视频系统网络流量的监测与控制.

视频系统网络流量的监测与控制

摘要：视频系统的应用给网络容量带来巨大压力，为避免网络阻塞，对视频系统网络流量的监测与控制非常重要。使用开源监控软件Cacti，可以搭建一个出色的网络流量监测平台。使用流媒体技术传输视频，能够降低视频系统流量。在交换机上使用ACL限制视频的访问，既能达到控制网络流量的目的，又能为视频系统安全提供保障。组播技术在视频传输上有绝对优势，使用组播进行视频传输是流量控制的最佳方案。

关键词：视频系统，网络流量，Cacti，流媒体，组播技术

The network traffic Monitoring and control of Video system

LI Chao LU Huaqing

(Daqing oilfield co., LTD. The first production plant's the information center 163001,lichao_a

@https://www.360docs.net/doc/13914369.html,)

(Daqing oilfield co., LTD. The first production plant's the information center 163001luhuaqinga

@https://www.360docs.net/doc/13914369.html,)

Abstract: The application of video system bring great pressure to network capacity, to avoid network congestion, network traffic monitoring and control of video system is very important. Using open source monitoring software Cacti, can build a good platform for the network traffic https://www.360docs.net/doc/13914369.html,ing Streaming Media Technology, can reduce network traffic video https://www.360docs.net/doc/13914369.html,ing acl Technology restricted access to video on switches, can not only achieve the goal of control network traffic, and to provide assurance that video system security.Multicast technology in video transmission has absolute advantages, the use of multicast transmission of video is the best solution for network flow control.

Keywords: video system, network flow, Cacti, Streaming Media, Multicast technology.

1、引言

当前基于网络传输的视频系统在油田生产、工作中已有应用，如作业施工现场监视系统、办公楼宇安防监视系统、视频会议等。随着中石油A11项目的实施推广，视频系统的建设、使用会越来越多。传输视频的网络流量要比文本、图片大很多，大量的视频数据对网络带宽的承载力是严重的考验。如何对视频系统网络流量进行监测，对视频系统网络传输进行优化，有效的控制流量，这对今后视频系统在油田生产上的应用、发展有重要意义。

2、视频系统网络流量的监测

对视频系统网络流量的监测、分析是流量控制的前提。只有得到准确的流量数据，分析、掌握流量的变化规律，才能制定合理的流量控制方案。

2.1、使用cacti软件搭建网络流量监测平台

Cacti是一款优秀的开源监控软件，他能够监测内置snmp agent网络设备（服务器系统、网络交换机等）的多种性能参数，如CPU使用率、内存使用率、网络流量、系统运行时间等。Cacti是基于PHP,MySQL,SNMP及RRDTool开发的，整体结构如下图：

Cacti是用php语言实现，它的主要功能是用snmp协议获取数据，然后用rrdtool储存数据，snmp抓到数据不是存储在mysql中，而是存在rrdtool生成的rrd文件中，rrdtool对数据的更新和存储就是对rrd文件的处理。当用户需要查看数据的时候，rrdtool从rrd文件调用数据并生成图表呈现给用户。Mysql 配合PHP程序存储一些变量数据并对变量数据进行调用，如：主机名、主机ip、

snmp团体名等变量。

Cacti通过WEB来进行配置、管理和显示监测数据。通过合理的参数设置，可以把cacti配置成一个出色的网络流量监测平台。cacti每隔5分钟从监测点上采集一次数据，对每个监测点，可给出按日、周、月、年的4 个流量图。

Cacti的安装主要有以下几个步骤：

（1）安装web服务，可以使用Apache，也可以使用IIS

（2）安装并配置MYSQL。

（3）安装并配置php，配置IIS使其支持PHP，并测试PHP是否安装成功。（5）安装RRDTool

（6）安装Net-SNMP

（7）安装cactid

（8）安装Cygwin

（9）安装ActivePerl

（10）安装并设定cacti，在MySQL里新建数据库cacti。

（以上软件均是开源软件，可在网上下载免费使用，具体安装方法可在网上查阅）Cacti使用方法简述如下：

（1）打开浏览器输入http://your-server/cacti ，默认的登录帐号和密码都是admin，登录后可显示cacti界面。

（2）界面左上角是两个选项卡，“console”和“graphs”。console表示控制台，在此进行所有的配置操作；graphs是用来查看所有监测点的监测数据图像。

（3）创建监测点，首先要建立针对测试目标的监测点，这个在Cacti的console 面板中的“Devices”栏目中进行，需要输入测试设备的IP地址、SNMP 相关参数等内容。

（4）查看监测点，“Graph Management”栏目中可以看到刚才创建的监测点对应的图像。为了方便查看，可以将这些图像加入到“图像树”上。

（5）在console控制台的“New Graphs”栏目中，可以为已有监测点添加新的监控图。根据用户的需要，可以通过console控制台下的“Graph Management”栏目，把多个数据源合并到一张图上。

（6）可以使用脚本、模板、插件来增强、扩展cacti的功能。要实现对交换机流量的监测，需要安装monitor插件。

2.2、对安防视频监视系统网络流量的测试、分析

使用Cacti网络流量监测系统对视频系统网络流量进行了实验性测试。选择的测试对象为“采油一厂物质供应站安防视频监视系统”。该系统使用的设备全部是海康威视产品，视频服务器型号为DS-7808H。视频系统经过物资站汇聚层交换机，厂核心交换机接入企业网。测试中，使用了三个用户访问点来访问视频，一个在物资供应站，两个在厂信息中心。Cacti流量监测系统在厂信息中心，对相应监测点进行监测。

视频监视系统流量监测示意图

如图所示，蓝色圆圈表示流量监测点，Cacti流量监测系统对六个节点的流量进行监测，得到的数据图表能够比较全面的反映视频系统在用户访问时的流量传输情况。流量监测系统使用snmp协议来获得各监测点的数据(图中蓝色箭头)，三个用户访问端均使用浏览器对视频系统进行访问，视频数据使用TCP传输（图中的红色箭头）。经过监测，得到的流量监测图如下：

视频流量监测图

图中“视频服务器接入口”流量反映的是视频监视系统整体输入、输出流量，“物资供应站网络出口”流量反应的是物资供应站局域网到厂网络的整体输入、输出流量，“厂核心交换机物资站入口”流量同“物资供应站网络出口”流量是同一个流量，只是输入、输出互为相反。另外三张图反映的是三个视频访问用户端电脑的流量。

对上图进行分析，当1号客户端对视频系统进行访问时，“视频服务器接入口”流量、“物资供应站网络出口”流量、“1号客户端”流量都增加了4M。物资供应站视频系统总共有7个摄像头，1号通道连接的摄像头使用D1（4CIF）格式，带宽为1.5M～2M，其他通道的六个摄像头均使用CIF格式。整个视频系统的带宽最大为：2M+0.5M*6=5M，最小为1.5M+0.25M*6=3M。cacti监测到每个客户端访问流量是4M，比较准确。当3号客户端同时对视频系统进行访问时，“视频服务器接入口”流量、“物资供应站网络出口”流量又增加了4M，流量累计增加了8M，2号客户端也加入对视频系统进行访问时，流量累计增加了12M。得出结论，随着视频系统访问用户数量的增加，视频流量将成倍增长。

3、视频系统网络流量的控制

不加以控制的使用网络传输视频，很容易造成网络阻塞。需要使用相应的技

术手段，改变视频系统网络传输方式，有效的控制视频系统网络流量。

3.1、使用流媒体传输视频

海康威视公司针对自己的网络视频设备开发了软件iVMS-4200，并结合该软件的使用，提供了多种视频系统部署方案。其显著特点是使用了流媒体技术，大大降低了视频系统的网络流量。针对局域网的部署方案能够实现多个客户端从设备取流，无本地硬盘录像和重要录像双备份等功能。需要的基本硬件设备主要有，网络摄像机、PC客户端一台、iVMS-4200 PCNVR客户端一台、流媒体服务器一台、存储服务器一台、交换机或者路由器。该方案需要安装 iVMS-4200 客户端、流媒体服务器、iVMS-4200 PCNVR 以及存储服务器。

使用简化的局域网方案对物资供应站视频系统进行了部署，用户端均使用iVMS-4200 客户端软件进行视频访问。

局域网部署方案的简化模式

在这种部署方案下测试的视频流量结果如下图：

使用iVMS-4200客户端访问视频流量

如图所示，1号客户端、2号客户端在使用iVMS-4200软件进行视频访问时，同样一次传输7个画面，流量都是1M左右，视频服务器接入口流量为2M左右。与使用浏览器访问视频系统相比流量降低70%多。

3.2、使用交换机控制视频系统的访问

现在大多数智能交换机都有端口限流功能。可以根据需要，把某一端口带宽控制在其固定带宽以下的任意数值。限制了端口带宽，该端口下联的网络、系统、设备的整体输入、输出流量就被限制一定范围内。这样可以防止因某些业务流量过大，影响其他业务的网络传输。对物资供应站视频系统的网络接入端口做了限流，在把带宽分别调整为50M、20M、10M的情况下，做了访问测试。结果发现端口带宽使用率达到80%时，视频画面几乎全部静止，网络已严重阻塞。使用交换机端口限流，可以避免因视频流量过大，影响生产数据的传输。它是以牺牲视频传输质量为代价的，不是流量控制的好方法。

在交换机上合理的部署ACL（访问控制列表），既能控制视频系统访问的用户，也能控制视频的访问方式。使用基本ACL通过对访问IP的控制，能够指定相关人员访问视频系统，禁止其他人员访问。控制了访问人数也就控制了流量，同时为视频系统安全访问提供了保障。使用高级ACL可以控制视频系统的访问方式，比如只放开视频服务器的8000端口（该端口是iVMS-4200软件访问的制定

端口），禁止其他端口，使用户只能使用iVMS-4200软件访问视频，也能起到降低视频传输流量的作用。

3.3、使用组播技术传输视频

组播技术是为优化使用网络资源而产生的，通常用于多点工作方式下的应用中。他的核心思想是，数据发送者向一个组地址发送信息，接收者只需加入到这个组就可以接收信息，所有的接收者接收的是同一个数据流。发送方仅发一份数据包，该数据包只在需要的地方才会被复制分发，无论有多少个目标地址，在网络的任何一条链路上只传送单一的数据包。组中成员是动态的，可以根据自己的意愿随意加入或退出。

单播、组播数据传输示意图

组播技术在多点视频数据传输方面具有很大的优势，可以减少不必要的重叠发送，减轻了系统和网络的负担，提高了CPU资源和网络带宽的利用率，极大地改善了视频数据传输的实时性。

组播传输是通过组播协议实现的，组播协议分为主机-路由器之间的组成员关系协议和路由器-路由器之间的组播路由协议。组成员关系协议使用的是IGMP(互连网组管理协议)。PIM是当前使用最多的组播路由协议，称为协议无关组播。PIM定义了两种模式：密集模式(PIM-DM)和稀疏模式（PIM-SM），密集模式通常用于组成员比较密集、带宽比较高的网络中，采用“扩散/剪枝”机制建

立传输路径。稀疏模式通常用于组成员比较稀疏、带宽资源有限的网络中，采用共享树机制进行组播数据包转发。IANA（互联网编号授权委员会）把D类地址空间分配给IP组播。即：从224.0.0.0到239.255.255.255为IP组播地址的范围。

物质供应站安防视频监视系统支持组播，首先要开启视频服务器DS-7808H 的组播传输模式，设置组地址为239.1.1.1。使用PIM稀疏模式对视频传输网络进行了组播部署，在途经的所有交换机上都做了相应的组播配置（配置命令从略）。访问端需要使用iVMS-4200软件才能实现视频画面的组播传输。使用Cacti 对该视频系统的组播传输进行了监测，监测结果如下图：

使用组播传输视频流量监测图

如图所示，在信息中心使用两台客户端同时对视频系统进行访问，每台客户端都产生了1M的网络流量。此时在“视频服务器接入口”、“物资供应站网络出口”、“厂核心交换机物资站接入口”处，视频传输产生的流量也是1M，流量并没有随访问用户端的增加进行累加。

4、结论

使用cacti软件搭建的网络流量监测平台能够对视频系统流量进行准确的

监测。视频系统流量与访问用户数量、视频传输方式有关。使用流媒体技术会大量降低视频的流量。使用交换机端口限流，能避免因视频流量剧增造成阻塞网络。使用ACL可以控制视频系统的访问用户和访问方式，既能起到控制流量的作用，又能使视频系统的网络安全得到保障。组播技术在视频传输上有绝对的优势，由于对多点视频传输的是同一数据的拷贝，既降低了服务器的压力，又降低了网络压力。使用组播进行视频传输是流量控制的最佳方案。

参考文献

[1] 高彦刚. 实用网络流量分析技术. 电子工业出版社,2009年

[2] 海康威视公司. ds-7800系列视频服务器操作手册.海康威视数字技术股份有限公司

[3] 华为公司. Quidway系列交换机操作手册. 华为技术有限公司

视频系统网络流量的监测与控制

视频系统网络流量的监测与控制摘要：视频系统的应用给网络容量带来巨大压力，为避免网络阻塞，对视频系统网络流量的监测与控制非常重要。使用开源监控软件Cacti，可以搭建一个出色的网络流量监测平台。使用流媒体技术传输视频，能够降低视频系统流量。在交换机上使用ACL限制视频的访问，既能达到控制网络流量的目的，又能为视频系统安全提供保障。组播技术在视频传输上有绝对优势，使用组播进行视频传输是流量控制的最佳方案。关键词：视频系统，网络流量，Cacti，流媒体，组播技术 The network traffic Monitoring and control of Video system LI Chao LU Huaqing (Daqing oilfield co., LTD. The first production plant's the information center 163001,lichao_a @https://www.360docs.net/doc/13914369.html,) (Daqing oilfield co., LTD. The first production plant's the information center 163001luhuaqinga @https://www.360docs.net/doc/13914369.html,) Abstract: The application of video system bring great pressure to network capacity, to avoid network congestion, network traffic monitoring and control of video system is very important. Using open source monitoring software Cacti, can build a good platform for the network traffic https://www.360docs.net/doc/13914369.html,ing Streaming Media Technology, can reduce network traffic video https://www.360docs.net/doc/13914369.html,ing acl Technology restricted access to video on switches, can not only achieve the goal of control network traffic, and to provide assurance that video system security.Multicast technology in video transmission has absolute advantages, the use of multicast transmission of video is the best solution for network flow control. Keywords: video system, network flow, Cacti, Streaming Media, Multicast technology. 1、引言

僵木蠕检测平台的实现思路 - NSFOCUS绿盟科技

僵木蠕检测平台的实现思路行业技术部王卫东关键词: 僵尸网络木马蠕虫DDoS 摘要:本文从僵尸、木马、蠕虫主机的检测目标出发，给出了僵木蠕检测的工作原理、僵木蠕检测平台的系统组成、各组件的具体作用以及将各组件整合成一个统一的检测平台的思路。 1.引言近年来，DDoS攻击愈演愈烈，最大规模攻击已经超过了300Gbps, 100Gbps以上的攻击也屡见不鲜了。僵尸网络是DDoS的罪魁祸首，而蠕虫是僵尸网络传播的主要途径之一。APT （Advanced Persistent Threat，高级持久性威胁）攻击逐渐成为信息安全领域的热点话题，而木马的传播与控制是APT攻击的主要步骤。为了更好的防御这两类攻击，需要在预防环节上加大检测力度，从而在源头上实现攻击防御。 1.1僵木蠕的定义僵尸网络从诞生之日到现在，技术原理经历了很多演化，但本质上没有太大的改变。早期的僵尸网络定义还局限于最初的实现技术，不够通用。后来Bacher 等人[1]给出了一个更具通用性的定义：僵尸网络是可被攻击者远程控制的被攻陷主机所组成的网络。但是这个定义又过于简单，没有给出僵尸网络的特性。综合分析各种文献，这里尝试给出一个相对完整的定义：控制者(称为Botmaster)出于恶意目的，利用一对多的命令与控制信道对感染僵尸程序的大量主机进行控制而组成的网络。僵尸网络一般由C&C服务器和大量的僵尸主机组成。木马是攻击者在目标主机上植入的恶意程序，主要用于暗中窃

取目标主机上的身份、账号、密码及数据文件等机密信息。蠕虫是一种可以自我复制，通过网络自动传播的病毒。单纯的蠕虫危害不是很大。有些僵尸程序利用蠕虫的机制进行传播。因此国外的有些文献将蠕虫和僵尸程序混淆在一起。表1-1 僵木蠕属性对比 1.2僵木蠕检测目标僵尸、木马与蠕虫是三种不同类型的恶意程序，其传播方式和工作机制等都有很大差别。因此在检测目标上也有很大不同。僵尸网络的检测目标： 1）定位僵尸主机的IP地址：对于使用私有地址的僵尸主机，从公网一侧进行检测，只需定位其网络出口的公网地址。 2）发现僵尸网络所使用的域名：僵尸主机在与控制主机进行通讯的时候，经常需要使用域名作为联系地址。 3）定位C&C服务器IP地址：由于攻击者采取了很多保护机制防止C&C服务器被定位，所以实际检测过程中很难直接定位到真正的C&C服务器。姑且认为直接向僵尸主机发布指令的主机就是C&C服务器。木马检测目标定位感染木马程序的主机IP地址：对于使用私有地址的木马主机，从公网一侧进行检测，只需定位其网络出口的公网地址。蠕虫检测目标：检测蠕虫爆发事件。 2.僵木蠕检测的工作原理由于运营商网络有流量大，接入用户数量多、应用繁杂等特点，有些检测方法在这种环境中缺乏可行性。本文中只论述运营商网络（例如城域网）中的僵木蠕检测方法。 2.1僵木蠕检测原理根据僵尸网络的工作原理，其生命周期可以分为传播阶段、感染阶段、加入阶段与响应阶段。理论上完善的检测方案应该覆盖到僵尸网络的整个生命周期，但是考虑到网络部署环境的限定，这里讨论的检测方法只能覆盖到某些特定的阶段。另外根据控制协议不同，僵尸网络又可以分为基于IRC、基于HTTP、基于DNS和基于P2P等类型。好的检测方法应尽可能覆盖更多类型的僵尸网络。早期相关文献介绍方法主要针对基于IRC协议的僵尸网络，由于这种

智能视频监控中的运动目标检测研究

智能视频监控中的运动目标检测研究运动目标检测是图像处理的基本方法，也是图像分割和图像识别的基础。运动目标检测的准确性和实时性是视频分析和处理的关键。针对传统的运动目标检测易受噪声和光线的影响，出现虚假目标等不足，文章提出了一种改进的运动检测方法。该方法将边缘检测和帧间差分法相结合的方法来测运动目标，提高了准確性。标签：运动目标检测；帧差法；边缘检测；sobel 智能视频是计算机视觉和视频图像分析相结合的一门技术，通过摄像头记录的视频自动分析[1]，实时对动态场景中的运动目标进行监测和分析。随着现代计算机技术发展和图像处理技术的进步，智能视频已被广泛应用于交通流量控制、汽车自动驾驶以及监控和安防等领域。传统的视频监控系统，单纯的依靠监控人员对大量的图像信息进行筛选，工作量大，效率低。智能视频监控是基于传统的视频监控，通过图像处理技术自动检测出运动的目标，提高工作效率的一种方法。运动目标检测不仅是智能视频监控的基础，更是目标定位、识别和跟踪的前提。光流法、帧间差分法、背景差分法是运动目标检测的基本方法。背景差分法基本原理是利用当前图像和背景图像的差分通过阈值分割来提取运动目标，原理简单，易于实现，可以较好地提取出运动目标的信息，但是该方法对于环境背景的要求较高，对背景的变化非常敏感。光流法检测准确率高，对静态和动态背景都具有较好的适应性，但计算复杂，实时性差，抗噪声效果差，对硬件要求高，不能满足实际应用的需求[2]。帧间差分法对进行差分运算，实时性较强，对视频中光线敏感性不敏感，是运动目标检测常用的方法之一。帧间差分法用相邻差分法检测目标，能较好地适应环境变化较大的目标检测，但对于变化不明显的像素点难以进行有效检测，两帧目标重叠部分不易检测、出现虚假目标等问题[3]。边缘是图像分割的重要依据，也是纹理分析和图像识别的重要基础。图像的边缘不易受噪声和亮度的影响，将边缘检测和三帧帧差法相结合检测运动目标能提高算法的准确性和可靠性。首先将连续三帧进行边缘检测，然后将相邻相近做帧差，或者两幅差分图像，最后将将两幅差分图像做或运算，即得到运动目标区域。 1 边缘检测 1.1 边缘算子边缘是图像的最基本特征，指图像周围像素灰度有阶跃变化或屋顶状变化的像素集合，是图像分割的重要依据。Sobel算子方法简单，处理速度快，并且所取得的边缘光滑、连续，对噪声具有平滑作用，也是边缘检测常用的方法之一。Sobel算子是基于一阶微分的边缘检测算法，它是以像素为中心的邻域内做灰度的加权运算，根据该点是否处于极值状态来检测边缘。其基本原理是，设f（x，y）为像素点的灰度值：

网络监控流量及存储算法

1080P、720P、4CI F、CIF所需要的理论带宽【转】在视频监控系统中，对存储空间容量的大小需求是与画面质量的高低、及视频线路等都有很大关系。下面对视频存储空间大小与传输带宽的之间的计算方法做以先容。比特率是指每秒传送的比特(bit)数。单位为bps(BitPerSecond)，比特率越高，传送的数据越大。比特率表示经过编码(压缩)后的音、视频数据每秒钟需要用多少个比特来表示，而比特就是二进制里面最小的单位，要么是0，要么是1。比特率与音、视频压缩的关系，简单的说就是比特率越高，音、视频的质量就越好，但编码后的文件就越大；假如比特率越少则情况恰好相反。码流(DataRate)是指视频文件在单位时间内使用的数据流量，也叫码率，是视频编码中画面质量控制中最重要的部分。同样分辨率下，视频文件的码流越大，压缩比就越小，画面质量就越高。上行带宽就是本地上传信息到网络上的带宽。上行速率是指用户电脑向网络发送信息时的数据传输速率，比如用FTP上传文件到网上往，影响上传速度的就是“上行速率”。下行带宽就是从网络上下载信息的带宽。下行速率是指用户电脑从网络下载信息时的数据传输速率，比如从FTP服务器上文件下载到用户电脑，影响下传速度的就是“下行速率”。不同的格式的比特率和码流的大小定义表：传输带宽计算：比特率大小×摄像机的路数=网络带宽至少大小；注：监控点的带宽是要求上行的最小限度带宽(监控点将视频信息上传到监控中心)；监控中心的带宽是要求下行的最小限度带宽(将监控点的视频信息下载到监控中心)；例：

电信2Mbps的ADSL宽带，50米红外摄像机理论上其上行带宽是 512kbps=64kb/s，其下行带宽是2Mbps=256kb/。例：监控分布在5个不同的地方，各地方的摄像机的路数： n=10(20路)1个监控中心，远程监看及存储视频信息，存储时间为30天。不同视频格式的带宽及存储空间大小计算如下：地方监控点： CIF视频格式每路摄像头的比特率为512Kbps，即每路摄像头所需的数据传输带宽为512Kbps，10路摄像机所需的数据传输带宽为： 512Kbps(视频格式的比特率)×10(摄像机的路数)≈5120Kbps=5Mbps(上行带宽)即：采用CIF视频格式各地方监控所需的网络上行带宽至少为5Mbps；D1视频格式每路摄像头的比特率为 1.5Mbps，即每路摄像头所需的数据传输带宽为 1.5Mbps，10路摄像机所需的数据传输带宽为： 1.5Mbps(视频格式的比特率)×10(摄像机的路数)=15Mbps(上行带宽)即：采用D1视频格式各地方监控所需的网络上行带宽至少为15Mbps； 720P(100万像素)的视频格式每路摄像头的比特率为2Mbps，即每路摄像头所需的数据传输带宽为2Mbps，10路摄像机所需的数据传输带宽为： 2Mbps(视频格式的比特率)×10(摄像机的路数)=20Mbps(上行带宽) 即：采用720P的视频格式各地方监控所需的网络上行带宽至少为20Mbps；1080P(200万像素)的视频格式每路摄像头的比特率为4Mbps，浙江监控批发网

网络流量监控及分析工具的设计与实现

目录 1引言 0 1、1课题背景 0 1、2网络流量监控的引入 0 1、3课程设计的目的与任务 (1) 2相关的概念与技术 (2) 2、1TCP/IP体系结构 (2) 2、2原始套接字 (2) 3网络数据的采集技术分析 (3) 3、1Windows下原始数据包捕获的实现 (3) 3、2原始数据包捕获的关键函数 (4) 4网络流量监控系统各模块的设计与实现 (5) 4、1总体结构设计 (5) 4、2流程图设计 (6) 4、3各模块功能概述与实现 (6) 4、3、1数据包采集中各类的关系 (6) 4、3、2数据包捕获与分析模块 (6) 4、3、3流量获取模块 (8) 4、3、4数据统计模块 (10) 5分析工具测试 (10) 5、1测试环境 (10) 5、2测试步骤 (11) 5、3测试结果评价 (11) 6结束语 (12) 参考文献: (13) 1引言 1.1课题背景随着构建网络基础技术与网络应用的迅速发展以及用户对网络性能要求的提高,使得网络管理成为迫切需要解决的问题,有效的网络管理能够保证网络的稳定运行与持续发展,更重要的就是,随着网络规模的扩大与黑客技术的发展,入侵与攻击的案例日益增多,对稳定的网络服务、信息安全、互联网秩序都提出了严峻的挑战,网络安全管理在整个网络管理系统里扮演起更为重要的角色。 1.2网络流量监控的引入网络安全管理体系中,流量监控与统计分析就是整个管理的基础。

流量检测主要目的就是通过对网络数据进行实时连续的采集监测网络流量,对获得的流量数据进行统计计算,从而得到网络主要成分的性能指标。网络管理员根据流量数据就可以对网络主要成分进行性能分析管理,发现性能变化趋势,并分析出影响网络性能的因素及问题所在。此外,在网络流量异常的情况下,通过扩展的流量检测报警系统还可以向管理人员报警,及时发现故障加以处理。在网络流量检测的基础上,管理员还可对感兴趣的网络管理对象设置审查值范围及配置网络性能对象,监控实时轮询网络获取定义对象的当前值,若超出审查值的正常预定值则报警,协助管理员发现网络瓶颈,这样就能实现一定程度上的故障管理。而网络流量检测本身也涉及到安全管理方面的内容。由此可见,对于一个有效的网络安全管理系统来说,功能的实现都或多或少的依赖于流量信息的获取。因此网络流量信息的采集可以说就是网络安全管理系统得以实现的核心基石。它的应用可以在一定程度上检测到入侵攻击,可以有效地帮助管理人员进行网络性能管理,并利用报警机制协助网管人员采取对应的安全策略与防护措施,从而减少入侵攻击所造成的损失。 1.3课程设计的目的与任务该网络流量监控及分析工具主要用途就是通过实时连续地采集网络数据并对其进行统计,得到主要成分性能指标,结合网络流量的理论,通过统计出的性能指数观察网络状态,分析出网络变化趋势,找出影响网络性能的因素。课程设计开发的工具实现以下功能: (1)采用Winsock编写原始套接字Socket-Raw对数据包进行采集捕获,并可实现分类及自定义范围进行捕获; (2)对捕获的数据包进行一定的解析; (3)访问操作系统提供的网络性能参数接口,得到网卡总流量、输入流量与输出流量; (4)系统提供了多种方式显示结果,如曲线图、列表等; (5)使用IP帮助API获取网络统计信息; (6)实现对部分常见威胁的预警,可继续开发扩展其报警功能。

网络流量在线分析系统的设计与实现

综合实训报告题目：网络流量在线分析系统的设计与实现华中农业大学正方教务系统王枫指导老师：王建勇

信息学院计算机科学系目录一、实训目的 (3) 二、实训内容 (3) 三、主要设备及环境 (4) 四、设计与步骤 (5) 五、整理与小结 (17) 六、参考文献 (18)

一、实训目的设计并实现一个网络流量的分析系统。该系统具有以下功能：（1）实时抓取网络数据。（2）网络协议分析与显示。（3）将网络数据包聚合成数据流，以源IP、目的IP、源端口、目的端口及协议等五元组的形式存储。（4）计算并显示固定时间间隔内网络连接（双向流）的统计量（如上行与下行的数据包数目，上行与下行的数据量大小等）。在这些统计数据的基础上分析不同网络应用的流量特征。二、实训内容（1）能够实时抓取网络中的数据包。并实时显示在程序界面上。用户可自定义过滤条件以抓取所需要的数据包。（2）分析各个网络协议格式，能够显示各协议字段的实际意义。例如，能够通过该程序反映TCP三次握手的实现过程。（3）采用Hash链表的形式将网络数据以连接（双向流）的形式存储。（4）计算并显示固定时间间隔内网络连接（双向流）的统计量（如上行与下行的数据包数目，上行与下行的数据量大小等）。例如，抓取一段时间（如30分钟）的网络流量，将该段时间以固定时长（如1分钟）为单位分成若干个时间片，计算网络连接在每一个时间片内的相关统计量。并在上述统计数据的基础上分析不同应用如WEB、DNS、在线视频等服务的流量特征。注意，可根据实际的流量分析需要自己定义相关的统计量。

三、主要设备及环境硬件设备：（1）台式计算机或笔记本计算机(含网络适配器) 软件设备：（2）Windows操作系统（3）网络数据包捕获函数包，Windows平台为winpcap （4）编程语言选用C/C++。（5）编程环境为codeblocks

车载车流量监控系统方案

车载车流量监控系统使用说明书

1. 车载车流量监控系统随着现代社会人民生活水平的提高，经济的快速发展，交通拥挤、道路阻塞频繁发生，为了阻止交通拥堵现象的进一步恶化，各国政府启动智能交通计划。智能交通系统的关键在于交通信息的采集，开发成本低、可大量布设到各个路口的基于无线传感器网络的车流量监控系统，通过控制交叉口合适的信号参数，使不同方向的车流在时间上隔离，控制车流的运行秩序，实现交叉口车辆运行的安全、有序，是解决交通拥挤的一种基本手段。 2．车载车流量监控系统编写背景、目的及意义 2.1编写背景在汽车内安装无线通信模块，使汽车通过自身安装的传感器节点或道路基础设施上安装的无线传感器节点感知行驶途中的各种信息，已经成为提高行驶安全和城市的交通性能的一种重要手段。[1]大量的车辆传感器节点通过车上以及道路基础设施上安装的无线通信设备，可构成车载无线传感器网络[2],通过车辆之间的中继传输得到全面的城市交通信息。车载无线网络可以让行驶者或交管部门得到车辆的状态数据和城市的交通数据。车辆状态数据包括行驶时的各种内在状态、比如位置或快慢等；交通数据包括交通流量或路面状况等。除了车上安装的传感装置外，驾驶员也可以通过对道路和交通的观察，获知复杂事件，如发生的交通事故、比较危险的路段等即时事件。世界各国的研究机构在近年来对车载无线传感器网络持续关注，美国联邦通信委员会(FCC)1999年在5.9GHz的频谱上为智能交通通信分配了75MHz的带宽[3]，并制定了DSRC协议。这个75MHz的频带包括了7个10MHz的信道，另外还提供了1个信道用于传递控制信息和6个信道传递服务信息。DSRC协议是一个

网络流量监测管理系统的研究与实现

龙源期刊网 https://www.360docs.net/doc/13914369.html, 网络流量监测管理系统的研究与实现作者：何荣毅来源：《硅谷》2008年第09期 [摘要]通过应用MRTG软件，搭建一个基于SNMP协议和NETFLOW技术的网络流量监测管理系统。运用信息过滤技术和数据库管理设计，解决数据拥堵和数据查询方式单一的问题。 [关键词]流量监测S NMP协议 NETFLOW技术中图分类号：TP3 文献标识码：A 文章编号：1671－7597（2008）0510020－01 一、引言随着通信技术和网络的快速发展，各种信息网络形成了一个信息爆炸的网络空间。为了更好地利用丰富的网络资源，网络管理得到越来越多的重视。流量监测对于网络管理有着重要意义，是网络管理系统中一个重要的部分。利用合适的网络工具监测网络的流量和性能，能够及时发现网络存在的瓶颈，了解网络的运行状态，从而优化网络结构，提高网络服务质量。高效的网络流量监测不仅能够让网络管理人员及时了解网络的运行状态，对网络出现的问题做出及时调整或排除，也可作为网络规划和排除网络故障的依据。MRTG(Multi Router Traffic Grapher)是一个监控网络链路流量负载的工具软件，它通过SNMP(Simple Network Management Protocol)协议从设备得到网络的流量信息，并将流量负载以HTML文档方式显示给用户，以非常直观的形式显示流量负载，能起到很好的流量监测管理作用。二、网络流量监测管理系统方案提出一种应用MRTG软件工具，利用SNMP与NETFLOW技术相组合，采用信息过滤模块，实现数据库便捷访问，最后达到高效率的流量监测目的的网络流量监测系统。系统设计采用了基于SNMP、NEWFLOW的网络管理框架模型，进而开发和实现了在操作系统平台上运行的信息采集系统。系统可以根据网络管理人员的需求提供详细的信息查询定位到某一自治域、路由器及其端口、设定IP地址的流量出入情况。基于SNMP、NEWFLOW的路由器采集到与其它互联单位的流量出入数据，并根据需要存入数据库。同时监测程序可以对互联单位的

异常流量产品分析

支持自定义流量异常阈值支持基于自适应基线 P2P检测与控制 DOS/DDOS检测蠕虫检测其他攻击检测业务流量统计服务器流量统计传输层流量统计应用层流量统计IP流量统计告警类型分布攻击源统计串联旁路流级数据（NetFlow/sFLow）流量镜像（SPAN）主要功能响应方式部署方式采集方式网络异常检测流量统计流量分析的目的协议识别带宽管理流量清洗主动响应被动响应告警统计

H3C AFC异常流量清洗产品及时发现网络中各种DDOS威胁并实现对攻击流量的快速过滤√ 对应用层协议支持很少 √ √ × √ 支持对各种网络层和应用层的DOS/DDOS攻击的检测 × × √ √ √ √ √ √ × √ √ 流量的清洗与回注 √ √ √

天融信 TopFlow应用流量管理系统专业的应用流量分析及控制系统 √ 支持的协议很多，偏重P2P类的协议√ √ 较弱，UDP Flood类垃圾包攻击检测× × √ √ √ √ √ √ √ ×

联想网域异常流量管理系统网络流量可视，可控。 √ √ √ P2P应用的识别与阻断、带宽限制、连接数限制 √ 支持对各种网络层和应用层的DOS/DDOS攻击的检测√ × √ √ √ √ √ √ 黑洞路由导入、流量牵引及净化。支持与异常流量过滤设备联动 √ 实时的邮件SNMP Trap及Syslog报警和日志 √ √ （集中部署/分布式部署） √

绿盟网络流量分析系统解决与网络和业务规划相关的问题；解决与网络安全运营相关的问题。√ 支持默认端口的协议 √ √ √ P2P应用的识别支持对各种网络层和应用层的DOS/DDOS攻击的检测 √ √ × √ √ √ √ √ √ × × √ 支持与异常流量过滤设备联动 √ 实时的邮件SNMP Trap及Syslog报警和日志 √ √ （集中部署/分布式部署） √

智能视频分析技术在视频监控中的应用教学文稿

智能视频分析技术在视频监控中的应用视频监控是安全防范系统的重要组成部分，是一种防范能力较强的综合系统。目前，随着社会经济的飞速发展和科学技术的进步，视频监控系统以其直观、准确、及时和内容丰富而广泛应用于许多场合，然而视频监控的规模化应用致使通过人的因素去辨别很难做到万无一失。计算机技术的飞速发展为视频监控的应用提供了更大的展示舞台，智能化在数字安全防范领域也得到越来越多的应用。如果在视频监控中加入视频的智能分析，可以对所关注的视频源实时分析，有效避免信息遗漏，使各种高风险行为在发生之初就被发现，并提醒值班人员，从而避免危险发生。这不但能大大提高视频监控的效果和质量，有力降低监控工作人员的工作强度，同时使也使整个监控系统得到很好的融合。一、智能视频分析在视频监控中的必要性传统的视频监控系统通常是通过人员监控和录像来实现安全防护，实际上并不能主动有效地保障安全，尤其是监控点过多的时候，人员监控根本无法顾及所有监控场景；同时，监控人员的注意力很难保证二十四小时都能准确高效地监控所有监控场景；此外，"被动录像"通常只能在"事件"发生之后通过调用录像进行回放取证，一方面损失已经产生不可能挽回，另一方面，通过人工回放录像取证的方式效率十分低下。智能分析视频监控则可以有效地解决以上问题。智能监控的主要特征是采用计算机视觉方式，在几乎不需要人为干预的情况下，通过对摄像机拍录的图像序列进行定位、识别和跟踪，并在此基础上分析和判断目标的行为，从而做到既能完成日常管理又能在异常情况发生的时候及时作出反应，如图1所示。智能监控的主要优势有：群体行为分析、入侵检测和运动目标跟踪、有效扩展视频资源的用途、滞留物和搬移物报警、对摄像机保护、降低人力成本。图1 视频智能分析的必要性二、智能视频分析的实现原理视频智能分析是计算机图像视觉技术在安防领域应用的一个分支，是一种基于目标行为的智能监控技术。区别于传统的移动侦测技术，智能视频分析首先将场景中的背景和目标分离，识别出真正的目标，去除背景干扰（如树叶抖动、水面波浪、灯光变化），进而分析并追踪在摄像机场景内出现的目标行为。

网络流量监测的常用的四种方法

网络流量监测的常用的四种方法网络流量检测对于企业网络管理员来说算是必要的技术之一，通过网络流量检测可以使得网络安全管理员监控企业网络存在的异常与威胁。下面是几种常用的流量监测分析手段。基于小草上网行为管理软路由的流量监测小草上网行为管理软路由是专业的企业局域网流量控制管理软件，基于应用、员工、部门、流控策略等多角度全方位分析网络流量；每5秒刷新一次，实时透视网络流量；快速发现网络问题和迅速定位网络故障；并且能够实现企业带宽流量的智能管理，科学合理的分配企业流量！基于硬件探针的监测技术硬件探针是一种用来获取网络流量的硬件设备，使用时将它串接在需要捕捉流量的链路中，通过分流链路上的数字信号而获取流量信息。一个硬件探针监视一个子网(通常是一条链路)的流量信息。对于全网流量的监测需要采用分布式方案，在每条链路部署一个探针，再通过后台服务器和数据库，收集所有探针的数据，做全网的流量分析和长期报告。与其他的3种方式相比，基于硬件探针的最大特点是能够提供丰富的从物理层到应用层的详细信息。但是硬件探针的监测方式受限于探针的接口速率，一般只针对1000M以下的速率。而且探针方式重点是单条链路的流量分析，Netflow更偏重全网流量的分析。基于流量镜像协议分析流量镜像（在线TAP）协议分析方式是把网络设备的某个端口（链路）流量镜像给协议分析仪，通过7层协议解码对网络流量进行监测。与其他3种方式相比，协议分析是网络测试的最基本手段，特别适合网络故障分析。缺点是流量镜像（在线TAP）协议分析方式只针对单条链路，不适合全网监测。之基于SNMP的流量监测技术基于SNMP的流量信息采集，实质上是测试仪表通过提取网络设备Agent提供的MIB（管理对象信息库）中收集一些具体设备及流量信息有关的变量。基于SNMP收集的网络流量信息包括：输入字节数、输入非广播包数、输入广播包数、输入包丢弃数、输入包错误数、输入未知协议包数、输出字节数、输出非广播包数、输出广播包数、输出包丢弃数、输出包错误数、输出队长等。相似的方式还包括RMON。与其他的方式相比，基于SNMP的流量监测技术受到设备厂家的广泛支持，使用方便，缺点是信息不够丰富和准确，分析集中在网络的2、3层的信息和设备的消息。SNMP方式经常集成在其他的3种方案中，如果单纯采用SNMP 做长期的、大型的网络流量监控，在测试仪表的基础上，需要使用后台数据库。

基于SNMP协议的简单网络流量监控管理系统的设计要点

基于SNMP协议的简单网络流量监控管理系统的设计摘要：随着网络通信技术的不断进步，网络应用越来越广泛，网络流量形式变得复杂，内容变得庞大，因此网络流量统一监控与管理是非常必要的。本设计介绍了SNMP的基本原理，提出了在Linux下实现基于SNMP的网络流量监控系统方案，结合某网络管理中的实际问题，阐述了这一方案的具体实施，并对该系统提出了展望。关键词：流量监控；SNMP(简单网络管理协议)；MIB(管理信息库)；WBM (基于Web的网络管理) 在校园网及其他大型企业网的复杂应用环境中，网络面临的攻击及威胁主要来源于网络部，如大量病毒、网内主机的主动攻击及网络异常流量的突增都将引起网络设备负荷过重，从而导致网络拥塞，并可能进一步导致网络瘫痪。因此，基于全网所有网络设备、服务器群组的流量状况的24 h实时监控和日志及流量分析统计，将对于保障复杂环境下的整个网络的安全、设备稳定，以及防止服务器群组被攻击有极大的意义。目前网络管理标准主要有两大体系：OSI的 CMIS(Common Management Information Service。公共管理信息服务)／ CMIP(Common ManagementInformation Protocol，公共管理信息协议)和IETF的SNMP(Simple Network Management Protocol，简单网络管理协议)。由于CMIP实现复杂、结构庞大，占用资源多，目前还没有开发出实际可用的产品。SNMP由于易于实现和广泛的TCP／IP应用基础而获得支持。随着SNM2Pv2和SNMPv3的相继出现，改善了SNMP中的安全问题，使SNMP得到快速发展。一、 SNMP原理 SNMP由IAB(Internet Activities Board)制定，是基于TCP／IP协议的各种互联网络的管理标准。由于它本身简单明了，实现较容易，占用系统资源少，所以得到了众多网络厂家的青睐，而成为工业标准投入使用。现已被广泛接受，差不多所有的网络产品，包括交换机(Switch)、路由器(Router)、集线器(HUB)、不间断电源(UPS)及调制解调器(Modem)等网络硬件及许多软件均支持SNMP。几乎所有的网络厂商推出的针对硬件管理的网络管理系统都支持SNMP，如HP公司的Open view、IBM公司的Net View、Cabletron公司的Spectrum都是基于SNMP标准设计的。它的管理体系结构包括4个部分：管理站(SNMP manager)、管理代理(SNMP agent)、管理信息库(MIB，management information base)和网络管理协议。 1.1 管理站管理站发出命令，实现对网络设备的管理。管理站中有管理应用程序，按照SNMP协议实现与管理代理的通信，完成对MIB数据的读取和设置。 1.2 管理代理

网络流量监控软件的设计与实现设计

长沙理工大学《网络协议编程》课程设计报告网络流量监控软件的设计与实现 xxx 学院计算机与通信工程专业网络工程班级网络12-1 学号 20125808** 学生姓名 xxxxxx 指导教师 xxxxx 课程成绩完成日期 2015年9月25日

课程设计成绩评定院系计算机与通信工程专业网络工程班级网络1201 学号xxxxxx 学生姓名xxxxxx指导教师xxxxxx 指导教师对学生在课程设计中的评价指导教师成绩指导教师签字年月日课程设计答辩组对学生在课程设计中的评价答辩组成绩答辩组长签字年月日

课程设计综合成绩注：课程设计综合成绩＝指导教师成绩×60%＋答辩组成绩×40% 课程设计任务书计算机与通信工程学院网络工程专业

网络流量监控软件的设计与实现学生姓名：xxxxxx 指导老师：xxxxxx 摘要互联网迅速发展的同时，网络安全问题日益成为人们关注的焦点，病毒、恶意攻击、非法访问等都容易影响网络的正常运行，多种网络防御技术被综合应用到网络安全管理体系中，流量监控系统便是其中一种分析网络状况的有效方法，它从数据包流量分析角度，通过实时地收集和监视网络数据包信息，来检查是否有违反安全策略的行为和网络工作异常的迹象。在研究网络数据包捕获、 TCP/IP原理的基础上，采用面向对象的方法进行了需求分析与功能设计。该系统在VisualC++6.0环境下进行开发，综合采用了Socket-Raw、注册表编程和IP助手API等VC编程技术，在系统需求分析的基础上，对主要功能的实现方案和技术细节进行了详细分析与设计，并通过测试，最终实现了数据包捕获、流量监视与统计主要功能，达到了预定要求，为网络管理员了解网络运行状态提供了参考。关键词网络管理；数据采集；流量统计；Winsock2

网络流量监测技术及方法的探讨

科技信息一、网络流量监测的意义网络流量监测主要为对网络数据进行连续的采集，通过连续采集网络数据监测网络的流量。获得网络流量数据后对其进行统计和计算，从而得到网络及其主要成分的性能指标。定期形成性能报表，并维护网络流量数据库或日志，存储网络及其主要成分的性能的历史数据，网络管理员根据当前的和历史的数据就可对网络及其主要成分的性能进行性能管理，通过数据分析获得性能的变化趋势。分析制约网络性能的瓶颈问题。此外，在网络性能异常的情况下网络流量监测系统还可向网络管理者进行告警，使故障及时得到处理。在网络流量监测的基础上，管理员可对感兴趣的网络管理对象设置阈值范围以配置网络阈值对象，阈值对象监控实时轮询网络获取定义对象的当前值。若超出阀值的上限和下限则报警，帮助管理员发现网络瓶颈，这样即可实现一定程度上的故障管理，而网络流量监测本身也涉及到安全管理方面的内容。所以，网络流量监测是网络管理中一个非常基础也非常重要的一个环节，研究网络流量监测是非常有意义的。二、网络流量的特性通过对互联网通信量的测量，人们发现互联网通信量的主要特性有：１、数据流是双向的，但通常是非对称的互联网上大部分的应用都是双向交换数据的，因此网络的流是双向的。但是两个方向上的数据率有很大的差异，这是因为从网站下载时会导致从网站到客户端方向的数据量比另外一个方向多。２、大部分ＴＣＰ会话是短期的，超过９０％的ＴＣＰ会话交换的数据量小于１０Ｋ字节，会话持续时间不超过几秒。虽然文件传输和远程登陆这些ＴＣＰ对话都不是短期的，但是由于８０％的ＷＷＷ文档传输都小于１０Ｋ字节，ＷＷＷ的巨大增长使其在这方面产生了决定性的影响。３、包的到达过程不是泊松过程，大部分传统的排队理论和通信网络设计都假设包的到达过程是泊松过程，即包到达的间断时间的分布是独立的指数分布。简单的说，泊松到达过程就是事件（例如地震，交通事故，电话等）按照一定的概率独立的发生。泊松模型因为指数分布的无记忆性也就是事件之间的非相关性而使其在应用上要比其他模型更加简单。然而近年来对互联网络通信量的测量显示包到达的过程不是泊松过程。包到达的间断时间不仅不服从指数分布，而且不是独立分布的。大部分时候是多个包连续到达，即包的到达是有突发性的。很明显，泊松过程不足以精确地描述包的到达过程。造成这种非泊松结构的部分原因是数据传输所使用的协议。非泊松过程的现象迫使人们怀疑使用简单的泊松模型研究网络的可靠性，从而促进了网络通信量模型的研究。４、网络通信量具有局域性，互联网流量的局域性包括时间局域性和空间局域性。用户在应用层对互联网的访问反映在包的时间和源及目的地址上，从而显示出基于时间的相关（时间局域性）和基于空间的相关（空间局域性）。三、网络流量的监测技术１、基于流量镜像协议分析流量镜像（在线ＴＡＰ）协议分析方式是把网络设备的某个端口（链路）流量镜像给协议分析仪，通过７层协议解码对网络流量进行监测。与其他３种方式相比，协议分析是网络测试的最基本手段，特别适合网络故障分析。缺点是流量镜像（在线ＴＡＰ）协议分析方式只针对单条链路，不适合全网监测。２、基于硬件探针的监测技术硬件探针是一种用来获取网络流量的硬件设备，使用时将它串接在需要捕捉流量的链路中，通过分流链路上的数字信号而获取流量信息。一个硬件探针监视一个子网（通常是一条链路）的流量信息。对于全网流量的监测需要采用分布式方案，在每条链路部署一个探针，再通过后台服务器和数据库，收集所有探针的数据，做全网的流量分析和长期报告。与其他的３种方式相比，基于硬件探针的最大特点是能够提供丰富的从物理层到应用层的详细信息。但是硬件探针的监测方式受限于探针的接口速率，一般只针对１０００Ｍ以下的速率。而且探针方式重点是单条链路的流量分析，Ｎｅｔｆｌｏｗ更偏重全网流量的分析。３、基于ＳＮＭＰ的流量监测技术基于ＳＮＭＰ的流量信息采集，实质上是测试仪表通过提取网络设备Ａｇｅｎｔ提供的ＭＩＢ（管理对象信息库）中收集一些具体设备及流量信息有关的变量。基于ＳＮＭＰ收集的网络流量信息包括：输入字节数、输入非广播包数、输入广播包数、输入包丢弃数、输入包错误数、输入未知协议包数、输出字节数、输出非广播包数、输出广播包数、输出包丢弃数、输出包错误数、输出队长等。相似的方式还包括ＲＭＯＮ。与其他的方式相比，基于ＳＮＭＰ的流量监测技术受到设备厂家的广泛支持，使用方便，缺点是信息不够丰富和准确，分析集中在网络的２、３层的信息和设备的消息。ＳＮＭＰ方式经常集成在其他的３种方案中，如果单纯采用ＳＮＭＰ做长期的、大型的网络流量监控，在测试仪表的基础上，需要使用后台数据库。４、基于Ｎｅｔｆｌｏｗ的流量监测技术Ｎｅｔｆｌｏｗ流量信息采集是基于网络设备（Ｃｉｓｃｏ）提供的Ｎｅｔｆｌｏｗ机制实现的网络流量信息采集。Ｎｅｔｆｌｏｗ为Ｃｉｓｃｏ之专属协议，已经标准化，并且Ｊｕｎｉｐｅｒ、ｅｘｔｒｅｍｅ、华为等厂家也逐渐支持，Ｎｅｔｆｌｏｗ由路由器、交换机自身对网络流量进行统计，并且把结果发送到第３方流量报告生成器和长期数据库。一旦收集到路由器、交换机上的详细流量数据后，便可为网络流量统计、网络使用量计价、网络规划、病毒流量分析，网络监测等应用提供计数根据。同时，Ｎｅｔｆｌｏｗ也提供针对ＱｏＳ（ＱｕａｌｉｔｙｏｆＳｅｒ－ｖｉｃｅ）的测量基准，能够捕捉到每笔数据流的流量分类或优先性特性，而能够进一步根据ＱｏＳ进行分级收费。与其他的方式相比，基于Ｎｅｔｆｌｏｗ的流量监测技术属于中央部署级方案，部署简单、升级方便，重点是全网流量的采集，而不是某条具体链路；Ｎｅｔｆｌｏｗ流量信息采集效率高，网络规模越大，成本越低，拥有很好的性价比和投资回报。缺点是没有分析网络物理层和数据链路层信息。Ｎｅｔｆｌｏｗ方式是网络流量统计方式的发展趋势。在综合比较四种技术之后，不难得出以下结论：基于ＳＮＭＰ的流量监测技术能够满足网络流量分析的需要，且信息采集效率高，适合在各类网络中应用。参考文献［１］吕军，李星．网络测量分析及研究综述．计算机工程与应用，２００６．Ｐ：１９．［２］张峰，雷振明．高速网络流测量及模型研究．计算机工程与应用，２００７Ｐ：２８．［３］陈志松．Ｗｉｎｄｏｗｓ环境下网络流量监测与分析．计算机工程与应用，２００９．［４］石志国．网络流量监测技术及流量抽样方法的研究．清华大学出版社，２００７．网络流量监测技术及方法的探讨湖南机电职业技术学院李玉林［摘要］网络流量监测是网络管理的基础。为了更好地管理网络和改善网络的运行，网络管理者需要知道其网络的流量情况。比如，当网络管理者发现某些设备的流量负载过重时，就可以考虑在更换新的设备或者改造线路；当网络管理者发现了网络中数据流量变化的规律时，可以更好地调配设备，有效地利用资源。一个能够显示网络设备流量的工具，使网络管理者能够直观地监测设备流量的变化，对网络设备进行有效管理是很有必要的。［关键词］网络流量技术网络流量监测方法计算机与网络２１３ ——

绿盟威胁分析系统产品白皮书

本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属绿盟科技所有，受到有关产权及版权法保护。任何个人、机构未经绿盟科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。 ■版本变更记录时间版本说明修改人 2013-10-10 V1.0 新建唐伽佳

目录一. 前言 (1) 二. 攻防的新特点 (2) 三. 攻防技术发展特点 (3) 四. 绿盟威胁分析系统 (4) 4.1体系结构 (6) 4.2主要功能 (6) 4.3部署方案 (10) 五. 结论 (10)

插图索引图 4.1 绿盟威胁分析系统体系架构 (6) 图 4.2 NSFOCUS TAC 虚拟执行过程图 (8) 图 4.3 NSFOCUS TAC SPAN和TAP部署方案 (10) 图 4.4 NSFOCUS NIPS（N系列）多链路防护解决方案......................................... 错误！未定义书签。

一. 前言如今，政府和企业同时面临着一个不断演变的网络威胁环境。最初的黑客攻击是为了获得影响力及自我满足去攻击媒体网站，或者使用DoS方式来中断网站的服务；而现在已演变成为了经济、政治等目的的攻击。攻击者能够通过窃取知识产权来直接获取利益，也可以入侵、窃取客户的个人金融信息，更有甚者破坏对方的服务以至国家的基础设施。动机的变化，同时也带来了攻击方式的变化。从过去广泛、漫无目的的攻击威胁，在数年内迅速的转化为针对受害者组织将造成严重后果的高级可持续威胁（Advanced Persistent Threat）。高级可持续威胁（APT）是由美国空军的信息安全分析师与2006年创造的术语，一般来说，高级可持续威胁具备以下三个特点：高级：攻击者为黑客入侵技术方面的专家，能够自主的开发攻击工具，或者挖掘漏洞，并通过结合多种攻击方法和工具，以达到预定攻击目标。持续性渗透：攻击者会针对确定的攻击目标，进行长期的渗透。在不被发现的情况下，持续攻击以获得最大的效果。威胁：这是一个由组织者进行协调和指挥的人为攻击。入侵团队会有一个具体的目标，这个团队训练有素、有组织性、有充足的资金，同时有充分的政治或经济动机。此类APT威胁往往可以绕过防火墙、IPS、AV以及网闸等传统的安全机制，悄无声息的从企业或政府机构获取高级机密资料。在2012年Verizon信息外泄调查报告中可以看到，2011年发生的重大信息数据外泄的受访组织中，有59%是在相关执法机构告知后才知道信息外泄的情况。 Gartner在2012年的报告中说道：“越来越多的人同意APT攻击是可以避开我们传统的基于特征的安全检测机制，并且存在与系统内的时间越来越长，无法被侦测出来。威胁真的发生了，你已经被入侵，只是你不知道而已”。高级可持续威胁（APT）已经成为当今公认最具威胁的网络攻击类型。