标题：网络监控软件
定义
网络监控软件是指针对局域网内的计算机进行监视和控制；针对内部的电脑上互联网以及内部行为与资产等过程管理；包含了上网监控（上网行为监视和控制、上网行为安全审计）和内网监控（内网行为监视、控制、软硬件资产管理、数据与信息安全）；
计算机网络的普及应用已渗透到社会各个层面，给社会带来便利的同时也随之带来的安全和管理问题。互联网络是一把双刃剑；就如一个企业而言有些员工利用工作时间看新闻、玩游戏、干私活、聊天、泄密公司资料、炒股票、下电影、听歌曲、浏览色情站点、甚至在公司网上边拿老板工资边找工作等等。不仅仅消耗公司资源，更是因为影响公司效率、泄露公司机密、甚至丢失客户资源另人痛心。而利用局域网网络监控软件这非常有效的管理辅助手段并和企业的内部管理机制结合达到更加事半功倍的效果，已经成为大家的共识。 
很多单位很舍得对网络以及电脑设备的投入，但却不舍得对应用软件特别是安全软件投入是不恰当的，如果组建了性能出色的网络以及购买了现代化的办公设备，但却成了浪费公司人力和财力甚至是纵容员工上班时间做单位之外的事情就成了问题；反而降低了工作效率，甚至导致更大损失；因此网络监控非常必要； 
目前很多单位请了网络管理人员还建设了网站；但是把设备是管好了，可设备带来的方便却降低了工作效率（都用网络干别的事情去了），网络带来的客户因为员工缺乏管理而可能直接成为了竞争对手的客户了；因此仅购买设备是不够的，仅仅建设网站也是不够的，只管理设备也还是不够的，还需要把员工使用网络的内容监视和并把网络行为管理起来；特别是外贸企业、技术含量较高的企业（如软件、工程类）、政府关键部门等等对员工的上网监督管理的意义尤为重要。网络监控系统总体目标是能有效防止员工通过网络以各种方式泄密，实现对网络电脑及网络资源的统一管理和有效监控。未经授权不得以各种方式外发文件、不得利用网络做不应该做的事、并能够记录网络往来的内容（比如外贸企业的定单过程），对电脑的各种端口和设备实施全面管理和控制，对用机、上网、收发邮件、网上聊天和电脑游戏进行严格管理与控制； 
网络已经进入了我们的日常生活，随之而来的网络安全监控，网络管理、员工网络行为等已经成为日益凸现的问题摆在了我们面前,根据美国FBI和CSI对484家公司调查发现:
（1）有93%企业网络资源使用不当
（2）有85%企业遭受过病毒攻击
（3）有43%员工电脑曾被木马入侵
（4）有31%员工滥用Internet
（5）有16%来自内部未授权的存取
（6）有14%专利信息被窃取
（7）有12%内部人员的财务欺骗；
（8）有11%资料或网络的破坏
（9）有超过70%的安全威胁来自企业内部 
网络监控日益重要，最少应包含以下几个主要方面： 
1、掌握内部所有电脑的硬件和软件资源，以管理资源设备和重要资料文件； 
2、掌握内部所有电脑安装的运用程序，以防止员工滥用电脑； 
3、掌握员工使用电脑的过程，监视屏幕以记录是否合法使用和评估员工工作； 
4、掌握员工上网的过程，管理、记录、限制上网络行为和过程，以提高工作效率； 
5、备份重要的网络邮件、员工浏览的页面、员工传递收发的数据文件，以保存和保护重要资料； 
6、限制员工上网行为、游戏行为、聊天行为、干私活行为，以加强企业管理； 
7、监视网络流量，防止恶性下载消耗网络资源，以提高网络性能； 
8、禁止泄露企业内部重要资料，以增加企业竞争力和保护产权； 
9、禁止对U盘、光盘、文件等的存取；以防止病毒和资源泄露；
其实网络监控远不止这些，上网监控和内网监控，以及数据的安全和监管，都越来越显得必要；
基本功能
1、局域网上网监控软件（上网行为管理、网络行为审计、内容监视、上网行为控制） 
应包含如下基本功能：通过局域网内任何一台计算机监视、记录、控制其他计算机的上网行为;能实现上网监控、网页浏览监控、邮件监控、Webmail发送监视、聊天监控、BT禁止、流量监视、上下行分离流量带宽限制、并发连接数限制、FTP命令监视、FTP内容监视、FTP行为控制、TELNET命令监视、网络行为审计、操作员审计、软网关功能、端口映射和PPPOE拨号支持、通过WEB方式发送文件的监视、通过IM聊天工具发送文件的监视和控制等； 　
用于全程监视和控制管理网络内所有用户上外网过程。能够探测、拦截、收集、禁止和管理整个上网资源，规范网络有效合法使用。防止单位重要资料机密文件等的泄密；监督审查网络使用行为；备份重要网络资源文件；限制邮件、网站、聊天、游戏、股票、下载、流量以及自定义网络应用等行为，并可以做为软网关运行；
2、局域网内网监控软件（内网行为管理、屏幕监视、软硬件资产管理、数据安全） 　应包含如下基本功能：用于监视计算机开机后的所有操作情况，能够全程管理和控制内网电脑的全部过程；支持内网监控、屏幕监视和录象、软硬件资产管理、光驱和USB等硬件禁止、应用软件限制、打印监控、ARP防火墙、消息发布、日志报警、远程文件自动备份功能、禁止修改本地连接属性、禁止聊天工具传输文件、禁止修改本地连接属性、通过网页发送文件监视、远程文件资源管理、支持远程关机注销等、支持MSN、ICQ、SKYPE、YAHOO通、飞鸽传书、飞秋、都秀、POPO、AOL、UC、UUCALL、google talk、淘宝旺旺、飞信、阿里旺旺、QQ聊天、TM聊天等常见IM软件的聊天内容记录等功能；内网需要在被监视电脑安装工作站软件;特别适合需要内网管理的单位使用；
工作模式
1、网关模式：原理是把本机作为其他电脑的网关（设置被监视电脑的默认网关指向本机），分别可以作为单网卡方式和双网卡甚至多网卡方式，原始的PROXY模式目前基本淘汰了一般不再有人采用，目前常用的是NAT存储转发的方式；简单说有点像个路由器工作的方式；因此控制力极强，但由于存储转发的方式，性能多少有点损失；不过效率已经比较好了；缺陷是假如网关死了，全网就瘫痪了；
2、网桥模式：原理是双网卡做成透明桥，而桥是工作在第2层的，所以可以简单理解为桥为一条网线，因此性能是最好的几乎没有损失；WINPCAP本身并不支持该模式；该模式可以说是最理想的了，即使桥坏了，只要简单做个跳线就可以了，因为桥是透明的可以看成网线，即使桥坏了就可以理解为网线坏了换一条而已；支持多VLAN、无线、千M万M、以及VPN、多出口等等几乎所有的网络情况，原因很简单，因为透明桥嘛等于理解为那是网线而已；
3、旁路模式：原理是使用ARP技术建立虚拟网关，只能适合于小型的网络，并环境中不能有限制旁路模式；路由或火墙的限制或被监视电脑安装了ARP火墙都会导致无法旁路成功，因为你一边在禁止旁路一边却正在旁路，所以自相矛盾；同时如网内同时多个旁路将会导致混乱而中断网络；但只要条件该方式是最简单的部署以及最方便的安装设置；
4、旁听模式：原理是旁路监听，是通过交换机的镜像功能来实现监控， 该模式需要采用共享式HUB或交换机镜像；可是如采用老式的共享式HUB将影响网络出口性能；如采用镜像模式，一方面需要投资支持双向的镜像交换机设备，另一方面需要专业的人设置镜像交换机。该模式的优点是部署方便灵活，只要在交换机上面配置镜像端口即可，不需要改变现有的网络结构；而且旁路监控设备一旦停止工作，也不会影响网络的正常运行。缺点在于，旁听模式通过发送RST包只能断开TCP连接，不能控制UDP通讯，如果要禁止UDP方式通讯的软件，需要在路由器上面做相关设置进行配合。
驱动原理
1、UNIX系统提供了标准的API支持
（1）Packet socket
（2）BPF（主要的流行手段） 
A、BSD抓包法 
. BPF是一个核心态的组件，也是一个过滤器
. Network Tap接收所有的数据包
. Kernel Buffer，保存过滤器送过来的数据包
. User buffer，用户态上的数据包缓冲区
B、Libpcap(一个抓包工具库)支持BPF
. Libpcap是用户态的一个抓包工具
. Libpcap几乎是系统无关的
C、BPF是一种比较理想的抓包方案
. 在核心态，所以效率比较高，.但是，只有少数OS支持(主要是一些BSD操作系统)
2、Windows平台上通过驱动程序来获取数据包
（1）驱动程序
模式一、在核心层驱动，和WINDOWS操作系统核心结合紧密,效率非常高性能最好；因为网络火墙都在网络上层运行（也就是说在火墙核心层驱动上面运行），因此核心层驱动将不受网络火墙干扰；功能更加强大，性能更好，但是实现的代价更高更加复杂的技术；实例：Anyview Nat Service 内核驱动；
模式二、在网络层驱动， 虽然自己写的驱动容易控制管理但性能根本无法与核心层驱动比较；并受防火墙限制和干扰；实例：WINPCAP驱动接口；
（2）WinPcap驱动标准接口（目前国产网络监控软件90%采用）
WINPCAP是目前免费的接口程序，支持100M通讯；但缺点也是同样明显的，可控制性很差导致很多功能都无法实现，只能监听模式无法网关模式导致流量限制、BT限制、UDP阻断方面等等天生的弱点；另外由于WINPCAP版本互相不兼容可能导致无法监控，无法识别千兆网卡或无法读到网卡列表；只能同时监控单网卡等；
（3）kercap驱动标准接口
Kercap内核抓包驱动引擎是国内自主研发的具有世界领先水平的Windows内核驱动程序，利用IMD技术实现的Kercap内核抓包引擎本来在稳定性、兼容性和安全性上比其它技术实现方式有极大的优势，比传统的winpcap内核程序速度快10倍以上，能支持更大的网络抓包。
（4）secspyit
secspyit是国内自主研发的核心引擎。多用于C/S架构的产品。
（5）Anyview Nat Service 网络内核引擎驱动平台
Anyview Nat Service 是国内自主研发并目前世界最先进的Windows平台网络内核驱动引擎之一，十年以上实际批量规模运行；该技术采用网络数据链路层之底层NDIS内核驱动技术，类似卡巴斯基之内核技术直接嵌入到WINDOWS驱动内核，因此可以绕开火墙干扰，并比网络层驱动快100倍以上；更强大的性能，更好的兼容和稳定性、更强大的功能，更好的性能；可以支持几千上万个计算机的同时监控；
工作原理
一、外网监控与内网监控
企业里涉及到两部分的网络管理，一部分是监视上INTERNET的行为和内容，也就是大家说的上网监控或外网监控；另一部分就是如果这个电脑不上 INTERNET但又在内部局域网上（比如打印个文件什么的），一般被大家叫成内网监控或本网监控；上网监控管理的是上网的内容监视和上网行为监视（比如发了什么邮件，是否限制流量，是否允许QQ，或监视用户页面浏览）；而内网监视管理的是本地网络的活动过程（比如有没有COPY东西到U盘、是否在玩单机 游戏、使用电脑做了什么等等）。 
外网监控软件模式基本可以分为两类：有客户端的和没有客户端的（内网安全都需要客户端，上面没有客户端的都不能实现内网安全管理）。 
拥有内网管理功能的：网眼网络监控软件、Anyview网络监控软件、网路岗局域网管理软件、网猫网络监控软件实现需要客户端支持。这几种软件都有专门的客户端软件提供。 
没有内网管理功能的：百络网警局域网管理、聚生网管系统、超级嗅探狗上网监控系统。  网络监控的拓扑图二、有客户端的外网监控
信安上网行为管理系统和Phantom系统（外网管理和内网管理功能都提供）。 
不牵涉部署模式，因为他们的实现原理都是在C/S模式，通过部署在被监控计算机上的客户端来实现各种功能，在这种模式下，服务器的安装部署对网路环境就没有特别的要求，网络内随意找一个电脑就可以做服务器，而且功能、网络速度、效率都不受影响，不需要对原有网络架构、环境进行改动。 
唯一的缺点就是需要安装客户端。
三、没有客户端的外网监控
大概分为四种安装模式：旁路、旁听（共享式HUB、端口镜像）、网关、网桥。 
1．旁路模式： 
基本采用ARP欺骗方式虚拟网关，让其他计算机将数据发送到监控计算机。
此类软件较多，主要有聚生网管系统、P2P终结者、网络执法官局域网管理软件等。 
此类软件有超级嗅探狗网络监控软件、LaneCat网猫网络监控软件等。 
3．网关模式： 
是把本机作为其他电脑的网关（设置被监视电脑的默认网关指向本机），常用的是NAT存储转发的方式；简单说有点像个路由器工作的方式；因此控制力极强，但由于存储转发的方式，性能多少有点损失；不过效率已经比较好了。但维护和安装比较麻烦；无法跨越VLAN和VPN；假如网关死了，全网就瘫痪了。此类软件有 ISA、anyrouter软网关等，这里没有引用，ISA目前在一些银行金融机构仍在使用，海天上网监控软件是专门针对ISA而开发的。 
4．网桥模式： 
支持网桥模式的软件比较少，主要有Anyview网络警局域网管理软件、百络网警局域网管理软件、网路岗局域网管理软件。 
5．获取数据包的技术 
除了模式，我们讲一下获取数据包的技术，目前大概有两种方式： 
1) 采用操作系统核心NDIS中间层驱动模式， 
2) 公开免费接口WINPCAP协议层驱动。 
Anyview网络警局域网管理软件采用NDIS中间层驱动，百络网警说采用的是kercap内核技术（不了解）、网路岗则采用的是WINPCAP技术。 
由于WINPCAP本身设计的天生弱点，所以在流量限制方面无法实现、阻断UDP也将导致网络中断、无法支持千M网络和无线网络、性能也必然很低；也无法实现NAT等更多的扩展功能，由于在协议层运行会被火墙禁止；而NDIS中间层驱动模式由于在NDIS层位置驱动，因此性能效率将非常高，更多功能也将成为可能；能够克服WINPCAP所有的弱点，因此成为主流技术；但实现起来很大难度需要很强的开发实力； 
6．结论： 
按照部署模式分：通过对比我们可以知道，网桥模式是最理想的一种模式，这种模式唯一的缺点就是额外开支，需要购买一台足够网络处理能力服务器，而且还要连接在交换机和路由器之间的网络上。主要有Anyview网络警、百络网警、网路岗、activewall等。再按照获取数据包的技术分：显然Anyview网络警和activewall采用NDIS中间层驱动技术更好。
四、总结
如果需要内网管理与外网管理都需要，那么所有软件都需要客户端，显然Phantom和信安上网行为管理系统是最好的选择，其次是Anyview网络警局域网管理，因为Anyview网络警需要买一台服务器，部署在交换机和路由器之间。 
如果只需要外网监控，那末就需要选择了，Anyview网络警这时不需要部署客户端，但需要买一台服务器，部署在交换机和路由器之间。而网眼网络监控软件和Phantom则可以任选一台电脑做服务器；缺点是要安装客户端。
五、Winpcap的主要缺陷如下
1) 免费开放的国外代码，因此安全性欠缺；原理上是采用旁听模式，所以无法阻断UDP应用，无法流量限制，并容易数据丢包；阻断规则有可能引起网络中断或无效； 
2) 原理上决定不适合超过100个电脑的网络环境，如采用老式共享式HUB速度限制在10M带宽损失严重；如采用交换机镜像是共享100M方式，由于一些交换机本身的缺陷，采用镜像后会导致交换机阻塞现象的可能，因此网络带宽会大约损失40%； 
3) 由于是免费接口只提供总线抓包功能，所以不支持集群环境也不支持任何内网监控功能； 
4) 由于是高层协议接口同时未提供适合监控的加密压缩数据库；所以不支持即时大规模数据存储，不适合大用户网络；不包含千M、无线网；如需支持多 VLAN或VPN应采用镜像技术，需额外投资支持双向镜像技术的交换机并正确设置和维护； 
5) 由于提供的接口都是通用的有限代码，缺乏良好的可控性，所以很多功能无法实现；
六、Arp欺骗
欺骗局域网内计算机，使其他计算机误认为监控计算机为网关计算机，将所有数据发送到监控计算机，只能适合于小型的网络，且环境中不能有限制旁路模式；路由或防火墙的限制或被监视电脑安装了ARP防火墙都会导致无法旁路成功，因为你一边在禁止旁路一边却正在旁路，所以自相矛盾；同时如网内同时多个旁路将会导致混乱而中断网络。
知名软件
LaneCat网猫
LaneCat网猫是企业级的互联网监控软件，能有效监视、控制和记录局域网上计算机在互联网上活动行为，它可以实时记录局域网内计算机所有收发的邮件、浏览的网页以及FTP上传下载的文件，监视和管理网内用户的聊天行为，限制、阻断网内用户访问指定网络资源或网络协议。
安装LaneCat网猫可以带来以下好处：
1、记录、备份局域网内所有网站浏览、邮件内容、聊天内容、文件传输内容等信息，供需要时查询。
2、可以禁止指定网站、指定邮箱，禁止聊天软件以及文件传输的使用，避免员工对外泄漏公司机密商业资料，造成公司损失。
3、可以禁止网络游戏、股票软件等，大幅度提升员工上网办事效率。
4、可以对每个员工设置不同的上网级别，规定每个员工的网络使用权限等。
5、实时的在线聊天，在线文件传输监控，流量监控，使用者一眼就可以掌握网络使用概况。
6、详尽的员工上网统计报表，可供管理部门作为对员工的考评依据。
WorkWin网络监控软件
WorkWin分管理端和客户端。
一、监控方面：
提供网址监控，记录访问过的网址，屏蔽有害网址；
提供即时通讯监控，包括QQ聊天监控，MSN、飞信、旺旺、Skype等的监控；
可监控只允许登录的QQ号，只有工作用途的QQ可以正常登录；
可监控并记录网卡流量，有助于分析每台客户机的网络行为；
提供邮件监控，包括SSL加密邮件的监控。
二、远程控制方面：
提供远程协助功能，远程管理方便系统维护及网络维护，不必去每一台客户机电脑上操作。
三、安全控制方面：
屏蔽游戏、屏蔽在线电影占用网络带宽、屏蔽迅雷等下载占用带宽；
可设置每台客户机最大允许下载流量速度、超过此限额自动掐断互联网连接；
可设置只能运行与办公有关的软件，避免使用非法软件对网络安全带来隐患；
可屏蔽特定网络端口，可禁止优盘，防止优盘病毒带来网络安全隐患。
数据伞网络监控软件
数据伞网络监控软件用来防止公司机密资料通过U盘和互联网非法外泄，并规范员工上班行为的信息安全监控软件。
软件安装方法简单，主控和被控安装时间不超过一分钟，具体安装步骤可以下载后参见压缩包里面的内容。
数据伞网络监控软件的功能特点：
（控制管理7大项、日志查询17项、统计等主要如下）
1) 远程屏幕屏幕截图；
2）截图浏览（视频播放）；
3) 查看员工QQ/MSN/SKYPE/飞信聊天监控、邮件内容、浏览了哪些网站、运行过哪些游戏软件或炒股软件等；
4) 禁止浏览指定的网站，禁止使用电驴、炒股、基金、BT、QQ、MSN等程序；
5) 限制员工通过U盘拷出重要文件或通过QQ/MSN/邮件发出机密资料；
6) 统计24小时每个时段的聊天数量，迅速找出聊天最多的前10名，每月直接向领导汇报... 
7)网址白名单功能；
8)优先网络监控。 
成功应用案例：
该网络监控软件已在青岛市城市规划设计研究院成功运行了4年，效果显著，未发生一起内部泄密事件，有效地保护了内网的信息安全。目前，该软件已在多家甲级设计院及清华大学、中国海洋大学等高校成功运行。 
数据伞网络监控软件象数据“保护伞”一样，时刻监视着局域网内的一举一动，任何对数据、端口、网络设备、互联网的操作都将纪录下来，一旦有信息泄漏等不法行为的发生，可以迅速取证、掌握失密内容和泄密途径，追查当事人的责任，并快速制定应急预案和补救措施，防止泄密影响扩大化。
流行软件
P2P终结者是arp性质的监控软件，只需在局域网的任意一台电脑上安装的B/S架构的软件。 P2P终结者主要功能如下：
.支持目前主流P2P协议控制(Bittorent,BaiduX,PP,Poco,Kamun,Thunder,Kugoo,eMule等)
2.支持P2P下载带宽限制自定义
3.支持指定主机全局带宽限制
4.主机网络带宽实时查看功能，可以使网络管理员对网络带宽使用情况做到一目了然
5.完全集成一些网络攻击工具的断开公网连接功能
6.IP-MAC绑定控制功能
7.网络主机通讯详细信息(IP报文内容分析)实时查看功能
8.HTTP下载自定义文件后缀控制功能
9.FTP下载限制功能
10.WWW站点自定义控制功能，支持黑名单、白名单方式
11.QQ,MSN，PoPo,UC聊天工具控制功能