Мониторинг сетевой активности
Системы семейства Windows Server позволяют осуществлять мониторинг сетевой активности на низком уровне — на уровне сетевых фреймов, передаваемых и принимаемых сетевыми адаптерами компьютера. Для выполнения этой задачи служит компонента системы "Сетевой монитор" (Network Monitor). Правда, штатная компонента "Сетевой монитор" имеет ограничение — она захватывает только те сетевые пакеты, которые передаются данному компьютеру (на котором запущен "Сетевой монитор") или отправляются с данного компьютера, в том числе широковещательные пакеты. "Сетевой монитор" — мощный инструмент для обнаружения различных сетевых проблем и неполадок, позволяющий детально изучать содержимое передаваемых по сети пакетов.
Все данные, пересылаемые по сети от одного сетевого адаптера другому, состоят из фреймов (кадров). Каждый фрейм содержит следующую информацию:
Адрес источника (отправителя) — MAC-адрес сетевого адаптера, с которого отправлен кадр;
Адрес назначения (получателя) — MAC-адрес сетевого адаптера, которому предназначался кадр (этот адрес может также определять группу сетевых адаптеров)$
Данные заголовка — информация, содержащая описание для каждого протокола, используемого при передаче кадра;
Данные — передаваемые данные (или часть данных).
В обычном состоянии каждый сетевой адаптер принимает только те фреймы, которые адресованы данному адаптеру (или всем сетевым адаптерам при отправке широковещательных пакетов). Все остальные фреймы сетевыми адаптерами игнорируются. Все захватываемые в процессе работы "Сетевого монитора" фреймы сохраняются в буфере захвата (по умолчанию размер буфера 1 МБ, поэтому "Сетевой монитор" хранит только последний мегабайт захваченных фреймов). Захваченные фреймы после окончания процесса захвата и изучения можно сохранить в файле с расширением ".cap" для последующего более детального изучения.
Установка "Сетевого монитора"
"Сетевой монитор" устанавливается так же, как и другие компоненты системы: "Control Panel" — "Add and Remove Programs" — кнопка "Add/Remove Windows Components" — "Management and Monitoring Tools" — кнопка "Details" — "Network Monitor Tools". После установки "Network Monitor" в разделе "Administrative Tools" Главного меню системы появляется соответствующий ярлык.
Запуск "Сетевого монитора" и выбор сетевого интерфейса
При запуске "Сетевого монитора" администратору необходимо выбрать тот интерфейс, для которого будет производиться захват сетевых пакетов. "Сетевой монитор" может перехватывать фреймы для различных типов интерфейсов — сетевые адаптеры, модемы, VPN-соединения. После запуска "Сетевого монитора" администратор видит запрос, изображенный на рис.:
Выберем "Local Area Connection". Для выбранного подключения программа показывает краткую сводку: модель сетевого адаптера, MAC-адрес адаптера, скорость передачи данных, максимальный размер фрейма (в данном примере — 1500 байт).
Первоначальная настройка параметров
В начале работы можно указать размер буфера захвата для временного хранения перехваченных фреймов: пункт меню "Capture (Запись)" — "Buffer Settings".
Запуск захвата сетевых пакетов
Запуск
захвата фреймов осуществляется через
меню "Capture"
— "Start"
или нажатием кнопки "Start
Capture"
на панели инструментов (кнопка
).
В процессе работы "Сетевой монитор"
показывает статистику сетевой активности
данного компьютера.
Левая верхняя панель показывает процент загруженности сетевого сегмента, скорость передачи кадров и скорость передачи байтов.
Левая средняя панель показывает физические адреса адаптеров, с которыми происходит обмен данными.
Нижняя панель показывает детальную статистику обмена пакетами для всех сетевых адаптеров, с которых получены или на которые отправлены фреймы.
Правая верхняя панель показывает общую статистику сети.
Остановка захвата пакетов
Для
останова процесса захвата фреймов нужно
выбрать пункт меню "Capture"
— "Stop"
(просто для остановки) или "Stop
and
View"
(чтобы после остановки сразу перейти в
режим просмотра захваченных фреймов),
а также нажатием кнопок соответственно
"Stop
Capture"
(
)
или "Stop
and
View
Capture
" (
).
Просмотр захваченных фреймов
Если вы сразу после останова записи фреймов не перешли в режим их просмотра, это можно сделать через меню "Capture" — "Display Captured Data" или нажатием кнопки "Display Captured Data" ( ). Первоначально при переходе в режим просмотра окно "Сетевого монитора" примет вид, изображенный на рис. ниже (в окне отображается полный список захваченных фреймов с краткой информацией о каждом из них):
Двойным щелчком мыши на любом из фреймов мы переходим в режим просмотра содержимого захваченных фреймов.
На данном рисунке:
верхняя панель — полный список захваченных "Сетевым монитором" фреймов;
средняя панель — структура выделенного в верхней панели фрейма;
общие сведения о фрейме (дата, время, размер);
информация о протоколе канального уровня Ethernet (физические адреса адаптера-отправителя и адаптера-получателя, тип протокола — IPv4);
содержимое заголовка протокола IP;
содержимое заголовка протокола TCP;
сама информация, передающаяся по сети (в данном случае — информация о сессии протокола NetBIOS);
нижняя панель — содержимое фрейма в шестнадцатиричном и символьном виде; содержимое той части фрейма, которая выделена в средней панели, в нижней панели выделено инверсным цветом.
Фильтрация просматриваемых данных
В окне просмотра данных, захваченных "Сетевым монитором" можно установить фильтры, ограничивающих множество просматриваемых пакетов. Фильтры просмотра используются для отбора кадров по следующим критериям:
по адресу отправителя или получателя;
по протоколу передачи кадров;
по свойствам и значениям, которые содержит кадр.
Включить
фильтр просмотра можно через меню
"Display"
— "Filter"
или кнопкой "Edit
Display
Filter"
на панели инструментов (
).
Панель редактирования фильтра изображена
на рис:
Нажатие кнопок логических операторов AND (И), OR (ИЛИ), NOT (НЕ) и значений выражений можно накладывать условия на тип протокола или адреса компьютеров. По умолчанию выбираются все протоколы ("Protocol == Any") и все сетевые адреса с передачей пакетов в обоих направлениях ("ANY <-> ANY").
Фильтрация захватываемых данных
Чтобы уменьшить количество захватываемых фреймов, можно установить фильтр захвата до начала процесса захвата фреймов (меню "Capture" — "Filter"). На рис. изображена панель редактирования фильтра захвата (записи):
ПРАКТИЧЕСКОЕ ЗАДАНИЕ
1. Управление компьютером
Управление локальным компьютером
Запустите консоль "Computer Management"
Изучите разделы данной консоли
Управление удаленным компьютером
В открытой консоли подключитесь к удаленному компьютеру (клиенту домена)
Изучите работу консоли в данном режиме
Найдите отличия в работе консоли "Computer Management" при управлении локальным сервером и удаленным компьютером
2. Создание новой консоли, добавление оснасток
Создайте консоль для просмотра событий на сервере и клиенте домена:
Откройте чистую консоль ММС
Добавьте оснастку для просмотра событий на сервере
Добавьте оснастку для просмотра событий на клиенте
Просмотрите события на обоих сервере и клиенте вашего домена
Сохраните созданную консоль. Выберите название для консоли (например, "Event.msc")
Закройте консоль
Запустите сохраненную ранее консоль - Кнопка "Start" — "All Program" — "Administrative Tools" — Выберите в списке сохраненную вами консоль (например, "Event.msc")
3. Работа с Удаленным помощником
Разрешите подключение Удаленного помощника со стороны клиента
Создайте запрос на подключение Удаленного помощника (выполняется на стороне клиента) через файл, доступный по сети пользователю и администратору
Подключите Удаленный помощник (выполняется на стороне сервера).
На сервере откройте сетевую папку, с файлом запроса на подключение удаленного помощника.
Введите пароль при необходимости.
На клиенте домена разрешите подключение Удаленного помощника
На сервере — в левом верхнем углу окна нажмите кнопку "Взять управление" и на клиенте снова кнопку "Да"
Проделайте несколько операций с сервера на Рабочем Столе клиента
4. Подключение к Remote Desktop
Разрешите подключение к Удаленному рабочему столу сервера
Создайте пользователя UserRemote для удаленного управления
добавьте пользователя в группу Remote Desktop Users
разрешите локальный вход в систему через Службу Терминалов
Подключитесь к Удаленному рабочему столу сервера под UserRemote
Запустите клиента Удаленного рабочего стола
Подключитесь под UserRemote к серверу
Завершите сеанс управления
Настройте сервер для работы служб терминалов в режиме сервера приложений
При подключении пользователя UserRemote к Удаленному рабочему столу должно запускаться приложение opera.exe
5. Установка набора административных консолей системы Windows Server
Запустите мастер установки набора административных консолей adminpak.msi
Запустите консоль "Remote Desktops - Удаленные рабочие столы"
Настройте консоль для работы с контроллером вашего домена
Добавьте новое подключение
В поле " Имя или IP-адрес сервера" введите имя или IP-адрес сервера
Задайте значение параметра " Имя подключения"
Уберите галочку у поля " Подключиться к консоли"
Введите параметры "Имя пользователя", "Пароль" и "Домен"
Установите указатель мыши на появившемся в окне консоли подключении, в правой части консоли откроется сеанс подключения к удаленному рабочему столу сервера
6. Просмотр событий
Откройте консоль Event Viewer
Просмотрите все имеющиеся на сервере журналы и изучите события различных типов
Выберите события разных видов и просмотрите более детальную информацию о них
Измените настройки журнала DNS Server:
размер журнала - 2 MB
способ управления записями - затирать старые события при необходимости
Очистите содержимое журнала Directory Service
Очистите содержимое журнала Security с сохранением событий в файл EventSecurity.txt
Для журнала System отфильтруйте записи по типу (предупреждения, ошибки) и по пользователю Administrator за весь период времени
Вернитесь к полному просмотру всех событий для журнала System
7. Аудит
Для подразделения OU-117 создайте групповую политику “AuditPolicy117”
Перейдите в параметры аудита безопасности созданной политики
Включите следующие параметры:
Аудит входа в систему – успешные
Аудит доступа к службе каталогов – неуспешные
Аудит доступа к объектам - успешные, неуспешные
Осуществите несколько входов/выходов в/из домен на Client-е и Server-е пользователями OU-117 и Administrator-ом
Для папки Folder1 на сервере измените процедуру аудита событий:
пользователи – User1
попытки регистрации - удаления папок и файлов - успешные и неуспешные
Удалите папку Folder1 пользователем User1
Найдите в Event Viewer события, которые соответствуют проделанным выше действиям
8. Диспетчер задач
Запустите программу Task Manager
Перейдите в закладку "Processes" и измените настройки:
Не отображать "Поверх остальных окон"
Скорость обновления - "Низкая"
Добавить столбцы - "Идентификация процесса (PID)"; "Имя пользователя"; "Объем виртуальной памяти".
Запустите несколько приложений, изучите поведение системы на закладках "Applications", "Processes", "Performance"
На закладке "Applications" остановить выполнение запущенных вами приложений, после запустите новое с помощью этой закладки
На закладке "Processes" попробуйте изменить приоритет какого-либо процесса
На закладку "Processes" добавьте столбец “Объем виртуальной памяти”
Найдите главный (родительский) процесс для любого запущенного приложения, остановите его и порожденные им вторичные процессы
На закладке "Networking" изучите сведения о сетевых адаптерах, используемых системой, узнайте, сколько составляет загрузка сети для этих адаптеров
Добавьте дополнительные столбцы на закладку "Networking" - Пропускная способность и Количество Байт
Подключитесь с помощью удаленного рабочего стола к Server-у.
Перейдите на закладку "Users" и убедитесь в подключении удаленных пользователей
Отправьте сообщение между подключенными пользователями.
9. Мониторинг производительности
Работа с Системным монитором
Откройте консоль Performance
Добавьте счетчик "Система/Длина очереди процессора"
Понаблюдайте за значениями счетчиков в процессе работы системы
Работа с Журналами производительности
Создайте новый журнал счетчиков
Введите имя журнала - NewLog
Добавьте счетчики "Процессор\% загруженности процессора"; "Память\Обмен страниц в сек"; "Физический диск\Средняя длина очереди диска"; "Система/Длина очереди процессора"
Задайте интервал снятия показаний — 1 сек
Задайте режим запуска журнала - "Вручную"
Запустите журнал NewLog и закройте консоль
Запустите приложения, использующие большой объем ресурсов компьютера (например, копирование большого объема данных с одного раздела диска на другой)
После завершения работы приложений снова запустите консоль Performance и остановите журнал NewLog
Изучите накопленные значения счетчиков
Перейдите в окно Системного монитора
Удалите все счетчики реального времени
Откройте журнал счетчиков NewLog
Добавьте все накопленные счетчики
Измените масштабирование графиков и границы анализируемого интервала
Создайте еще один журнал счетчиков для компьютера Client
Введите имя журнала - NewLogClient
Добавьте счетчики "Процессор\% загруженности процессора"; "Память\Обмен страниц в сек"; "Физический диск\Средняя длина очереди диска";
Задайте интервал снятия показаний — 1 сек
Запустите от имени Administrator-a
Задайте режим запуска журнала - "Вручную"
С журналом NewLogClient проделайте те же операции что и с журналом NewLog
10. Сетевой монитор
Установите Сетевой монитор
Запустите Сетевой монитор
Выберите сетевой адаптер
Запустите захват сетевых пакетов
Запустите какой-либо процесс передачи данных по сети (например, копирование данных из сетевой папки с компьютера партнера на свой компьютер)
Остановите процесс захвата пакетов
Просмотрите структуру и содержимое захваченных пакетов
В разделе содержимого изучите содержимое пакетов (попробуйте найти пакет с текстом одного из файлов, которые в процессе захвата пакетов пересылался по сети)
Установите фильтр захвата до начала процесса захвата фреймов и еще раз запустите захват пакетов