互联网流量监测系统研究.docx

??

?

??

互联网流量监测系统研究

?

?

?

?

?

??

?

?

?

杨永

(陕西省公安厅，陕西西安710016)

摘要：随着互联网的发展，网络流量也日渐庞大、复杂，并对网络安全带来较为深远的影响，本文对常用的网络流量监测技术展开研究。

关键词：网络流量；监测系统；网络安全

TP393.08：A

0引言

随着计算机通信技术的发展，互联网作为信息社会的基础设施己渗透到社会的各个方面。现代的网络，地理上分散、网络体系结构复杂、通信量庞大、变动性增加，而且网络设备种类繁多、自制性强，这就导致对整个网络的管理十分复杂。国际上许多机构和团体也建立了一些网络管理标准框架，其中使用最为广泛的是Internet网络管理方案SNMP(theSimpleNetworkManagementProtocol),对它进行分析具有重要意义。

1SNMP的发展历史

SNMP最早出现在1988年的RFC1068协议中。1990年5月，RFC1157提出了SNMPvl，并将其作为TCP/IP的正式标准。

由于SNMPvl难以实现大量的数据传输，缺少身份验证(Authentication)和加密(Privacy)机制，以及其他缺点的暴露，互联网工程任务组(IETF)在1993年发布了SNMPv2，SNMPv2并没有完全实现预期的目标，尤其是安全性能没有得到提高，如：身份验证、加密、授权和访问控制、适当的远程安全配置和管理能力等都没有实现。1993年发布的SNMPv2是SNMPv2的修改版本，增强了一些功能，但是安全性并没有得到改善，仍然采用SNMPVl基于明文密钥的身份验证方式。

1998年1月，IETFSNMPv3工作组提出了RFC2271-2275，正式形成SNMPv3。这一系列文件定义了包含SNMPvl、SNMPv2所有功能以及验证服务和加密服务在内的全新的安全机制，同时还规定了一套专门的网络安全和访问控制规则。

SNMP易于实现，适应性强，扩充性好，已经成为计算机网络中网络管理的事实标准。

2SNMP体系结构

SNMP管理模型具备典型的客户机／服务器体系结构。网络管理站属于客户端，同时也是主动的参与者。通常情况下，在NMS平台上的用户运行网管应用程序，对想要管理的节点发起读或者写操作请求。而被管网络实体运行服务器端（通常称为agent，代理进程），代理将从SNMP来的一般化信息请求转换成对本地数据结构的等效操作，并证实该操作是否是有效且可行的，然后执行该操作，在发送合适的响应，最后回到等待状态。SNMP协议是NMS和代理进行网络管理信息互换的规则。为了保证这些过程能够进行，SNMP框架共有三个主要标准：管理信息库(MIB)、管理信息结构(SMI)和网络管理协议(SNMP)。

3管理信息库(MIB)

大多数实际网络都采用了多个制造商的设备，为了使管理站能够与所有这些不同设备进行通信，由这些设备所保持的信息必须严格定义。如果一个路由器根本不记录其分组丢失率，那么管理站向它询问时就得不到任何信息。所以SNMP极为详细地规定了每种代理应该维护的确切信息以及提供信息的确切格式。SNMP模型的最大部分就是定义准应该记录什么信息以及该信息如何进行通信。总之，每个设备都具有一个或多个变量来描述其状态。在SNMP文字中，这些变量叫做对象(object)，网络的所有对象都存放在一个叫做管理信息库(MIB)的数据结构中。

SNMP标准的SMI协议规定了定义和标识MIB对象的一组原则。它规定所有的MIB对象必须用ASN.1（即抽象语法表示法，是一种描述数据结构的通用方法，作为OS1研究的一部分，由ISO推出）来定义。ASN．1定义方法用来定义每个对象，同时也定义整个MIB结构。MIB的结构是树形结构，有两种方式可以访问MIB中对象的值，一种是快速访问，另一种慢速访问。快速访问时只用输入一些数据，慢速访问时要加上其它信息。有两种不同对象数据结构：通用类型和专用类型。通用类型指的是整数、字符串、空值、对象标识、序列和序列号，专用类型是指网络地址、lP地址、记数器和标准等。

每个MIB对象都有一个名称用来标识。在SMI中，这个名称以对象标识符(ObjectIdentifier)来表示。对象标识符相互关联，共同构成一个分层树型结构（树形图如图1），该树是由一个根及与之相连接的许多被标记的节点组成。每一个节点由一个非负整数值和尽可能简明的文字说明所标识，每一个节点可能也拥有同样被标记的子节点。在这个分层结构里，一个对象的标识符是从根出发到对象所在节点的途中所经过的一个数字标号序列组成。对象标识符的命名有专门的机构负责，其中某一个“分支”都被标记中所示的管理组织所管理。

在Internet节点下的mgmt节点，专