网络监视与分析设备GigaStor测评

网络监视与分析设备GigaStor测评

日期：2007-11-22　作者：杨春晖　来自：:IT专家网

同监视网络的摄像机一样，Network Instruments公司的设备能够捕捉和转发网络通讯以便用于审计、分析和排除故障。 　　分析网络事件的能力对于当前的企业是非常重要的。除了HIPAA和Sarbanes-Oxley等法规之外，美国30多个州还要求机构在客户个人信息曝光时通知客户。如果不通知客户将面临罚款和法律诉讼。拥有实际的网络通讯能够帮助IT部门回答一些紧迫的问题：信息被突破了吗?信息突破的程度如何? 　　Network Instrument公司的GigaStor产品回答了这些问题并且能够回答更多的问题。这个产品能够捕捉和存储网络通讯，并且能够回放包括应用程序进程、文件传输和网站使用在内的网络通讯，为准确了解网络发生了什么事情和谁应该负责提供了一个极好的工具。根据它监视的链接，它能够存储几天、数月、甚至数年实际的网络通讯。目前最大的设备的存储容量可存储48TB数据。我们测试的设备可存储12TB数据。 　　虽然GigaStor主要是作为网络管理员排除故障和分析的工具，但是，GigaStor还能够让内部和外部审计人员、公司律师和官员感到满意。当应用程序崩溃、信息被盗窃或者员工违反政策时，最先要回答的问题和最难回答的问题就是“到底发生了什么事情?”。这种设备能够在调查违反政策事件、遵守法规问题或者网络犯罪活动的过程中提供重要的证据。 　　例如，假设你正在调查一名员工向外部机构发送一个敏感的文件名的文件“new_product.exe”的事件。大多数竞争性的产品都记录关键的统计，如文件名、源IP地址、发送协议和发送时间。然而，当你重新构建这个事件并且与那个员工对质的时候，他会争辩说那个文件是一个无害的可执行文件，只是与敏感的文件名重名。GigaStor记录传送的真实文件，让你能够看到那个文件。这个产品的缺点是价格太昂贵。购买者必须认真选择哪一个网络链路能够从实时通讯捕捉中得到最大的好处。这个产品还需要许多时间学习如何最有效地使用它。最后，对于一个对审计人员和律师有重要意义的产品来说，这个产品缺少一个详细的说明书，没有介绍如何深入调查坏事并且以这类用户容易理解的方式提供证据。Network Instruments表示，它知道这个事情并且将解决这个问题。不过，在说明中省略这个内容是一个遗憾。 　　这是一种记录设备 　　我们没有发现我们的GigaStor设备特别难使用。然而，这是一种复杂的产品，需要投资进行培训以保证你能够发挥这个产品的全部潜力。一旦把 GigaStor设备安装到网络链路上，IT部门就可以通过连接到网络的PC安装的Observer(观察器)软件访问这个设备。Observer能够观察到网络使用状况和性能。这个软件还包含根据地址、端口或者字节偏移等标准参数进行过滤的很好的工具。从网络分析方面看，我们发现这个系统与主要竞争对手的产品不相上下。例如，它能够提供使用数据、MAC地址列表、在几个级别上的对话双方数据、VoIP统计和良好的专家分析。然而，它不能处理视频以及 Agilent的网络或者三网合一分析器。 　　Observer和GigaStor真正的亮点在于能够迅速改变捕捉信息的观察时间长度。你可以存储几个星期、几个月、甚至几年的通讯数据(见下表)。你可以把捕捉的通讯数据转移到你的存储局域网，不过，你要与Network Instruments公司谈一下有关捕捉信息和写入磁盘的速度问题。 　　需要指出的是GigaStor的大多数取证分析都在设备本身上完成，而不是把数据传送到Observer。这就减少了网络上传输大型文件的数量，不需要消耗Observer计算机的处理能力。在GigaStor继续监视网络的同时，你还可以把捕捉的部分文件传送到PC进行分析。 　　当你进行取证分析的时候，GigaStor使用开源软件Snort的规则集(ruleset)查找安全事件。如果一个规则显示不良行为，GigaStor便重新构造那个通讯。当然，你需要当心，不要打开恶意的文件。 　　如果你在监视对不适当的网站的访问，你只需要在这个对话中找到几个数据包就可以让GigaStor3完整地重新构造这个网络对话，制作出组成提取的网页的实际文件和图像。如果你需要重新创建这个事件，捕捉的数据能够回放到生产环境或者一个虚拟网络。 　　虽然这个接口与其它分析器类似，但是，这个接口需要理解实例。这个概念类似于一个进程与一个账户之间的混合的东西。一个实例定义你的访问权限，建立你的Observer和一台特定的GigaStor设备之间的逻辑关系。这将允许一个Observer管理多台GigaStor设备，或者多个 Observer软件访问一台GigaStor设备。 　　GigaStor产品存储数据的速度为每秒14.4GB。我们测试的12TB存储容量的设备存储数据的速度为每秒3.4GB。如果你要看到你的网络上发生的一切事情，你可以把它安装到干线链路上。但是，你的存储空间很快就会被填满。如果你更关心互联网行动，你可以把它连接到你的外部路由器。当这台设备达到饱和容量时，它将删除最早的通讯数据。你可以把捕捉的数据下载到备份存储系统。但是，你必须把这些数据重新装载到GigaStor设备才能进行分析。 　　正如指出的那样，Network Instruments要把GigaStor设备收集的数据变成对审计人员、律师和官员有直接用途的数据还需要做许多工作。Network Instruments没有提供将捕捉的数据用于法律用途的指南。这是有问题的，因为处理法律证据需要严格的程序，特别是用于法庭的证据。不按照这些程序做，提供的法律证据将不予承认。管理员应该与法律顾问合作保证IT部门的数据收集和证据处理做法符合严格的审查要求。 　　这种设备的固定存储容量有4、8或者12TB。根据选择的接口数量和类型，销售价格为2万美元至5万美元。新的可扩展的GigaStor设备能够把存储容量扩大到16、32或者48TB，根据选择的接口，销售价格为6万美元至9万美元。我们测试的12TB GigaStor设备销售价格为5万美元，加上购买Observer软件2,895美元。