下载文档原格式
TS-08-0002错误!未指定书签。
目录科来网络分析系统整体解决方案 (1)目录 (1)第1章前言 (4)第2章企业网络现状 (4)2.1企业内部网络结构模型 (4)2.2传统防御的网络风险和安全隐患 (5)2.3网络分析时代来临 (6)第3章科来网络分析系统功能简述 (6)3.1网络内部流量占用分析 (7)3.2网络出口带宽分析 (8)3.3病毒、攻击预警和快速定位 (8)3.47*24小时长期分析 (8)3.5专家诊断 (8)3.6端点分析 (9)3.7协议分析 (9)3.8数据包实时解码能力 (9)3.9TCP数据流重组 (10)3.10应用程序分析 (10)3.11网络错误检测 (11)3.12主机快速定位 (11)3.13网络故障回放 (11)3.14矩阵统计 (12)3.15报表统计 (13)3.16图表统计 (13)3.17数据过滤分析 (13)3.18基于工程的分析 (15)第4章科来网络分析系统性能指标 (15)4.1网络类型 (15)4.2网络拓扑 (16)4.3系统需求 (16)4.4支持的协议层次 (16)4.5支持的协议 (16)4.6支持的网络适配器（网卡） (17)4.7支持的数据包文件格式 (17)4.8分析精度 (18)4.9数据包级故障诊断 (18)4.10网络监控 (18)第5章科来网络分析系统安装部署 (18)5.1共享式网络 (18)5.2具备镜像功能的交换式网络 (19)5.3不具备镜像功能的交换式网络 (19)5.4定点分析一个部门或一个网段 (20)5.5代理服务器共享上网 (20)第6章服务和技术支持 (21)6.1服务理念 (21)6.2售前服务 (21)6.3售后服务 (21)6.4技术支持 (22)第7章培训 (22)7.1培训介绍 (22)7.2培训方式 (23)7.3培训地点 (23)7.4培训时间 (23)7.5培训费用 (23)7.6培训大纲 (23)第8章相关手册 (27)第9章科来软件介绍 (28)9.1公司简介 (28)9.2联系方式 (28)第10章附件 (29)9.1海外典型用户 (29)9.2国内典型用户 (30)第1章前言随着政府、企业、校园网和电子商务等一系列网络应用的蓬勃发展，网络正在越来越多地离开原来单纯的学术环境，融入到社会的各个方面。
科来网络回溯分析系统（硬件）科来网络回溯分析系统（硬件）是能够长时间记录网络通讯数据，并提供基于时间的数据挖掘分析系统。
它采用科来自主设计研发的第二代网络分析引擎，提供千兆网络流量数据采集、存储，历史数据挖掘与回溯分析，能够快速追溯到任意时间范围内的重点分析目标的通讯数据，包括与其关联的通讯数据的快速挖掘和全面分析，帮助用户快速定位分析网络和应用问题，发现和分析安全攻击，对网络用户的网络行为进行深入有效的高精度分析。
1、技术优势（1）数据包级的回溯分析对各种网络和安全问题提供强有力的分析取证能力。
（2）专用的软硬件一体化设计，安装部署容易，支持远程部署，远程访问，支持对分布在不同地点的多条网络链路通讯进行集中长期监控分析。
（3）方便高效的数据检索和数据挖掘界面，提供直观高效的数据分析和挖掘能力，业界领先的逐级数据挖掘分析视图，可根据时间、主机、应用、会话进行逐级数据挖掘，方便高效的挖掘所需分析数据。
（4）支持方便快速的数据导出能力，能够提供多种格式的数据包文件，并支持数据包播放功能，方便其他分析系统进行数据分析。
（5）专用的文件存储格式和方式，其他程序无法直接访问读取回溯服务器保存的网络通讯数据，同时提供用户访问认证和授权控制功能，保证系统数据的安全性。
（6）采用RAID5和RAID6存储技术，保证存储数据的可靠性。
强大的数据安全保护，包括：防数据被窃取的安全，系统安全认证，数据加密安全传输。
2、功能概要★ 7X24小时的关键网络通讯数据的实时分析与收集保存通过长期捕获关键网络的网络通讯数据，实时分析并分类记录所有的网络用户的网络行为数据，网络通讯数据和应用访问数据，从而为网络问题分析、网络行为分析、网络性能和应用性能分析提供最完整，最有力的数据基础。
★基于时间的网络通讯数据回溯分析能够快速追溯到任意时间范围内的重点分析目标的通讯数据，包括与其关联的通讯数据的快速挖掘和全面分析，帮助用户快速定位分析网络和应用问题，发现和分析安全攻击，对网络用户的网络行为进行深入有效的高精度分析。
TS-01-0005科来网络分析系统6.8 快速入门指南本文档属商业机密文件，所有内容均为科来软件独立完成，属科来软件内部机密信息，未经科来软件做出明确书面许可，不得为任何目的、以任何形式或手段（包括电子、机械、复印、录音或其他形式）对本文档的任何部分进行复制、修改、存储、引入检索系统或者传播。
© 2008 科来软件 保留所有权利技术支持部科来软件电话：86-28-85120922传真：86-28-85120911网址：邮件：********************.cn目 录引言 (2)1新建工程 (2)2开始捕获 (2)3整体布局 (2)3.1菜单 (3)3.2工具栏 (3)3.3 节点浏览器 (3)3.4 工程状态栏 (4)3.5 主视图区 (4)4工程设置 (12)4.1常规 (13)4.2网络适配器 (14)4.3过滤器 (15)4.4网络配置 (16)4.5日志设置 (17)4.6诊断设置 (18)5数据管理 (18)5.1 工程文件 (18)5.2数据包 (19)引言网络分析是一门非常专业的技术，需要分析者具备相当的网络知识，同时对网络分析软件使用的熟悉程度，也在很大程度决定着故障排查的效率性和准确性。
但是作为初次使用网络分析软件的用户来说，他们可能会有疑问：通过网络分析软件能得到什么数据，这些数据能帮助我们做些什么，我们如何使用这些数据等等。
目前流行的网络分析工具中，国外产品主要有Sniffer，Omnipeek, Ethereal，国内产品则只有科来网络分析系统。
科来网络分析系统是一个专业的网络分析软件，刚刚接触它的朋友在使用时可能存在一些疑问，不知道如何使用快速上手，下面我们就对科来网络分析系统进行简单介绍，希望能对初次使用科来网络分析系统的朋友有所帮助。
1新建工程工程可以被理解为一次分析任务。
捕获数据之前，用户需要创建一个新工程。
系统在启动时默认创建一个新工程，用户也可以通过菜单“文件->新建”和工具栏中的“新建”进行手动创建新工程。
科来网络分析系统2010技术白皮书本文档所有内容均为科来软件独立完成，未经科来软件做出明确书面许可，不得为任何目的、以任何形式或手段（包括电子、机械、复印、录音或其他形式）对本文档的任何部分进行复制、修改、存储、引入检索系统或者传播。
© 2010 科来软件保留所有权利技术支持部科来软件电话：86-28-85120922传真：86-28-85120911网址：邮件：support@目录目录 (1)1.前言 (3)2.工作原理 (3)3.技术架构 (4)3.1总体架构 (4)3.2第二代分析引擎 (4)3.3数据采集 (5)3.4数据分析 (6)3.5数据输出 (7)4.系统技术特性 (7)4.1全新的分析引导体验 (7)4.2实时分析和回放分析 (8)4.3全新的网络档案 (8)4.4实用的分析方案 (8)4.5灵活的图表设置 (9)4.6自定义协议 (9)4.7专家诊断 (9)4.8流量分析 (10)4.9协议分析 (10)4.10在线实时警报 (10)4.11节点浏览器 (11)4.12自定义节点分组 (11)4.13数据包捕捉过滤 (11)4.14数据包解码 (12)4.15会话分析 (12)4.16矩阵显示 (12)4.17TCP会话时序图 (12)4.18TCP数据流重组 (13)4.19日志分析 (13)4.20报表输出 (13)4.21支持多工程和多网卡 (13)5.系统核心功能 (13)5.1全面的流量分析 (14)5.2智能的故障诊断 (14)5.3清晰的协议分析 (15)5.4详细的连接分析 (15)5.5强大的安全分析 (15)5.6精细化的性能评估 (16)5.7丰富直观的报表 (16)6.技术指标 (17)6.1网络类型 (17)6.2运行环境 (17)6.3支持的网络适配器 (17)6.4支持的数据包格式 (17)6.5支持的诊断事件 (18)6.6支持的协议 (18)6.7解码的协议 (19)6.8实时捕获解码分析 (20)6.9时间精度 (20)7.联系我们 (20)1.前言近二十年来，计算机网络技术得到了飞速的发展，网络速度越来越快，使用越来越简单方便，越来越多的关键业务运行在计算机网络基础之上，越来越多的重要信息通过网络传送，使得计算机网络通信已逐渐成为企事业单位日常工作不可或缺的一部份，整个社会已步入网络信息化时代。
如何建立和使用网络基线1.什么是网络基线网络基线是指网络在正常情况下的各种参数，包括网络设备、网络性能、网络安全等各种参数，是诊断排除网络问题的利器，同时也是网络的健康快照，是网络中不可或缺的指标。
2.网络基线的价值⏹快速定位网络故障产生的原因；⏹了解网络资源的使用情况，并根据实际情况进行资源协调；⏹了解网络的运行规律，流量趋势，管理策略是否达到应用效果；⏹快速发现异常流量、垃圾流量；⏹为管理设备、安全设备的阀值设定提供数据支撑；⏹为网络升级、改造提供历史数据依据。
3.如何建立网络基线⏹准备工作建立网络基线，前期准备工作包括以下几个部份：1)网络拓扑结构图：在结构图里，要力求完整展示网络的物理结构，详细标识出网络中路由器、交换机、防火墙、服务器类型、管理设备的位置；甚至数据流向等；2)了解网络现有的管理策略，网络配置情况，对哪些服务、访问做了优化和管理；3)掌握确定网络的繁忙时段、业务高峰时段、空闲时段等；4)将上述3点形成翔实的文档。
⏹确定范围和目标建立网络基线最重要的就是要确定基线的范围和目标（基线参数）。
网络是复杂的，我们不可能也很难将所有设备、主机或链路的信息全部加入到基线里来，这就需要管理者按其重要程度对网络进行划分，然后确定建立基线的范围；而且不同的设备、主机或链路所关注的参数也不尽相同，比如服务器更多的是关注安全和性能，网络则是流量、利用率等，这些都需要管理员在录入基线数据之前就确定好。
⏹录入基线数据通常，基线参数包括网络利用率、流量成份、应用TOP、协议TOP、主机TOP、会话统计、地址统计、TCP Flags、数据包大小分布、平均包长、数据包数、关键服务器信息等，这些参数通过科来网络回溯分析系统和科来网络分析系统可以快速准确的获取。
按网络的繁忙程度分别录入数据，下表是一个典型的网络基线数据采集表样式：经过一段时间的分批录入并进行相应的算法，得出各个参数的峰值、谷值、平均值，即可得到网络运行的基线数据。
开始使用选择网卡网络数据包是通过网卡进行转发的，对数据包的捕获需要利用网卡进行采集，在进行工程运行之前，需要选择分析的网卡。
科来网络分析系统支持多网卡进行数据采集，同时也支持拨号的上网和本地环回。
本地环回是指客户端和访问的服务器端都是本机，此时的网络数据并不经过网卡，科来网络分析系统同样支持以类数据的监测分析。
在工程设置中，科来网络分析系统会自动列出所有可用到的网卡类型，用户可以根据实际情况进行选择。
设置显示选项科来网络分析系统的每一个视图都为用户提供了非常丰富的统计字段，为了适合查看，并没有所有的字段都显示出来。
用户可以通过列表选项来设置显示的数据，右键点击每个视图字段标题，将可以打开显示选项。
软件界面菜单下面的表格是菜单命令以及相应说明：节点浏览器节点浏览器最大的用途，就是能快速的选择需要查看的节点，通过选择节点，用户可以查看该节点对应的网络数据。
节点浏览器由三个类组成，分别是协议节点，物理节点，IP 节点。
用户可以很方便的定位到整个网络，也可以定位到某个 IP段，或是某个 IP。
而右边的数据会根据选择的节点显示相关的数据。
工程状态栏我们为每个工程都提供一个状态栏，用户可以查看当前工程的执行情况和配置状态。
包括使用的过滤器，捕获到的数据包，数据包缓存的占用情况等。
缓存使用率的颜色条默认情况下是蓝色，超过 80%，将变为橙色，超过 90%，则显示为红色。
主视图区网络分析的主要数据结果，都放置在主视图区。
科来网络分析系统 5.0 包含以下视图，每个视图都包含不同的分析结果。
数据排序功能是一个对数据查看很有用的功能，用户对于想查看的数据排序，只需要单击一下列表的字段，就可以进行正序或倒序的排列，如下图所示。
查找带宽占用最大的 IP，或查找数据包发送最多的 IP，利用数据排序将是非常容易的方法。
科来网络分析系统的每一个视图都为用户提供了非常丰富的统计字段，为了适合查看，并没有所有的字段都显示出来。
用户可以通过列表选项来设置显示的数据，右键点击每个视图字段标题，将可以打开显示选项。
科来网络回溯分析系统前端节点技术指标
1.总体功能
能够分布式部署在需要监控的网络节点，长期实时分析并捕获流量，发现网络中存在的窃密行为，同时对捕获到的网络通讯数据包进行长期存储，从而提供对任何时间点的通讯数据进行回溯分析的能力。
2.界面要求
支持全中文界面和资料文档，要求提供全中文的分析界面，要求提供全中文的文档资料。
3.系统部署
1.分布式部署，要求能够部署在远程网络中进行长期实时分析，通过专用的控制台软件过
网络进行远程分析。
2.要求能支持流量镜像、分路器等方式部署。
3.在采用镜像方式进行部署时，能够通过设定本地网络，区分内部和外部地址，并分别统
计上行和下行流量。
4.能够实现链路聚合功能，能将多网卡的流量聚合捕获分析。
5.支持多任务分析，能够针对某网络接口支持多个捕获和分析任务同时进行分析。
4.应用定义
6.能够灵活的自定义应用，针对自定义的应用进行流量监测分析。
7.可根据端口或端口范围、端口组自定义应用。
8.可根据地址、地址组、地址范围自定义应用。
9.可根据地址端口自定义应用。
10.可根据网段、网段组自定义应用。
5.数据捕获保存
11.能够实时捕获并保存网络中的通讯数据包。
12.网络中的通讯数据包能够长期保存，设备的存储容量不低于。
13.数据包以专用格式存储，只能采用专用的控制台软件读取和导出，不能用其他工具读取
并导出。
14.数据包保存的性能要求能够实现线速保存能力，数据包处理性能不低于。
15.能实时长期保存网络中的所有的网络总体流量统计数据包括比特率（上下行）、数据包
率（上下行）、网络中数量、数量、数量。
16.能实时分析并长期保存网络中的所有数据流统计数据，包括详细的会话流、会话流、会
话流数据，数据精度到秒级。
17.捕获数据包时能够根据条件过滤捕获，包括根据地址、地址段、通讯协议、端口等条件
过滤捕获。
6.数据检索分析要求
18.能够和原有的科来网络回溯分析系统控制台配合，通过控制台方便的检索捕获的任意时
间范围的网络通讯数据。
19.能够和原有的科来网络回溯分析系统控制台配合，通过控制台检索捕获的流量的趋势，
包括总体流量的趋势，可区分网络的上行流量和下行流量；数据包趋势，可区分网络的上行数据包和下行数据包；参数趋势，包括同步数据包个数、同步确认数据包个数、同步重置数据包个数；利用率趋势，可区分网络的上行利用率和下行利用率。
20.能够和原有的科来网络回溯分析系统控制台配合，通过控制台检索指定时间范围的所有
应用的通讯流量信息，包括接收发送流量，接收发送数据包等，用户可以根据自己的需求进行应用定义，定义条件包括地址、端口、地址组和地址段、端口组或范围，以及多种条件的组合。
21.能够和原有的科来网络回溯分析系统控制台配合，通过控制台检索指定时间范围的所有
主机的通讯流量信息，包括接收发送流量，接收发送数据包，比特率，数据包率，连接请求数量，同步响应数量，同步重置数量，数据包的发收比等流量参数，并能够根据参数的大小进行排序。
22.能够和原有的科来网络回溯分析系统控制台配合，通过控制台显示的区域归属，包括
地址所属的国家和地区，可以根据国家和地区进行地址检索分析。
23.能够和原有的科来网络回溯分析系统控制台配合，通过控制台检索指定时间范围的所有
主机间的通讯流量信息，包括接收发送流量，接收发送数据包等。
24.能够和原有的科来网络回溯分析系统控制台配合，通过控制台检索指定时间范围的所有
会话和会话的通讯流量信息，包括接收发送流量，接收发送数据包等。
25.能够和原有的科来网络回溯分析系统控制台配合，通过控制台针对应用进行进一步的数
据挖掘，分析某个应用中主机流量、会话、会话和会话详细列表。
26.能够和原有的科来网络回溯分析系统控制台配合，通过控制台针对主机进行进一步数据
挖掘分析，分析某个主机的应用、会话、会话和会话。
7.流量监测报警功能
27.能够对网络中的异常流量进行监控和报警。
通过异常流量分析模块，可以发现异常的应
用流量，如异常的会话，异常的会话，可以对异常流量进行报警并分析。
28.能够对网络中关键主机的流量进行监测和报警。
⏹自动发现肉鸡和木马控制者，并对其流量进行分析和报警。
能够对木马主机的
连接，心跳，传输文件等操作进行发现和分析
⏹警报条件：能设定>条件、<条件，多种参数条件的与或关系时间警报。
⏹触发时间间隔：秒，秒，秒，秒。
29.能够对网络中重点的应用流量进行监测和报警。
⏹能够对重点关注的应用进行监控和报警，如，，，，等应用进行检测和报警，
发现可疑的行为能够进行深入到数据包级的分析。
⏹警报条件：能设定>条件、<条件，多种参数条件的与或关系时间警报。
触发时间间隔：秒，秒，秒，秒。
30.能够对可疑域名解读行为进行监测产生警报，可以定义黑域名列表、域名地址列表进行
监测，发现可疑的域名解读，产生警报。
31.能够对电子邮件内容进行监测，定义敏感字参数，监测邮件内容中是否包含敏感信息。
检测到邮件的附件，并还原附件。
能够提前邮件的账号和密码。
32.能够对内容进行监测，定义敏感字参数，监测内容中的敏感信息。
能够根据预先定义的
僵尸网络特征，发现网络中僵尸主机和控制者。
33.能够对数据流进行监测，通过定义已知木马，僵尸网络的特征值，监测木马和僵尸网络
的通讯并产生警报，特征值可以包括十六进制和的特征定义。
可定义多种特征的与或关系来监测木马通信数据流。
34.能够通过邮件和将报警信息发给指定接收者。
8.数据分析要求
1.能够对检索到的网络通讯数据包进行深入分析。
2.提供物理端点和端点以及会话分析视图。
3.提供针对端点的入出流量，、、总流量、总数据包数分析。
4.提供针对端点的会话数量、连接数量的统计分析，并可以按大小顺序进行排序。
5.提供针对端点的同步包发送接收数量、同步确认包发送接收数量、重置包发送接收数量
的统计，并可以按大小顺序进行排序。
6.提供针对端点的数据包发送接收比的统计分析，提供针对端点的字节数发送接收比的统
计分析。
7.提供自动的端点分组功能，能将不同网段的端点按网段自动分组，同时能按的地域归
属进行自动分组，如美国、日本等。
9.木马分析要求
1.提供已知木马分析的分析视图，实时的对已知木马行为进行报警，并能够进行数据包级
的回溯分析。
2.可以通过定义黑名单，异常的，流量等参数自动发现网络可疑木马行为，对未知木马进
行分析和提取特征。
3.支持自定义添加木马特征，包括进制和码的特征，并能用偏移量，使用端口，网络协议，
标准位，数据包大小等参数对特征进行严格匹配，减少误报。
4.支持自动判断存在端口扫描的主机的网络行为特征并在单独的分析视图中展现。
5.提供已知僵尸网络的分析试图，可以通过黑域名，特征流，网络行为等方式对僵尸网络
进行发现和追踪，发现僵尸主机和僵尸控制者。
10.取证分析要求
1.提供对已知木马的取证，能够自动将网络中的木马通信保存数据流和原始数据包。
数据
流信息应包括通信双方的地址，通信时间，通信内容，持续时间，传输的文件，报警日志等相关信息。
2.能够对网络中异常流量进行取证，保存异常流量的统计数据流和原始数据包。
3.能够通过数据流还原传输文件的内容，包括，，，，，，等常见的文件格式。
4.提供僵尸网络行为的取证，保存僵尸网络的统计数据流信息和原始数据包，能够对僵尸
控制者进行追踪，获取控制者，地理位置，控制方法，攻击行为，窃密行为等。
11.协议识别和解读要求
提供对常见互联网协议的协议识别功能，至少能对种以上的常见互联网协议进行识别。
