Netzwerkmonitor analysiert Datenströme im Netzwerk

Anbieter zum Thema

Eine kleine Einführung in den Netzwerkmonitor

Voraussetzung ist das grundlegende Verständnis von Datentechnik, wie beispielweise das ISO-7-Schichtenmodell und der Aufbau von Datenpaketen in TCP/IP-Netzwerken. Da der Monitor einen Datenstrom von Nullen und Einsen aufnimmt, möchte man diese Informationen in eine bessere lesbare Form bringen.

Der Netzwerkmonitor identifiziert hierzu diejenige Anwendung, die für den Datentransfer verantwortlich ist und ordnet dieser die zugehörigen Rahmen (Frames) zu. Der Inhalt des Frames kann in HEX oder in einen ASCI-Code umgerechnet werden, was aber immer noch recht kryptisch ist. So richtig gut lesbar wird der Frame daher erst in den „Frame Details“, wo Parser-Bausteine bei der Übersetzung helfen.

Um bei der Fülle der Netzwerkteilnehmer und Protokolle nicht den Überblick zu verlieren, ist ein Filter sehr sinnvoll. Dieser kann vor oder nach der Sammlung (Capture) eingesetzt werden. So kann beispielsweise der Netzwerkverkehr zwischen einem Server und einem Client für die Word/SharePoint-Kommunikation protokolliert werden (siehe Abbildung 5). So kann nach fremden Datenpaketen, defekten Netzwerkkomponenten, Client/Server-Kommunikationen, Hackern und vielem anderen mehr, geforscht werden.

Achtung: Datenschutz!

Administratoren und Entwickler in Firmen sollten sich vor der Anwendung des Netzwerkmonitors über die Tragweite der Überwachung im Klaren sein und sich „Rückendeckung“ gemäß der Firmen-Compliance beschaffen. In geswitchten Netzwerken (Layer 2 oder gar 3) kann nur der Datenverkehr aufgezeichnet werden, der von- und zu demjenigen Computer geht, wo der Netzwerkmonitor installiert ist! Ein Remote-Agent für den Netzwerkmonitor 3.4 ist derzeit nicht verfügbar und auch nicht in Planung (laut Michael Hawker, Microsoft, Netzwerkmonitor-Blog, 3.5.2011). Mit optionalen „Experten“ kann dieser Verkehr aber weiter analysiert, auch ggf. entschlüsselt werden. Unverschlüsselte Daten zum Analyse-PC, wie beispielsweise bei einer unverschlüsselten SharePoint-Website können immer mitgeschnitten und ausgewertet werden.

Der Privatanwender braucht sich um Firmen-Compliance nicht zu kümmern. Er kann den Netzwerkmonitor dazu verwenden, endlich mal nachzuschauen, was beispielsweise gewisse Programme ins Internet senden.

Ein besonderer Blick auf die Parser

Es gibt 4 vorgefertigte Parser-Profile (hier von schnell zu langsam geordnet), die sich nach den Installationsordnern der Parserdateien richten:

„Pure“, bei maximaler Computer-Performance. Es findet kein Parsing statt, es stehen daher auch keine Informationen in den „Frame Details“.
„High Perf Capturing“, für TCP, UDP und tiefere Protokolle.
„Faster Parsing“, mit den Kern-Parsern (ohne Codeplex-Erweiterungen) und ohne die SMB und SMB2-Protokolle.
„Default“, mit den wichtigsten Protokollen (auch SMB, SMB2), aber es werden keine Anwendungsprotokolle übersetzt.
„Windows“, für die größte Übersetzung von Protokollen. Hier werden beispielsweise XML oder SQL TDS-Protokolle eingebunden.

Die Parser sind in Netzwerk Analyse Language (NPL) verfasst und können im Netzwerkmonitor oder mit einem beliebigen Editor (z.B. Visual Studio) bearbeitet werden. Aus bestehenden Parsern können so neue Parser erzeugt werden. Die Parser-Dateien besitzen die Endung NPL. Eigene Parser werden voreingestellt im Benutzerprofil abgespeichert. Sie können aber auch in einem weiteren Installationsverzeichnis in einem benutzerdefiniertem Parserprofil abgelegt sein.

Fazit

Der Netzwerkmonitor 3.4 ist ein Microsoft-Tool, das über Open Source Code erweiterbar ist. Hierfür stehen sog. Experten und erweiterbare Parser zur Verfügung. Das Tool dient vortrefflich dazu, mit etwas Kenntnis der Datentechnik den Netzwerkverkehr zu analysieren und zu überwachen.