網(wǎng)絡(luò)流量反映了網(wǎng)絡(luò)的運行狀態(tài)，是判別網(wǎng)絡(luò)運行是否正常的關(guān)鍵數(shù)據(jù)，在實際的網(wǎng)絡(luò)中，如果對網(wǎng)絡(luò)流量控制得不好或發(fā)生網(wǎng)絡(luò)擁塞，將會導致網(wǎng)絡(luò)吞吐量下降、網(wǎng)絡(luò)性能降低。通過流量測量不僅能反映網(wǎng)絡(luò)設(shè)備(如路由器、交換機等)的工作是否正常，而且能反映出整個網(wǎng)絡(luò)運行的資源瓶頸，這樣管理人員就可以根據(jù)網(wǎng)絡(luò)的運行狀態(tài)及時采取故障補救措施和進行相關(guān)的業(yè)務(wù)部署來提高網(wǎng)絡(luò)的性能。對網(wǎng)絡(luò)進行流量監(jiān)測分析，可以建立網(wǎng)絡(luò)流量基準，通過連接會話數(shù)的跟蹤、源/目的地址對分析、TCP流的分析等，能夠及時發(fā)現(xiàn)網(wǎng)絡(luò)中的異常流量，進行實時告警，從而保障網(wǎng)絡(luò)安全。本節(jié)將介紹的Ntop便可以提供詳細的網(wǎng)絡(luò)流量明細表。

1.Ntop簡介

Ntop是一種監(jiān)控網(wǎng)絡(luò)流量的工具，用NTOP顯示網(wǎng)絡(luò)的使用情況比其他一些網(wǎng)管軟件更加直觀、詳細。NTOP甚至可以列出每個節(jié)點計算機的網(wǎng)絡(luò)帶寬利用率。

2.Ntop主要功能

Ntop主要提供以下一些功能：

①.自動從網(wǎng)絡(luò)中識別有用的信息;

②.將截獲的數(shù)據(jù)包轉(zhuǎn)換成易于識別的格式;

③.對網(wǎng)絡(luò)環(huán)境中通信失敗的情況進行分析;

④.探測網(wǎng)絡(luò)環(huán)境中的通信瓶頸,記錄網(wǎng)絡(luò)通信的時間和過程。

Ntop可以通過分析網(wǎng)絡(luò)流量來確定網(wǎng)絡(luò)上存在的各種問題;也可以用來判斷是否有黑客正在攻擊網(wǎng)絡(luò)系統(tǒng);還可以很方便地顯示出特定的網(wǎng)絡(luò)協(xié)議、占用大量帶寬的主機、各次通信的目標主機、數(shù)據(jù)包的發(fā)送時間、傳遞數(shù)據(jù)包的延時等詳細信息。

3. Ntop支持的協(xié)議

Ntop比MRTG更容易安裝，如果用手機話費來比喻流量，MRTG便如同提供總費用的電話賬單，而Ntop則是列出每一筆費用的明細一樣。目前市場上可網(wǎng)管型的交換機、路由器都支持SNMP協(xié)議，Ntop支持簡單網(wǎng)絡(luò)管理協(xié)議，所以可以進行網(wǎng)絡(luò)流量監(jiān)控。Ntop幾乎可以監(jiān)測網(wǎng)絡(luò)上的所有協(xié)議: TCP/UDP/ICMP、(R)ARP、IPX、Telnet、DLC、Decnet、DHCP-BOOTP、AppleTalk、Netbios、TCP/UDP、FTP、HTTP、DNS、Telnet、SMTP/POP/IMAP、SNMP、NNTP、NFS、X11、SSH和基于P2P技術(shù)的協(xié)議eDonkey。

4.Ntop支持插件

①.ICMPWATCH：

用于端口檢測很多人都已經(jīng)知道了可以借助NETSTAT -AN來查看當前的連接與開放的端口，但NETSTAT并不萬能，比如Win2000遭到OOB攻擊的時候，不等NETSTAT就已經(jīng)死機了。為此，出現(xiàn)了一種特殊的小工具——端口監(jiān)聽程序。端口監(jiān)聽并不是一項復雜的技術(shù)，但卻能解決一些局部問題。

②.NetFlow：

近年來，很多服務(wù)提供商一直使用NetFlow。因為NetFlow在大型廣域網(wǎng)環(huán)境里具有伸縮能力，可以幫助支持對等點上的最佳傳輸流，同時可以用來進行建立在單項服務(wù)基礎(chǔ)之上的基礎(chǔ)設(shè)施最優(yōu)化評估，解決服務(wù)和安全問題方面所表現(xiàn)出來的價值，為服務(wù)計費提供基礎(chǔ)。

③.rrdPlugin：

用于生成流量圖。RRD的作者，也是MRTG的作者，RRD可以簡單的說是MRTG的升級版，它比MRTG更靈活，更適合用shell、perl等程序來調(diào)用，成生所要的圖片。

④.sFlow：

sFlow(RFC 3176)是基于標準的最新網(wǎng)絡(luò)導出協(xié)議，能夠解決當前網(wǎng)絡(luò)管理人員面臨的很多問題。sFlow已經(jīng)成為一項線速運行的“永遠在線”技術(shù)，可以將sFlow技術(shù)嵌入到網(wǎng)絡(luò)路由器和交換機 ASIC芯片中。與使用鏡像端口、探針和旁路監(jiān)測技術(shù)的傳統(tǒng)網(wǎng)絡(luò)監(jiān)視解決方案相比，sFlow能夠明顯地降低實施費用，同時可以使面向每一個端口的全企業(yè)網(wǎng)絡(luò)監(jiān)視解決方案成為可能。與數(shù)據(jù)包采樣技術(shù)(如RMON)不同，sFlow是一種導出格式，它增加了關(guān)于被監(jiān)視數(shù)據(jù)包的更多信息，并使用嵌入到網(wǎng)絡(luò)設(shè)備中的sFlow代理轉(zhuǎn)發(fā)被采樣數(shù)據(jù)包，因此在功能和性能上都超越了當前使用的RMON、RMON II和NetFlow技術(shù)。sFlow技術(shù)獨特之處在于它能夠在整個網(wǎng)絡(luò)中，以連續(xù)實時的方式監(jiān)視每一個端口，但不需要鏡像監(jiān)視端口，對整個網(wǎng)絡(luò)性能的影響也非常小。

另外，Ntop還允許用戶安裝插件用，以提供對于特定協(xié)議下具體統(tǒng)計數(shù)據(jù)的報告，如NFS和NetBIOS插件。當然，Ntop也可以生成運行它的主機的統(tǒng)計數(shù)據(jù)，列出開放套接字、接收和發(fā)送的數(shù)據(jù)以及每個過程的相關(guān)主機對。

二、Ntop系統(tǒng)的部署

對于共享網(wǎng)絡(luò)，只須將連接到共享網(wǎng)絡(luò)中的流量采集點的網(wǎng)絡(luò)接口置為混雜工作模式，就可實現(xiàn)采集網(wǎng)絡(luò)流量數(shù)據(jù)的功能。與交換網(wǎng)絡(luò)相比，網(wǎng)絡(luò)發(fā)生擁塞時，集線器網(wǎng)絡(luò)的可靠性很低，SNMP問詢命令和回應數(shù)據(jù)包可能發(fā)生延遲或丟失，這時候Ntop檢測數(shù)據(jù)也就不準確了，對于交換網(wǎng)絡(luò)的情況，需要交換設(shè)備的支持(如具有SPAN端口的交換機)。流量采集主機連接到交換設(shè)備的一個端口后，通過交換機的SPAN至(Switched PortAnalyzer)端口把要分析的所有流量鏡像到該采集點上。SPAN在使用中非常靈活，可以監(jiān)視交換機的單個端口，也可以監(jiān)視多個端口，還可以對VLAN進行監(jiān)視。這就使流量異常監(jiān)測系統(tǒng)具有了很大的靈活性。在一些流量比較大的企業(yè)，我們一般選用兩個網(wǎng)卡，一塊網(wǎng)卡作為Ntop專用嗅探網(wǎng)卡，連到核心交換機的鏡像端口，另一塊配上IP地址并開放相應端口(默認是3000，也可以修改)，連接交換機的作用是用來登錄Web界面進行管理，Ntop的部署如圖所示。

Ntop沒有自己的捕包工具，它需要一個外部的捕包程序庫：libpcap。Ntop利用libpcap獨立地從物理鏈路上進行捕包，它可以借助libpcap的平臺成為一個真正的與平臺無關(guān)的應用程序。它直接從網(wǎng)卡捕包的任務(wù)由libpcap承擔，所以我們必須確保Linux系統(tǒng)下正確安裝了libpcap。

三.Ntop安裝配置

Ntop工作時需要使用zlib、gd、libpcap及l(fā)ibpng的函數(shù)，安裝前須檢查服務(wù)器中是否已經(jīng)含有下列的軟件：zlib(zlib-1.1.3-xx以上)、gd(gd-1.3.xx以上)、libpng?？梢允褂肦PM來確認：

rpm -qa | grep libpcap

rpm -qa | grep zlib

rpm -qa | grep gd

rpm -qa | grep libpng

如果發(fā)現(xiàn)缺少任何一個就需要自行安裝，舉例如下。

1.安裝libpcap

# tar zxvf libpcap-0.9.8.tar.gz

# cd libpcap-0.9.8

#./configure

# make&&make install

2.安裝RRDtool

RRDtool是指Round Robin Database 工具(環(huán)狀數(shù)據(jù)庫)。Round Robin是一種處理定量數(shù)據(jù)以及當前元素指針的技術(shù)。想象一個周邊標有點的圓環(huán)，這些點就是時間存儲的位置。從圓心畫一條到圓周的某個點的箭頭，這就是指針。一個圓環(huán)上沒有起點和終點，可以一直存儲下去。經(jīng)過一段時間后，所有可用的位置都會被用過，該循環(huán)過程會自動重用原來的位置。這樣，數(shù)據(jù)集不會增大，并且不需要維護。

#tar -zxvf rrdtool-1.3.1.tar.gz

#export PKG_CONFIG_PATH=/usr/lib/pkgconfig/

#./configure

#make

#make install

3.安裝Ntop

下載ntop安裝包：http://www.nmon.net/packages/rpm/x86_64/ntop/

#rpm -ivh ntop-3.3.10-.x86.rpm

#yum install ntop \\CentOS系統(tǒng)

#apt-get install ntop \\Debian系統(tǒng)

____注意:在Ossim 系統(tǒng)中已經(jīng)為我們安裝好Ntop軟件，可以直接使用。如果您選擇單獨安裝可以繼續(xù)參考以下內(nèi)容。另外如果您使用Red Hat Linux 、Fedora或CentOS請首先關(guān)閉 SELinux功能。

4.建立Ntop用戶并配置權(quán)限

#useradd ntop

5.建立Ntop存放數(shù)據(jù)的目錄

#mkdir -p /var/ntop

#chown -R ntop.ntop /var/ntop

6.復制ntop.conf配置文件

#cp /ntop-3.3.10/ntop.conf.sample /etc/ntop.conf

7.設(shè)置管理密碼

在執(zhí)行ntop之前必須先建立管理員密碼，長度至少5位。使用參數(shù)-A建立管理員密碼

#ntop -A

8.Ntop的管理員密碼重置方法

Ntop的用戶密碼文件是經(jīng)過加密存儲在ntop_pw.db文件中，Ntop用戶密碼存儲位置：

64位版本：/var/lib/ntop_db_64/ntop_pw.db

64位版本需先刪除其密碼文件ntop_pw.db,然后用notp -A 重置管理員密碼后，最后重啟ntop服務(wù)就能生效。

#/etc/init.d/ntop restart

另外，注意一個細節(jié)，ntop的訪問日志位置在/var/log/ntop/目錄下,它的pcap log在/var/lib/ntop目錄下。

四、應用Ntop

1.啟動Ntop

#/usr/local/bin/ntop -i eth0 -d -L -u ntop -P /var/ntop --use-syslog=daemon

命令行中各項簡要介紹如下。

l -i "eth0"：指定監(jiān)聽網(wǎng)卡。

l -d：后臺執(zhí)行。

l -L：輸出日志寫入系統(tǒng)日志(/var/log/messages)。

l -u ntop：指定使用Ntop身份執(zhí)行。

l -P /var/ntop：指定Ntop數(shù)據(jù)庫的文件位置。

l -use-syslog=daemon：使用系統(tǒng)日志進程。

l -w：使用其他端口，指定ntop使用其他端口，例如執(zhí)行ntop –w 1900以后，便可以使用http://ip:1900來連接ntop

2.利用Web瀏覽器查看Ntop狀況

Ntop的通訊端口為3000,所以在瀏覽器使用IP：3000進入ntop便可看到ntop歡迎界面

除此之外,Ntop另一個重要功能是探測DDoS類型攻擊，主要是它可以通過分析網(wǎng)路流量來確定網(wǎng)路上存在的各種問題，也可以用來判斷是否有駭客正在攻擊網(wǎng)路系統(tǒng)，還可以很方便地顯示出特定的網(wǎng)路協(xié)議、佔用大量頻寬的 主機、各次通信的目標主機、資料包的發(fā)送時間、傳遞資料包的延時等詳細訊息。