Умный снифер седьмого уровня

[vladd]

Всем привет!

 

Давно ищу софтину, которая бы слушала сетевой интерфейс, анализировала бы заголовки пакетов и сохраняла бы подробную статистику о трафике всех пользователей сети в свою базу. Чтобы в любое время, задав нужный временной интервал (например, вчера с 19:00 до 21:00) и IP клиента, можно было бы получить подробный отчет, куда этот самый клиент лазил и что качал:

 

- Список URL-ов, куда он выходил, аля access_log, с указанием объема каждого полученного файла.

- Список отправленных по SMTP и полученных по POP3/IMAP писем с адресами получателей и их объемами.

- Список скачанных по FTP файлов с указанием адресов и объемов.

- Список скачанных файлов в файлообменных сетях с указанием их названий и объемов.

- И тд, и тп..

 

Еще желательно, чтобы эта софтина не привязывалась бы к конкретным портам, а основывалась бы только на содержимом самих пакетов. Например, HTTP-трафик может быть и на порту 8088, и еще где угодно.

 

Бывает ли такое? Все какие-то недоделки попадаются, из которых даже с помощью целого набора напильников нельзя соорудить требуемый функционал.

[PleskovGrad]

Забыл дешифровку зашифрованного траффика.

[woddy]

пионерский СОРМ?

[vladd]

Просто достали клиенты, требующие предоставить им полностью детализацию и объяснить, куда у них уходит трафик. Просто список IP-адресов не канает, т.к. они в этом ничего не понимают, и требуют нанять им спеца для расшифровки. Клиенты серьезные, просто так не пошлешь. И просто как доп. услуга такая деталировка весьма востребована.

 

Помнится, когда-то кто-то предлагал коммерческое решение подобное этому. Только вспомнить не могу никак, что за контора..

 

Забыл дешифровку зашифрованного траффика.

Для этого просто сгодится пункт "зашифрованный трафик, HTTPS".

 

Как правило, преобладать в такой деталировке будут вирусы и входящий спам, а они не шифруются. Этого вполне достаточно для того, чтобы объяснить клиенту, что он не прав и сам скачал свой трафик.

[Magnum72]

Просто достали клиенты, требующие предоставить им полностью детализацию и объяснить, куда у них уходит трафик. Просто список IP-адресов не канает, т.к. они в этом ничего не понимают, и требуют нанять им спеца для расшифровки. Клиенты серьезные, просто так не пошлешь. И просто как доп. услуга такая деталировка весьма востребована.

 

Помнится, когда-то кто-то предлагал коммерческое решение подобное этому. Только вспомнить не могу никак, что за контора..

 

Забыл дешифровку зашифрованного траффика.

Для этого просто сгодится пункт "зашифрованный трафик, HTTPS".

 

Как правило, преобладать в такой деталировке будут вирусы и входящий спам, а они не шифруются. Этого вполне достаточно для того, чтобы объяснить клиенту, что он не прав и сам скачал свой трафик.

Единственное коммерчески приемлемое решение это анлимный тарифный план.

[puh]

многое из запрошенного умеет цискин SCE

[user_anonymous]

все пустить через сквид и давать отчет по УРЛ-ам на основе его статистики, предварительно объяснив клиентам, что статистика сквида - это лишь часть реального трафика.

[YuryD]

Покажите им tmeter.ru бесплатный. пусть сами в своем траффике копаются...Особенно подходит для контор за NAT

[Ivantey]

Можете попробывать ntop на сервере поставить

[anix]

Есть netams, он может урлы протоколировать http://www.netams.com/doc/kb_url.html

Проверял, работает, только база быстро разрастается.

 

Либо, если уж надо протоколировать все, tcpdump > file, а потом grep :)

Edited March 5, 2008 by anix

[vladd]

Есть netams, он может урлы протоколировать http://www.netams.com/doc/kb_url.html

 

Либо, если уж надо протоколировать все, tcpdump > file, а потом grep :)

В том то и дело что урлы не катят, нужно все. Поэтому и squid тоже не подходит. А tcpdump при трафике в несколько терабайт - как-то слишком жирно получается :)

 

Еще видел некий WireShark - вроде в описании то, что надо, а посмотрел - совсем не то. Подойдет ли он для поставленной задачи?

 

[puh]

WireShark - это сниффер. считай, что тот же tcpdump, только с декодером пакетов.

не пойдёт.

[slammer]

Лет 5 назад развлекался с софтинкой GiveMeToo.

Письма по POP&IMAP, сообщения мессенджеров, файлы по ftp, smb, http-страницы - все это сохраняла полностью, в каталоги с именами в виде IP-адресов.

 

Под виндой.