用共享式HUB或交换机镜像；可是如采用老式的共享式HUB将影响网络出口性能；如采用镜像模式，一方面需要投资支持双向的镜像交换机设备，另一方面需要专业的人设置镜像交换机。该模式的优点是部署方便灵活，只要在交换机上面配置镜像端口即可，不需要改变现有的网络结构；而且旁路监控设备一旦停止工作，也不会影响网络的正常运行。缺点在于，旁听模式通过发送RST包只能断开TCP连接，不能控制UDP通讯，如果要禁止UDP方式通讯的软件，需要在路由器上面做相关设置进行配合。

请问通常企业的都用些什么流量监控软件 ，以及相应 的监控软件原理是什么

你好，

常用的企业流量监控软件有：信安上网行为管理系统、网路岗、网猫、聚生网管、第三只眼、易控王等。。。

局域网抓包技术原理：

UNIX系统提供了标准的API支持

（1）Packet socket

（2）BPF（主要的流行手段）

A、BSD抓包法

.BPF是一个核心态的组件，也是一个过滤器

.Network Tap接收所有的数据包

.Kernel Buffer，保存过滤器送过来的数据包

.User buffer，用户态上的数据包缓冲区

B、Libpcap(一个抓包工具库)支持BPF

.Libpcap是用户态的一个抓包工具

.Libpcap几乎是系统无关的

C、BPF是一种比较理想的抓包方案

.在核心态，所以效率比较高，

.但是，只有少数OS支持(主要是一些BSD操作系统)

2、Windows平台上通过驱动程序来获取数据包；

首先要补充一句：所有的软件功能其实都在基于引擎驱动而完成的，上层的界面应用不过就是引擎驱动的延伸，所以引擎驱动效率就是软件所有的最关键的部分；一只鸭子的DNA是不可能做出一只老虎的；性能功能之比较就是引擎驱动之比较；

（1）驱动程序模式

模式一、在核心层驱动模式（或中间层驱动方式，比如卡巴斯基7），和WINDOWS操作系统核心结合紧密,效率非常高性能最好；因为网络火墙都在网络上层运行（也就是说如在核心驱动那火墙是无法管理软件的，效率当然就非常高了），因此核心层驱动将不受网络火墙干扰；

模式二、在网络协议层驱动模式，虽然自己写的驱动容易控制管理但性能根本无法与核心层驱动比较；并受防火墙限制和干扰；

（2）WinPcap驱动标准接口（国外免费抓包驱动接口；目前国产网络监控软件90%采用）

WINPCAP是目前国际标准的免费协议层抓包接口程序，支持100M通讯，采用的原理是监听模式；但缺点是明显的，可控制性很差导致很多功能都无法实 现，免费的东西自然安全也是很大问题；只能监听模式导致流量限制、BT限制、UDP阻断方面等等天生的弱点；另外由于WINPCAP版本互相不兼容可能导 致无法监控，无法识别千兆网卡或无法读到网卡列表，只能同时监控单网卡等等一堆问题；最大的问题是还需要老掉牙齿的10M共享HUB，或把交换机变为老式 HUB的端口镜像；所以只要有基本的网络常识的人，都不会选择该模式了；

监控软件的分类

折叠易控王监控软件、信安上网行为管理系统和Phantom系统（外网管理和内网管理功能都提供）。

不牵涉部署模式，因为他们的实现原理都是在C/S模式，通过部署在被监控计算机上的客户端来实现各种功能，在这种模式下，服务器的安装部署对网路环境就没有特别的要求，网络内随意找一个电脑就可以做服务器，而且功能、网络速度、效率都不受影响，不需要对原有网络架构、环境进行改动。

唯一的缺点就是需要安装客户端。 折叠大概分为四种安装模式：旁路、旁听（共享式HUB、端口镜像）、网关、网桥。

1．旁路模式

基本采用ARP欺骗方式虚拟网关，让其他计算机将数据发送到监控计算机。只能适合于小型的网络，并环境中不能有限制旁路模式；路由或火墙的限制或被监视电脑安装了ARP火墙都会导致无法旁路成功，因为你一边在禁止旁路一边却正在旁路，所以自相矛盾；同时如网内同时多个旁路将会导致混乱而中断网络。

2．旁听模式

通过共享式HUB、端口镜像方式来获取网络上的数据实现监控，通过抓取总线MAC层数据侦方式而获得监听数据，并利用网络通讯协议原理发送带RST标记的 IP包封堵TCP连接以破坏TCP连接实现控制的方法；不能封堵UDP通讯包，而QQ、BT等很多软件会使用UDP协议。而且还需要额外购置网络设备，因为共享式HUB中每个端口的但由于HUB基本都是10M的，因此在网络性能上将很大限制，也意味丢包的危险；目前HUB几乎到了淘汰的命运；也不适合大型网络环境，因此是很大局限；网络带宽损失都会超过60%;镜像交换机首先是比较贵并需要专业的配置，而目绝大多数企业并没有带镜像交换机，另外如果规模比较小的话（比如30个电脑一下），那么增加购买镜像交换机意味成本的提高，另外有些便宜的交换机虽然带镜像功能，但在镜像后由于双向（监视和控制）数据流处理不完善而导致交换机瞬间阻塞现象；而很多的镜像交换机也是单向的（只能监视抓包不能控制）；但相比老式的HUB模式来说，使用镜像交换机实现监听还是要理想一些。

3．网关模式

是把本机作为其他电脑的网关（设置被监视电脑的默认网关指向本机），常用的是NAT存储转发的方式；简单说有点像个路由器工作的方式；因此控制力极强，但由于存储转发的方式，性能多少有点损失；不过效率已经比较好了。但维护和安装比较麻烦；无法跨越VLAN和VPN；假如网关死了，全网就瘫痪了。此类软件有 ISA、anyrouter软网关等，这里没有引用，ISA目前在一些银行金融机构仍在使用，海天上网监控软件是专门针对ISA而开发的。

4．网桥模式

双网卡做成透明桥，而桥是工作在第2层的，所以可以简单理解为桥为一条网线，因此性能是最好的几乎没有损失。支持网桥模式的软件比较少，主要有Anyview网络警局域网管理软件、百络网警局域网管理软件、网路岗局域网管理软件。

网络监控软件的网络监控软件工作原理

企业里涉及到两部分的网络管理，一部分是监视上INTERNET的行为和内容，也就是大家说的上网监控或外网监控；另一部分就是如果这个电脑不上 INTERNET但又在内部局域网上（比如打印个文件什么的），一般被大家叫成内网监控或本网监控；上网监控管理的是上网的内容监视和上网行为监视（比如发了什么邮件，是否限制流量，是否允许QQ，或监视用户页面浏览）；而内网监视管理的是本地网络的活动过程（比如有没有COPY东西到U盘、是否在玩单机 游戏、使用电脑做了什么等等）。

外网监控软件模式基本可以分为两类：有客户端的和没有客户端的（内网安全都需要客户端，上面没有客户端的都不能实现内网安全管理）。

拥有内网管理功能的：网眼监控软件、Anyview(网络警)网络监控软件、网路岗局域网管理软件、网猫网络监控软件实现需要客户端支持。这几种软件都有专门的客户端软件提供。

没有内网管理功能的：百络网警局域网管理、聚生网管系统、超级嗅探狗上网监控系统。二、有客户端的外网监控

信安上网行为管理系统和Phantom系统（外网管理和内网管理功能都提供）。

不牵涉部署模式，因为他们的实现原理都是在C/S模式，通过部署在被监控计算机上的客户端来实现各种功能，在这种模式下，服务器的安装部署对网路环境就没有特别的要求，网络内随意找一个电脑就可以做服务器，而且功能、网络速度、效率都不受影响，不需要对原有网络架构、环境进行改动。

唯一的缺点就是需要安装客户端。 大概分为四种安装模式：旁路、旁听（共享式HUB、端口镜像）、网关、网桥。

（1）旁路模式：

基本采用ARP欺骗方式虚拟网关，让其他计算机将数据发送到监控计算机。

（2）网关模式：

是把本机作为其他电脑的网关（设置被监视电脑的默认网关指向本机），常用的是NAT存储转发的方式；简单说有点像个路由器工作的方式；因此控制力极强，但由于存储转发的方式，性能多少有点损失；不过效率已经比较好了。但维护和安装比较麻烦；无法跨越VLAN和VPN；假如网关死了，全网就瘫痪了。此类软件有 ISA、anyrouter软网关等，这里没有引用，ISA在一些银行金融机构仍在使用，海天上网监控软件是专门针对ISA而开发的。

（3）网桥模式：

支持网桥模式的软件比较少。 除了模式，我们讲一下获取数据包的技术，大概有两种方式：

1) 采用操作系统核心NDIS中间层驱动模式，

2) 公开免费接口WINPCAP协议层驱动。

由于WINPCAP本身设计的天生弱点，所以在流量限制方面无法实现、阻断UDP也将导致网络中断、无法支持千M网络和无线网络、性能也必然很低；也无法实现NAT等更多的扩展功能，由于在协议层运行会被火墙禁止；而NDIS中间层驱动模式由于在NDIS层位置驱动，因此性能效率将非常高，更多功能也将成为可能；能够克服WINPCAP所有的弱点，因此成为主流技术；但实现起来很大难度需要很强的开发实力；

4， 结论：

按照部署模式分：通过对比我们可以知道，网桥模式是最理想的一种模式，这种模式唯一的缺点就是额外开支，需要购买一台足够网络处理能力服务器，而且还要连接在交换机和路由器之间的网络上。

5， 总结

如果需要内网管理与外网管理都需要，那么所有软件都需要客户端，显然Phantom和网眼监控软件是最好的选择。

如果只需要外网监控，那末就需要选择了，这时不需要部署客户端，但需要买一台服务器，部署在交换机和路由器之间。而网眼网络监控软件和Phantom则可以任选一台电脑做服务器；缺点是要安装客户端，优点是：实现的功能强大，支持拓展功能性强。 1) 免费开放的国外代码，因此安全性欠缺；原理上是采用旁听模式，所以无法阻断UDP应用，无法流量限制，并容易数据丢包；阻断规则有可能引起网络中断或无效；

2) 原理上决定不适合超过100个电脑的网络环境，如采用老式共享式HUB速度限制在10M带宽损失严重；如采用交换机镜像是共享100M方式，由于一些交换机本身的缺陷，采用镜像后会导致交换机阻塞现象的可能，因此网络带宽会大约损失40%；

3) 由于是免费接口只提供总线抓包功能，所以不支持集群环境也不支持任何内网监控功能；

4) 由于是高层协议接口同时未提供适合监控的加密压缩数据库；所以不支持即时大规模数据存储，不适合大用户网络；不包含千M、无线网；如需支持多 VLAN或VPN应采用镜像技术，需额外投资支持双向镜像技术的交换机并正确设置和维护；

5) 由于提供的接口都是通用的有限代码，缺乏良好的可控性，所以很多功能无法实现；

7， Arp欺骗

欺骗局域网内计算机，使其他计算机误认为监控计算机为网关计算机，将所有数据发送到监控计算机，只能适合于小型的网络，且环境中不能有限制旁路模式；路由或防火墙的限制或被监视电脑安装了ARP防火墙都会导致无法旁路成功，因为你一边在禁止旁路一边却正在旁路，所以自相矛盾；同时如网内同时多个旁路将会导致混乱而中断网络。

网络监控原理！

网络监控采用的主要技术为网络监听和通信分析技术，网络监控系统的具体构成可以分为以下几个部分。

1.硬件

尽管有一些产品需要特殊的硬件，但大多数的产品工作在标准的网络适配器上。如果用的是特殊的网络适配器，就能分析例如CRC错误，电压错误，电缆问题，协商错误等。

2.捕包驱动

这是最重要的部分，它从线路上捕获网络通信，并根据需要进行过滤，接下来将它存储在缓冲区中。

3.缓冲区

一旦从网络上捕获数据帧，它们被存在缓冲区中。存在几种的捕获方式：捕获通信，直到缓冲区被添满，或用循环的缓冲区，就是用新的数据替代老的数据。有一些产品(就像BlackIce的Sentry IDS)能以100兆比特秒的速度在硬盘上维持一个循环捕包的缓冲区。这将允许拥有数百个成G的缓冲区而不是基于内存的不足1G的缓冲区。

4.实时分析

这个特性是网络监控所倡导的，就是在数据帧离线进行一定的分析。这能发现网络性能问题和在通信捕获中的错误。一些厂家正沿着这条路线在它们的产品中加入一些新的功能。网络入侵检测系统就是这样做的，但是它们是对于通信中黑客的行为标记进行详细的审核而不是对错误/性能问题进行处理。

5.解码

就是显示网络通信的内容，这样一名分析者将会十分容易地获得相关信息并依据这些信息分析出网络上究竟发生了什么。