网络实时诊断安全管理平台

1.1. 产品背景
　　防火墙、入侵检测系统、漏洞扫描系统以及网管系统在网络和信息系统中发挥着非常重要的安全作用。防火墙在网络中起到的作用主要是根据设定的规则，起到网络隔离的作用；入侵检测系统是对入侵行为进行检测，它通过收集和分析计算机网络或计算机系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象；漏洞扫描系统则是按照一定的安全规则，对网络设备特别是主机系统进行扫描，以发现主机上的安全漏洞和缺陷；网管系统则是利用SNMP等协议，对网络设备进行管理的系统。
　　随着网络信息业务系统的增加以及网络的规模的扩大，在安全上，存在各种各样的安全风险和攻击，但现有的网络安全设备或系统缺乏对网络状态进行诊断，我们有必要实时诊断网络上各种攻击行为，并做出相应的措施，特别是有必要留下疑似木马等行为以及难以判断的网络行为证据，并对这些行为进行事后分析判断，找出问题所在；在管理上，有必须根据网络流量合理规划网络带宽和网络结构。
　　从以上四大传统产品的功能描述可以看出，没有一个产品能充当网络诊断和分析的角色。Rier  PacketsWell网络实时诊断安全管理平台系统就是在这样的背景下开发出来的。
1.2. 产品功能介绍
 Rier PacketsWell系统通过获取网络上所有的数据包，对网络上的数据包实时或事后诊断分析，对网络的运行情况进行安全评估。系统的主要功能如下：
（1） 网络数据协议分析（packet analyzer）和网络流量统计
彻底分析网络上的各种数据协议数据包，跟踪在网络各个节点（主机）数据包流向轨迹。支持对网络中的主机进行流量统计。只要能获取主机的名称、MAC地址或IP地址，PacketsWell就能对该主机发送和接收的流量进行统计。可以统计的网络流量包括：网络总流量、IP组播流量、TCP/UDP流量。统计的同时，实时对流量进行处理和分析，形成其他附加信息，包括：TCP/UDP服务、主机操作系统信息、带宽使用情况和流量分布情况。
 对总流量的统计
基于各种协议发送和接收的数据的总流量，协议包括各层协议，如网络层协议IP、IPX、应用层协议FTP、HTTP等。
 对IP组播流量的统计
发送和接收的IP组播数据的总流量。
 对TCP会话及其流量、UDP流量的统计
当前处于活跃状态TCP会话，以及与每个会话对应的流量。
通过端口号识别各种UDP流量。

 对TCP/UDP服务的识别
通过主机正在监听或使用的端口号，识别主机使能的TCP/UDP服务。
 对操作系统信息的识别
识别主机的操作系统，包括Microsoft Windows、Unix/Linux等常用操作系统。
 对带宽使用情况的统计
主机的即时流量、流量平均值和峰值。
 对流量分布情况的统计
本地流量（主机与同一个子网内的其他主机的流量）和本地－远程流量（主机与其他子网主机的流量）的流量分布。
 对IP流量分布情况的统计
TCP和UDP的流量分布。
（2） 跟踪主机通信情况
可以跟踪内网主机和其他网络设备通信情况，跟踪主机通信路径，并且可以定位主机的分布情况。

（3） 主机网络通信状态的诊断与审计
可以通过预设定的安全策略，判断主机的网络运行状态，并能发现主机网络配置的错误状态，如：
 诊断出重复IP地址
 通过对网络中所有子网的路由的检测，确认主机是否具有不合适的配置，使主机成为网络上的路由；能够准确检测主机是否采用不合适的子网掩码
 检查主机网卡是否设置成混杂模式
 可以诊断出主机软件应用不合理的配置
如：能诊断出主机上安装非授权的DNS缓冲，并且这种缓冲被频繁地的填充；NTP客户端频繁地访问时间戳服务器，如：每秒种5次以上，造成网络阻塞。

 诊断用户对服务的滥用
如：系统能诊断主机用户对代理服务（PROXY）的滥用
 诊断主机对协议的滥用
如：windows用户安装的时候就可能安装了NetBEUI和IPX协议，但由于用户常常只用TCP/IP协议，因为安装了NetBEUI和IPX协议，会使主机常常以这些协议和网络通信。

 1/2    1 2 下一页 尾页