（信号与信息处理专业论文）企业上网监控系统总体研究及web管理的实现.pdf

盂 岔 ；守馑?，0。；，星雩、幸。碡；：?， ：、；爹等；i0 0翥，r，一 _ 北京邮电大学硕+ 研究生学位论文。 独创性( 或创新性) 声明 本人声明所呈交的论文是本人在导师指导下进行的研究工作及取得的研究成果。尽 我所知，除了文中特别加以标注和致谢中所罗列的内容以外，论文中不包含其他人已经 发表或撰写过的研究成果，也不包含为获得北京邮电大学或其他教育机构的学位或证书 而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确 的说明并表示了谢意。 申请学位论文与资料若有不实之处，本人承担一切相关责任。 本人签名：宝豳监l i 归 日期： 2 0 0 6 2 2 0 关于论文使用授权的说明 学位论文作者完全了解北京邮电大学有关保留和使用学位论文的规定，即：研究生 在校攻读学位期间论文工作的知识产权单位属北京邮电大学。学校有权保留并向国家有 关部门或机构送交论文的复印件和磁盘，允许学位论文被查阅和借阅；学校可以公布学 位论文的全部或部分内容，可以允许采用影印、缩印或其它复制手段保存、汇编学位论 义。( 保密的学位论文在解密后遵守此规定) 保密论文注释：本学位论文属于保密在三年解密后适用本授权书。非保密论文注释： 本学位论文不属于保密范围，适用本授权书。 本人签名： 导师签名：m | 。 ，f i 期： 期： 2 0 0 6 2 2 0 2 r r 扩 触 坤；，吖，| 北京邮电火学硕士研究生学位论文 企业上网监控系统总体研究及w e b 管理的实现 摘要 从上个世纪九十年代到现在，是中国互联网应用高速发展的时期，而 且这种强劲的势头仍在继续。互联网提供了丰富多彩的内容和应用，为人 们学习、娱乐、工作、交流、购物、获取信息等提供了一种重要的方式。 可以说，互联网已经深深地影响了人们的生活。 对于企业来说也是如此。现在几乎没有几个企业能够和互联网完全隔 离。企业需要通过互联网和外部进行交流，获取资料，进行网上交易，开 展业务等等。事实上，大部分的企业也确实在为员工的上网提供便利条件。 但是不容忽视的是，互联网信息的泛滥以及员工对互联网的滥用而造成的 一些问题也在困扰着企业的管理者，比如：浏览不良信息，工作效率下降， 网上泄密，病毒和黑客攻击等。企业迫切需要一种能够对员工上网行为进 行监视和控制的产品。 本文旨在阐述一种上网监控设备特别是其w e b 网管系统的设计开发。 此处所述的上网监控设备实现了对企业员工浏览互联网的信息进行监视， 并且可以控制员工对互联网的使用行为的功能。这些上网监控设备是可管 理可运营的电信级产品；而其w e b 网管系统则提供了对设备本身的运行监 视、功能配置，以及对员工上网策略的配置、上网信息的查询、分析等一 系列功能。 本文从用户对上网监控功能的需求入手，论述了上网监控系统的主要 特点和功能，介绍了系统的工作模式以及网络中的部署方式，然后具体介 绍了本系统的系统结构，对集中管理和本地网关两种方式进行了详细的分 析和比较，并提出了选择何种方式的看法。 从第四章开始本文重点介绍了w e b 网管系统的功能和实现，从w e b 网管的特点到w e b 技术的选择，然后详细介绍了本系统w e b 实现中的几 种关键功能，如数据库连接池功能、w e b 的安全控制功能以及服务器到浏 览器的数据推送技术。 在本项目中，本人独立完成了中心w e b 服务器和本地w e b 服务器的 j s p 页面和服务器端j a v a b e a n s 的代码设计，其中页面总数约18 0 个：j a v a 代码文件1 2 0 个，约1 仆l 字节。另外还承担了部分数据库库表的设计以及 服务器的安装和配置工作。 关键词：上网监控，w e b 网管，j s p - 威 r ， 7 f 4 北京邮电大学硕士研究生学位论文 t h ep r o d u c to fm o n _ i t o ra n dc o n t r o lw e ba c c e s s ： p r o j e c tr e s e a r c ha n dw e bm a n a g e m e n ts y s t e md e s i g n a b s t r a c t s i n c e9 0 l a s tc e n t u r y ，i n t e r n e th a sb e e nr a p i d l yd e v e l o p i n ga n dc o n t i n u e si nc h i n a w i t hm i l l i o n so fa p p l i c a t i o n sa n dw o r l dw i d ea c c e s st oi n f o r m a t i o n ，e m a i l ，v i d e o ，m u s i c ， i n s t a n tm e s s a g i n g ( i m ) ，v o i c e o v e r - i p ( v o w ) ，e t c t h ew a yw el i v ei sb e i n gc h a n g e db y i n t e r n e t s oa r ee n t e r p r i s e s u n d o u b t e d l y ，s u r f i n gt h ew e bi st h em o s tc o m m o no fa l l i n t e m e ta p p l i c a t i o n s i to f f e r sg l o b a la c c e s st on e a r l ya n y t y p eo fi n f o r m a t i o n ，a l l o w st h e p u r c h a s i n go fg o o d sa n ds e r v i c e sf r o mt h ec o m f o r to fo u rc o m p u t e r ，a n de n t e r t a i n si n m a n yd i f f e r e n tw a y s f o rb u s i n e s s ，i th a sb e e nap r o d u c t i v i t yt o o la sw e l la san e w c h a l l e n g e s o m eo ft h en e g a t i v ei m p a c t so ft h ew o r l dw i d ew e bi n c l u d e ： l o s tp r o d u c t i v i t yd u et on o n - b u s i n e s sr e l a t e di n t e r a c tu s e l e g a ll i a b i l i t yd u et oo f f e n s i v eb e h a v i o rw i t hi n a p p r o p r i a t ec o n t e n t 。h i g h e rc o s t sa sa d d i t i o n a lb a n d w i d t hi sp u r c h a s e dt os u p p o r tl e g i t i m a t ea n d i l l e g i t i m a t eb u s i n e s sa p p l i c a t i o n s e x p o s e ss e n s i t i v ec o r p o r a t ei n f o r m a t i o nt h r o u g hi n s t a n tm e s s a g i n g ，n o n a p p r o v e d e m a i la c c o u n t s ，s p y w a r e ，b a c k d o o rt r o j a n s ，e t c i n f e c t i o na n dd e s t r u c t i o no f c o r p o r a t ei n f o r m a t i o na n dc o m p u t i n gr e s o u r c e sd u et o n o n b u s i n e s sr e l a t e di n t e m e ta c c e s s e n t e r p r i s en e e d sap o w e r f u lt o o lt om o n i t o ra n dc o n t r o lw e ba c c e s s t h e p u r p o s eo ft h i sd o c u m e n ti st oi n t r o d u c eak i n do fs u c hp r o d u c ta n de x p a t i a t e o ns o f t w a r ep r o g r a m m i n go fi t sn e t w o r km a n a g e m e n ts y s t e mb a s e do nw e b t h e p r o d u c ti sm a n a g e a b l ea n do p e r a b l e ，a n di t sm a n a g e m e n ts y s t e mp r o v i d eaw a yt o m o n i t o ra n dc o n t r o li t s e l f , a sw e l la st h ei n t e r a c tc o n t e n t 、 t h i sd o c u m e n ts t a r t sw i t ht h en e e do fm o n i t o ra n dc o n t r o lw e ba c c e s s t h e ni t i n t r o d u c e ss o m ec o m m o nf e a t u r e s ，s y s t e mw o r k i n gm o d ea n dh o wt od e p l o y s y s t e m f r a m e w o r k sa r ea l s op r o v i d e di n t h i sd o c u m e n t i tg i v e ss o m eo p i n i o n so ns e l e c t i o n b e t w e e nc e n t r a l i z e da n dl o c a ls y s t e m f r o mb e g i n n i n go ft h ef o u r t h c h a p t e r ，t h ed o c u m e n tc o n c e n t r a t e so nt h e m a n a g e m e n ts y s t e mb a s e do nw e b f i r s ti tt e l l st h ek n o w l e d g ef e a t u r eo ft h es y s t e m ， t h e ns o m ek e yf u n c t i o n ss u c ha s ：d a t a b a s ec o n n e c t i o np o o l ，t e c h n o l o g yo nw e b s e c u r i t y a c c e s s ，h t t ps t r e a mp u s h l e ta n ds oo n 4 - j 北京邮电大学硕十研究生学位论文 i nt h i sp r o j c o t ，if i n i s ht h ec o d ed e s i g na n dp r o g r a m m i n go fw e bs y s t e m ，i n c l u d e a l lj s pp a g e sa n dj a v a b e a n so ns e r v es i d ei n d e p e n d e n t l y ，t o g e t h e rw i t hap a r to f d a t a b a s et a b l ed e s i g n ，s e r v e ri n s t a l la n ds oo n k e yw o r d s ：m o n i t o ra n dc o n t r o lw e ba c c e s s m a n a g e n ts y s t e m b a s e do nw e b j s p 5 北京邮电大学硕士研究生学位论文。 目录 第一章企业互联网使用的现状9 1互联网已经成为企业办公的一种基本方式9 2 企业内滥用互联网的现象比较严重9 2 1网络资源的不合理使用，并导致工作效率下降9 2 2 网络资源的不公平使用，带来严重的带宽问题1 1 2 3上网给企业带来的泄密或信息系统破坏等安全问题1 1 2 4网络资源的非法使用，使企业有可能陷入法律纠纷1 2 2 5企业缺乏对网络资源使用进行量化的标准和工具1 2 第二章上网监控系统概述13 1 企业上网监控应运而生13 2目前企业监控的主要内容1 4 3 上网监控系统的工作方式15 3 1旁路侦听方式15 3 2 透明网桥模式1 7 3 3 网关模式18 4 旁路侦听方式下上网封堵的实现19 5 如何确定被监控者的身份2 3 5 1基于i p 地址的网络监控2 3 5 2基于m a c 地址的网络监控2 3 5 3基于帐号的网络监控一2 4 第三章企业上网监控系统总体介绍一2 5 1 系统架构2 5 2 系统主要功能2 5 2 1 用户端设备的监控功能一2 5 2 2 中心服务器的功能2 7 3 信息存储方式2 9 。3 1中心集中存储2 9 3 2 本地独立存储3 1 第四章上网监控系统的w e b 网管系统3 3 1基于w e b 的网络管理系统的特点3 3 2 系统的基本实现方案3 5 2 1t o m c a t 4 - j s p + j a v a b e a n 的架构3 5 6 北京邮电人学硕+ 研究生学位论文 2 。2j s p 的特点3 6 2 3为什么不选用j a v aa p p l e t 3 7 第五章关键功能的实现3 9 1w e b 的安全访问：3 9 1 1 服务器设备和操作系统的安全性一3 9 1 2数据库的安全性3 9 1 3 w e b 服务器的安全设置一4 2 1 4代码上采取的安全措施4 6 2 数据库连接池的实现4 9 2 1连接池的建立5 0 2 2 连接的分配和释放一5 0 2 。3注意事项5 1 3 页面内容的实时更新5 2 3 1传统的页面内容刷新5 2 3 2基于h 丌ps t r e a m i n g 的p u s h ( 推送) 技术一5 3 参考资料5 4 附录1 使用k e y t o o l 创建数字证书以及证书的部署5 5 致谢5 7 7 北京邮电犬学硕十研究生学位论文 图表目录 图1 1 在不同地点上网的时间：1 0 图1 2 网上行为调查结果1 0 图2 1 旁路侦听一安装在代理服务器上1 5 图2 2 旁路侦听一通过镜像监控1 6 图2 3 旁路侦听一通过集线器监控整个网络16 图2 - 4 旁路侦听一通过集线器监控局部网络1 6 图2 5 网桥模式安装示意图17 图2 6 网关模式安装示意图一18 图3 - 1t c p 数据在i p 数据报中的封装19 图3 2t c p 包首部19 图3 3 建立t c p 连接的过程一2 0 图3 4 拆除t c p 连接的过程一2 1 图3 5 监控系统的上网封堵过程一2 2 图4 1 系统的部署方式2 5 图4 2 设备内部系统结构2 6 图4 3 角色和操作员。2 7 图4 - 4 中心服务器的系统结构2 8 图4 5 中心集中存储方式下数据流动2 9 图4 6 本地独立存储下设备接口图3 1 图4 7 本地独立存储方式下数据流动3 1 图5 1t o m c a t 处理j s p 请求的流程3 6 图6 1 配置t o m c a t 服务器禁止列出目录内容4 3 图6 2t o m c a t 默认的出错信息4 4 图6 3 修改错误信息贞向4 4 图6 - 4s n i f f e r 截获的帐号和口令信息4 5 图6 5 操作员登录流程4 7 图6 6 连接池的初始化5 0 图6 7 连接的分配和释放5 1 图6 8 基于页面r e l o a d 的内容更新一5 2 图6 9 基于h 1 h r ps t r e a m i n g 的p u s h 一5 3 图附一1k e y t o o l 的参数解释5 6 8 一 北京邮电人学硕十研究生学位论文 第一章企业互联网使用的现状 1互联网已经成为企业办公的一种基本方式 根据中国互联网络信息中心( c n n i c ) 2 0 0 6 年1 月公布的数据，我国上网计算机 数约4 9 5 0 万台，其中专线上网计算机为6 5 0 万台，拨号上网计算机为2 0 6 0 万台。我 国上网用户人数约1 11 亿人，其中专线上网的用户人数约为3 6 4 0 万，拨号上网的用户 人数约为5 1 0 0 万。除计算机外同时使用其它设备( 移动终端、信息家电等) 上网的用户 人数为6 10 万。 相比2 0 0 0 年1 月的数据，我国上网计算机数为3 5 0 万台，其中专线上网计算机为 4 1 万台，拨号上网计算机为3 0 9 万台。我国上网用户人数是8 9 0 万，其中专线上网的 用户人数约为1 0 9 万，拨号上网的用户人数约为6 6 6 万。除计算机外同时使用其它设 备( 移动终端、信息家电) 上网的用户人数为2 0 万。 由此可见，互联网在中国正处于爆破性发展的阶段，互联网已经成为人们生活和工 作中的一个重要组成部分。 2 企业内滥用互联网的现象比较严重 毫无疑问，互联网将信息交流提升到一个前所未有的层次，企业经营人员在获取、 收集和发送信息的速度、数量、多媒体的表现形式方面都得到极大的便利，同时相关的 成本却降低了。各类企业主或管理人员正是认识到互联网的好处，纷纷开通专线接入互 联网，企业内部员工通过局域网就可以方便而快速地享受互联网带来的各种服务。 准确地说，专线接入互联网是企业的一种资源，但目前在利用和管理该资源方面却 存在着太多的问题，这些问题极大地困扰着企业高层管理人员、人力资源部和i t 部门 2 1 网络资源的不合理使用，并导致工作效率下降 2 0 0 5 年7 月7 同，社科院副研究员郭良在中科院学术报告厅发布( ( 2 0 0 5 年中国5 城市互联网使用现状及影响调查报告。这次调查目标城市设定为：北京、上海、广州、 成都、长沙，调查方式为随机抽样、入户后由被访对象直接填答问卷。 在调查报告中关于上网地点的结果如图1 1 所示，网民在单位平均上网时间是最长 的，达到平均每天1 9 6 个小时。 9 手机 网吧 亲戚朋友家 图书馆 学校 单位 在家 图1 1 在不同地点上网的时间 1 9 6 8 9 而网民网络行为的调查结果则如图1 2 所示。 根据调查结果可见使用最多的就是网络新闻( 6 5 9 ) ，而接着处于第二位的“一般浏 览 之后的连续三个常用的网络功能竟然都和娱乐有关：经常或总是玩游戏的网民占 6 2 。2 ；经常或总是玩下载音乐的网民占5 6 5 ；而经常或者总是下载娱乐信息的网民 占5 3 。5 。工作和学习的比率都排到了十名以后。 1 0 冈上拍卖_ _ 1 0 麟 网上银行l 曩1 i 缓j 孵上支付 专业培训 博客( b 1 0 9 ， 购物 艘票 旅游信患 1 j 苦坛( 苎器s ) 医疗位惠 徽软瓶辅 学习 工彳擘 聊天囊( i 藏) q q o i c q 工c q 电予邮件 搜索引擎 下载工具 娱乐信息 下载音乐 游戏 一般洲览 新闻 l _ _ 1 2 。蕊j _ 1 2 蒯 _ i - 1 4 镪 - _ _ 1 5 。麟 _ - _ _ 一dt 1 箍； jii i 矗哇1 妊 - n l1 1 1 1 1 1 1 i 一般，8 鳐 1 i i i i i i i i i i i 一s ：锵 1 1 曩暑_ _ 暑曹宣葛葛皇皇量薯薯_ _ _ _ _ 薯薯宣皇躺d 矗 ， ，v j i i i i _ i _ _ _ l _ _ l _ _ i _ _ 啊_ 5 2 麟 i i _ _ l _ _ _ _ _ _ _ _ _ _ 一5 | 5 l 5 i i _ _ _ _ _ _ _ _ _ i _ _ _ _ _ _ _ _ 一6 2 2 ； _ _ _ _ _ _ _ _ _ _ _ _ _ 6 5 赢 _ _ l _ _ _ 蕾_ _ 圈_ _ _ 圈_ 圈墨圈翻_ _ _ 6 5 - 9 9 | i 图1 2 网上行为调查结果 c n n i c 同期的调查结果和上述结果略有差别，但比较接近。 i d c 的数据报导则更直接一些：企业员工平均每天有超过二分之一的上班时间用来 北京邮电人学硕+ 研究生学位论文 在线聊天，浏览娱乐、色情、赌博网站，或处理个人事务：员工从互联网下载各种信息， 而在那些用于下载信息的时间中，6 2 用于软件下载，1 1 的时问用于下载音乐，只有 2 5 用于下载与写报告和文件相关的资料。 互联网上的内容太丰富了，对企业员工有太多的诱惑，很多的员工沉溺其中，无法 自拔，常常把自己的本职工作放在一边，导致企业整体工作效率没有提升反而下降。调 查数据显示以下为影响工作效率主要的互联网行为，它们与工作无关而且可能导致更多 的问题( 比如网络安全等) ： 浏览游戏、音乐等娱乐网站，下载大量与工作无关的音乐文件，在线听音乐，在 线看视频图像等，不仅耽误工作，而且占用大量的网络带宽资源，影响其他人员使用公 司的资源； -浏览相关财经网站，利用公司的资源在线买卖私人股票或浏览相关信息； -浏览“在线 购物和拍卖网站； 一浏览赌博网站； 使用即时信息交流软件如i c q 、q q 、a o l 、m s n 、y a h o o - 浏览色情网站； 2 2 网络资源的不公平使用，带来严重的带宽问题 许多上网人员不停地下载大容量的文件，比如大量的m p 3 音乐文件；或者在线听 音乐、看视频电影、新闻等行为，严重占用网络带宽，造成网络堵塞，上网速度下降， 影响其他员工的正常上网行为。 管理人员奇怪企业大量投资的专线接入速度_ 天比一天慢；i t 部门经常遭到抱怨， 要求提升上网的带宽；而有趣的是抱怨的人中包括那些下载音乐文件或看视频电影的员 工。 2 3 上网给企业带来的泄密或信息系统破坏等安全问题 任何企业主或管理人员都担心自己内部的机密信息流露出去，而互联网偏偏又方便 信息的交流和传递。通过互联网，任佃数字文件都口j 以方便地发送出企业的内部网，正 因为如此国外很多公司都对企业内部的电子邮件系统实施定期的检查。但邮件的检查并 不全面，因为有很多免费的邮件系统可以利用，它们的使用只要用浏览器就可以；此外 即时信息交流软件也可以使用户绕过电子邮件系统而直接发送信息到企业外部。 不受限制的上网行为将带来更多的安全问题，比如下载的文件中带有病毒或其它有 破坏性的程序；i c q 、o i c q 等软件的使用有可能招到网络黑客的袭击，硬盘里的资料 和数据被窃取或破坏。 这些问题足以让每个管理人员都坐立不安。如何解决这些问题呢? 2 4 网络资源的非法1 更用，便企业有可能陷入法律纠纷 在国内，法律规定了很多网站是非法的，比如有色情内容的、与反动政治相关的、 与迷信和犯罪相关的等等。使用专线接入互联网后，企业内部网某种程度上成了一种“公 共”上网场所，很多与法律相违背的行为都有可能发生在内部网中。事实上，这是很多 企业要加强网络行为管理的最初的原因。 另外一个日渐显露出来的问题是网络黑客利用企业专线入网的条件，实施非法的网 络攻击，发送病毒文件等，这都给企业上网带来了很多可能引起法律纠纷的隐患。企业 目前缺乏有效的工具在相关事情发生后提供数字化证据。 2 5 企业缺乏对网络资源使用进行量化的标准和工具 网络资源作为一种电子化的资源，在是通过企业内部的局域网共享的，网络中的每 个登录用户都能使用。专线上网后，到底是哪些人在使用该资源，使用的程度如何，如 果要进行相关的成本核算，并把专线接入的成本划到企业内部的每个成本中心，怎样做 才是最有效的呢? 这是一个迫切需要解决的问题。 1 2 “ 北京邮电大学硕十研究生学位论文 第二章上网监控系统概述 1企业上网监控应运而生 互联网或者说信息技术确实是一个“神奇”的东西，在不同的人、不同的组织、不 同的企业环境中，它带来的影响是充满矛盾的，能提高企业的工作效率、增加企业的竞 争力、降低企业运营成本；另一方面，它却能降低企业的工作效率、给企业带来很多威 胁和安全隐患。那么，到底要不要用它7 答案其实很简单，肯定要用，但是必须对它实施有效的管理，就象管理其它的企业 资源一样。 面对上述如此众多的问题，企业主和管理人员都想到了要对内部员工上网行为的管 理。通过对美围和我们国内相关情况的研究，企业这方面的需求从简单到复杂，大致经 历了下面几个阶段： 最初的阶段是严格控制员工的上网，我们称之为互联网接入控制阶段，方式比较简 单。企业建立网络地址数据库，规定哪些网站不能访问。几乎大部分网站都被屏蔽，不 允许员工在企业网内访问，即使是非工作时间照样禁止。 第二阶段是初步的互联网接入管理阶段，以保持企业的工作效率为目的，通过建立 相关的互联网接入策略和管理功能，能实施对不同人员、不同部门的上网权限管理和资 源分配，有部分报表系统显示简单的员工访问互联网的记录。 第三个阶段是真正的网络行为管理阶段，以提高企业的工作效率为目的，企业不但 建立相关上网策略，更进一步和企业信息系统安全、企业知识管理等结合起来；能更好 地分配网络资源，比如对不同对象实现不同的网络带宽分配；建立详细的员工访问互联 网的同志，提供详细的报表，能帮助企业管理层分析员工的上网行为，并对上网的策略 进行相关调整，让互联网成为企业的最有效的工具。 1 3 2 目前企业监控的主要内容 自2 0 0 0 年以来，上网行为监控逐渐引起了企业管理者的兴趣和重视，国内外也出 现了多款不同的上网监控产品。这些产品有的是基于软件的，有的是基于硬件的，或者 是软硬件相结合的产品。 总管这些监控产品，他们的功能大致集中于以下的内容： 上网权限管理 即实现对什么员工( 部门、计算机) 可以在什么时间访问互联网的什么内容进行控 制。通过这种控制，企业管理人员可以有效地管理互联网的使用，将互联网资源分配给 真正需要的工作人员。避免资源浪费。 带宽管理 企业可以根据需要对不同的部门和人员分配网络资源，使他们得到不同的上网速度； 不同部门间的上网行为不会互相影响，可以有效地阻止某些人或部门滥用网络资源而影 响其他人上网。 -内容监控( 邮件、网页和即时通信) 记录员工上网的网址，浏览网页的标题，产生的流量等； 网络应用使用的协议和端口，以及产生的流量； 网络下载的内容； 收发邮件的发送者、接收者、标题、内容、附件等； 即时通信( 聊天) 的双方帐号、内容、传输的文件等； 一病毒过滤 对进出企业的信息进行病毒过滤，病毒清除，并产生病毒报告； _ 内容过滤 对网页、邮件、聊天内容按照设定的关键词、敏感词进行过滤，阻止通信并产生记 录。 内容过滤的目的一方面是可以防止非法的内容( 比如色情、暴力、反动等) ，另一 方面町以防止企业的机密内容泄漏； - 垃圾邮件过滤 根据一定的规则发现并阻止垃圾邮件。阻止垃圾邮件可以减少病毒传播的机会，降 低垃圾邮件对带宽的消耗，也可以消除其对员工正常工作的干扰。 一简单计费功能 可选择根据员工( 网络使用者) 上网产生的流量或者使用时间来生成计费清单； - 报表 一般可根据用户的需要产生e x c e l ，或者p d f 、h t m l 格式l j 9 ：t p 表 1 4 北京邮电人学硕士研究生学位论文 j 3上网监控系统的工作方式 现有的上网监控系统从工作方式来区分，无外乎以下几种： 旁路侦听方式； 一 网关方式； - 网桥方式； 以下分别论述这几种工作方式的特点。 3 1 旁路侦听方式 监控系统以旁路侦听方式工作，不需要改变原有网络的任何路由配置工作，对被监 控网络没有影响，但是部分功能无法实现，如带宽管理。 目前基于软件的监控系统基本是工作于旁路侦听方式，部分基于硬件的监控产品也 可以工作于旁路侦听方式。 根据网络结构的不同，监控系统也可以有不同的方式接入网络，如安装在代理服务 器上、安装在独立主机上并联或桥接串联接入网络，还可以使用网络设备的只读镜像端 1 3 侦听，完全和监控网络隔离。 1 、系统安装在代理服务器上，监控整个网络。如图2 1 所示。 图2 1 旁路侦听一安装在代理服务器上 这种安装方式适于纯软件的监控系统。 2 、系统安装在独立计算机上，通过网络设备的镜像端口监控整个网络。如图2 2 所示。 1 5 图2 2 旁路侦听一通过镜像监控 这种方式对于软件或者硬件的监控系统都适应。图中的监控系统可能是一个硬件的 监控设备，也可以是一台安装了监控软件的计算机。 3 、系统安装在独立计算机上，通过集线器( h u b ) 监控整个或者局部网络。如图 2 3 、图2 4 所示。 这里所说的集线器是指共享式的集线器，而非交换式的集线器。 由于以太网等很多网络( 常见共享h u b 连接的内部网) 是基于总线方式，物理上 是广播的，就是当一个机器发给另一个机器的数据，共享h u b 先收到然后把它接收到 的数据再发给其他的( 来的那个口不发了) 每一个口，所以在共享h u b 下面的监控系 统能接收到其他机器的数据。 如果这个h u b 是安装在企业网络出口处，则监控系统能接收到所有流入和流出的 数据。 图2 3 旁路侦听一通过集线器监控整个网络 图2 3 的模式下，监控系统所连接的h u b 安装在企业出口处。 图2 4 旁路侦听一通过集线器监控局部网络 图2 4 的模式下，监控系统所连接的h u b 安装在企业网络内部。 通过h u b 监控的方式对于软件或者硬件的监控系统都适应。图中的监控系统可能 是一个硬件的监控设备，也可以是一台安装了监控软件的计算机。 1 6 北京邮电大学硕婴窒圭兰堡垒茎 一一 一一 3 2透萌网桥模式 透明网桥方式也不需要改变网络中原有交换机和路由器的设置，能够充分发挥上网 监控系统的作用。 透明网桥利用数据流转发技术，所有企业网外出和进入数据都要经过监控系统转发。 在企业网的数据流路线上多出了一个设备但没有增加路由的跳数，对于数据流是透明 的。 在数据转发的过程中，监控系统分析并提取数据包中的内容，并通过内置的策略管 理器来控制用户的所有访问。 可工作于透明网桥模式的监控系统基本是硬件监控设备，而基于软件的监控系统大 都无法工作于网桥模式。 透明网桥模式典型的部署方式见图2 5 所示。 图2 5 网桥模式安装示意图 1 7 3 3 网关模式 网关模式是实施监控最全面的一种方式。 监控设备作为系统的网关以n a t 或路由方式接入系统。其主要原理是监控t c p i p 包并分析来实现监控，通过内置的防火墙来控制i p 的连接。 网关模式典型的部署方式见图2 - 6 所示。 图2 6 网关模式安装示意图 北京邮电火学硕士研究生学位论文 4旁路侦听方式下上网封堵的实现 旁路侦听方式下上网封堵的实现，实际上是对t c p 连接的阻断，因此首先要搞清楚 一次完整的t c p 连接过程。 t c p 数据被封装在一个i p 数据报中，如图2 - 7 所示。 l p 数据报 图2 7t c p 数据在i p 数据报中的封装 t c p 首部的数据格式见图2 8 所示。如果不算任选字段的话，通常是2 0 个字节 图2 8t c p 包首部 在t c p 首部中有6 个标志比特。它们中的多个可同时被设置为1 ，置为1 表示该标 志有效。这些标志的含义如下： - u r g ：紧急指针( u r g e n t p o i n t e r ) ； 1 9 下llol，li土 一a c k - 确认序号； _ p s h - 接收方应该尽快将这个报文段交给应用层； _ r s t 重建连接； s y n - 同步序号用来发起一个连接； - f i n - 发端完成发送任务； 尽管t c p 和u d p 都使用相同的网络层( i p ) ，t c p 却向应用层提供与u d p 完全 不同的服务。t c p 提供一种面向连接的、可靠的字节流服务。 面向连接意味着两个使用t c p 的应用( 通常是一个客户和一个服务器) 在彼此交换 数据之前必须先建立一个t c p 连接。 如图2 9 所示，一次t c p 连接的建立过程是这样的： - 请求端( 通常称为客户端) 发送一个s y n 报文指明客户打算连接的服务器的端 口，以及初始序号i s n 。这个s y n 报文为报文1 。 ， 一服务器发回包含服务器的初始序号的s y n 报文( 报文2 ) 作为应答，同时，将 确认序号设置为客户的i s n 加1 以对客户的s y n 报文进行确认。一个s y n 将占用一 个序号。 - 客端户必须将确认序号设置为服务器的i s n 加1 以对服务器的s y n 报文进行确 认( 报文3 ) 。 至此，这三个报文完成了t c p 连接的建立。这个过程也称为三次握手。 报文段l 报文段3 图2 9 建立t c p 连接的过程 报文段2 建立一个连接需要三次握手，而终止一个连接要经过4 次握手。这是由t c p 的半 关闭( h a l f - c l o s e ) 造成的。既然一个t c p 连接是全双工的，即数据在两个方向上能同 时传递，因此每个方向必须单独地进行关闭。其原则就是当一方完成它的数据发送任务 后就能发送一个f i n 来终止这个方向连接。当一端收到一个f i n ，它必须通知应用层另 一端已经终止了那个方向的数据传送。发送f i n 通常是应用层进行关闭的结果。 2 0 北京邮电大学硕士研究生学位论文 报文段4 报文段7 图2 1 0 拆除t c p 连接的过程 报文段5 报文段6 如图2 1 0 所示，t c p 客户端发送一个f i n ，用来关闭从客户到服务器的数据传送( 报 文4 ) 。 当服务器收到这个f i n ，它发回一个a c k ，确认序号为收到的序号加1 ( 报文5 ) 。 和s y n 一样，一个f i n 将占用一个序号。接着这个服务器程序就关闭它的连接，导致 它的t c p 端发送一个f i n ( 报文6 ) ，客户端必须发回一个确认，并将确认序号设置为 收到序号加1 ( 报文7 ) 。 至此，一个t c p 连接完全拆除。 上述是一个正常的拆除连接过程，但是我们注意到在t c p 首部中还有一个字段是 r s t ( 复位) ，这个字段置位也可以导致连接的结束，称为异常终止。 那么，在什么情况下连接的一方会发送r s t 报文呢? 一般说来，无论何时一个报文发往基准的连接出现错误，t c p 都会发出一个复位报 文段。这里所说的“基准的连接”是指由目的i p 地址、目的端口号以及源i p 地址、源 端口号指明的连接。 产生复位的一种常见情况是当连接请求到达时，目的端口没有进程正在昕。这时候 t c p 则回送一个r s t 报文。 收到r s t 的一方将立即终止该连接，并通知应用层连接复位，而不需要向对方发送 确认报文。 对于旁路式的上网监控系统来说，它通常使用两个以太网口( 一个也可以) ，使用 其中一个网口接收、监听网络通信数据包，并进行内容的重组和分析，并和用户设置的 过滤规则进行比对，一旦发现和规则匹配的数据，则记录通信双方的参数，通过另一个 网口向双方向发送封堵数据包，以阻断双方的继续通信。 发送封堵数据包的过程是这样的： 监控系统利用监测到的参数伪装成服务器端，向客户端发送一个f i n 、p u s h 和a c k 置位的t c p 报文，通知客户端数据发送已经结束，客户端收到f i n 报文后，会向正常 2 1 的服务器反送一个a c k 报文和一个f i n 报文；服务器端收到f i n 报文后，向客户端反 送一个a c k 报文和一个f i n 报文。客户端收到a c k 报文，则认为自己已经正常的完成 了包含4 次握手的t c p 断开连接的过程，于是将自己的连接关闭。 但是，服务器端断开连接的4 次握手并没有完成，还处于半关闭状态。因此监控系 统伪装成客户端向服务器发送一个r s t 报文，使服务器立即无条件关闭这个连接。 至此，监控系统封堵上网连接的工作就完成了，这个过程见图2 11 所示。 2 2 髓掩系统 弋 一| f p s f l n 燃 a c k i 寓户编 f i 釉a c k i 、 了 袱 f i na c k 獬 回 图2 1 1 监控系统的上网封堵过程 = l 巴京邮电大学硕士研究生学位论文 5如何确定被监控者的身份 上网监控系统是通过分析数据报文从而得知通信的一些细节内容，但是这些内容应 该和谁联系在一起，或者说是谁，企业内的具体哪一台计算机或者是哪一位员工产生了 这些通信，这就涉及到如何确定被监控者的身份的问题。 5 1 基于i p 地址的网络监控 基于i p 地址的监控就是以i p 地址为依据，并以此l p 来确定被监控者的身份； 如果用户局域网的l p 地址是动态分配的，基于i p 地址的网络监控模式就不可取。 如何企业内的员工每人使用的计算机是固定的，而每台计算机使用的又是各自独立 而固定的i p 地址，那么通过l p 地址是能够确定一台计算机并进而确定到使用者即员工 的。 但是，在静态分配l p 地址的环境下，如果我们抛开规章制度不谈而是仅仅从技术角 度上讲的话，用户其实是可以随意轻松地更改自己的l p 地址的。假如目标机器a 在目 标机器b 关机的情况下，私下将l p 地址更换成目标机器b 的l p ，那么机器a 的上网记 录就会归在机器b 的名下。由此可见，基于i p 监控有一定的不确定性，必须有一些辅 助的手