使用sniffer检测网络异常ppt课件.ppt

《使用sniffer检测网络异常ppt课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、工作任务问题探究知识拓展检查评价学习目标使用sniffer检测网络异常实践操作学习目标1.知识目标2.能力目标学习目标返回下页上页学习目标1.知识目标返回下页上页理解sniffer检测网络病毒原理1了解sniffer检测网络的不足之处5理解防火墙的运行机制2掌握使用sniffer发现网络病毒3掌握使用sniffer对网络病毒进行定位4学习目标2.能力目标配置捕获数据过滤器1使用sniffer监控网络流量2使用sniffer发现网络病毒3使用sniffer对网络病毒进行定位4返回下页上页工作任务工作任务2.工作任务背景4.条件准备1.工作名称3.工作任务分

2、析返回下页上页任务背景：学校很多老师给小张打电话说，最近网络有问题，上网浏览网页变得特别慢，连访问本地的站点都有延迟现象。工作任务任务名称：在网络中部署snifferpro，并检测网络，发现定位网络病毒。任务名称与背景返回下页上页老师反映出问题后，小张首先联系了互联网服务提供商，他们近期并没有进行网络维护，因此排除了外因，紧接着又检查了一下网关及代理服务器，一切都运行正常。经过分析认为，网络中有ARP攻击或者蠕虫病毒，或者有主机使用P2P软件。工作任务任务分析与条件准备条件准备对于小张管理的网络，我们准备了snifferpro4.7软件，进行网络流量监控

3、和网络病毒定位。任务分析返回下页上页实践操作实践操作2.配置捕获数据过滤器4.发现网络异常流量并定位1．扫描IP-MAC对应关系3.对网络进行监视返回下页上页1．扫描IP-MAC对应关系这样做是为了在查询流量时，方便判断具体流量终端的位置，MAC地址不如IP地址方便。选择“菜单栏中工具”｜“地址簿”，单击左边的放大镜（autodiscovery扫描），在弹出的窗口中输入你所要扫描的IP地址段，本例输入：172.16.20.单击“好”按钮，如图所示，系统会自动扫描IP-MAC对应关系。实践操作返回下页上页1．扫描IP-MAC对应关系扫描完毕后，单击“数据库

4、”｜“保存地址簿”，系统会自动保存对应关系，以备以后再次使用，如图所示。实践操作返回下页上页2.配置捕获数据过滤器在默认情况下，Sniffer会接收网络中所有传输的数据包，但我们在分析网络协议查找网络故障时，有许多数据包不是我们需要的，这就要对捕获的数据进行过滤，只接收与分析的问题或者事件相关的数据。Sniffer提供了捕获数据包前的过滤规则和定义，过滤规则包括二、三层地址的定义和几百种协议的定义。实践操作返回下页上页在SnifferPro主窗口中，选择“捕获”｜“定义过滤器”选项，单击“配置文件”，单击“新建”按钮，在“新配置文件名”处输入“ARP”，

5、新建一个新的过滤器，如图所示。2.配置捕获数据过滤器单击“完成”按钮，返回“定义过滤器—监视器”窗口中，在“为设置：”处选择你刚刚新建的过滤器“ARP”，然后选择“高级”选项卡，再选择“可用到的协议”中的“ARP”单选框，然后单击“确定”按钮，如图所示。实践操作返回下页上页2.配置捕获数据过滤器系统默认过滤器为“默认”，我们来选择刚才新建过滤器“ARP”。首先，选择菜单栏中“监视器”｜“选择过滤器”，在弹出的对话框中单击ARP，如图所示。在这里要注意的是：一定要把“应用监视过滤器”勾选。单击“确定”按钮，过滤器定义和选择工作准备完毕。实践操作返回下页上页

6、3.对网络进行监视单击工具栏中“主机列表”按钮，在弹出的子窗口中选择“细节”工具（放大镜图标）。注意观察本图同之前程序使用默认过滤器的不同之处，如图所示。实践操作返回下页上页3.对网络进行监视实践操作返回下页上页现在，按照我们的定义，监视器内Protocol(协议类型)仅包括IP_ARP，这对于我们查找问题，层次上更加分明。这里需要注意的是：Address（地址）以MAC或者机器名的形式显示，如果显示MAC，请先使用“Tools”｜“Addressbook”进行扫描，IP-MAC的显示转换后，将有利于我们快速定位节点。网内终端中所有ARP广播包的和，合计

7、后等于“广播”数据包。单击工具栏上的“仪表板”，再单击“细节”并选中“ShowAverageRate(persecond)”，观察此时每秒产生数据包105个，如图所示3.对网络进行监视实践操作返回下页上页3.对网络进行监视实践操作返回下页上页如图所示为正常网络状况下的数据包数，请仔细观察，其数字为1。4.发现网络异常流量并定位⑴TOP流量分布图我们先来观察，在正常网络状况下，ARP协议的TOP流量分布图，如图所示，这将方便我们的区分、判断。单击左边工具栏中的Bar（柱形图标），我们知道Bar会将目前数据包流量排行前10位，通过动态柱型图的方式显示出来。同

8、下图的Detail（详细显示方式）一样，只不过Bar在界面上对于观察者来讲更为直