【正文】 .............................14 信息監(jiān)測處理服務器 .................................................................................................15 歸檔 .............................................................................................................................15 監(jiān)視管理控制臺 .........................................................................................................15 監(jiān)視審計瀏覽器 ..........................................................................................................15 1 1 介紹 ICMS (Information Content Monitor System) 允許用戶的網(wǎng)管中心或信息安全監(jiān)管部門對 Inter 和 Intra 信息內(nèi)容實施有效的監(jiān)控，包括對指定用戶電子郵件的監(jiān)視。 ICMS 可監(jiān)視各類局域網(wǎng)和廣域網(wǎng)的 IP，包括以太網(wǎng)、快速以太網(wǎng)，令牌網(wǎng)、 ATM 及其他。 圖 21：全面截取 ICMS 可對廣泛的 IP 會話內(nèi)容進行監(jiān)視，包括電子郵件、 Web 通信、文件傳遞、各種信息，新聞、遠程登錄等等。相關會話信息包括 地址、 IP 地址、精確的發(fā)送 3 時間等。如： ● 發(fā)現(xiàn)新的值得注意的會話內(nèi)容或過程 ● 獲取會話操作者的行為（包括歷史信息） ● 接受特定事件的告警 ICME 是 ICMS 監(jiān)視中心的核心部分，放置在網(wǎng)管或安全監(jiān)測管理機構（ SMMA）所在地。國都興業(yè)將提供相應的廣域網(wǎng) GD Probe 設備直接接收或?qū)⑺械木W(wǎng)絡通信集中于一個網(wǎng)絡段（ LAN segment），用于 ICMS 監(jiān)視。例如，不同的監(jiān)視要求采用不同的監(jiān)視規(guī)則。也可以是行為，如包含特定關鍵字或發(fā)往指定用戶的 會話。目標關鍵字可以是基于任何包含在會話中的與 SRI 有關的參數(shù)。 目標分類器 . 注意 —— 在某些應用中，如系統(tǒng) 僅監(jiān)視一個網(wǎng)絡，而且每個目標只有一個目標關鍵字，此時用戶可以使用一個僅有事件和目標的二級層次結構。 使用優(yōu)先權參數(shù)解決了兩個重要的瓶頸： ● 限制向監(jiān)控中心發(fā)送會話的通訊速度。會話優(yōu)先權可保證每個監(jiān)控者隨時都可以對重要的會話進行處理。 來自于被監(jiān)控的 IP 網(wǎng)絡的被過濾的通信均被發(fā)至監(jiān)控中心。緩存大小可以增加以支持多達數(shù)小時的緩存。獲得授權的用戶可在監(jiān)控中心的或遠程工作站的 NIMS 控制臺上實施監(jiān)控。首先，在 ICMS 的監(jiān)控管理控制臺上會出現(xiàn)報警信息，包括時間、源 IP、目的 IP、會話類型以及會話的摘要。如果監(jiān)控者認為該會話不重要，可從數(shù)據(jù)庫中將其刪除。如果占用率達到一個非常高的百分比，系統(tǒng)將自動刪除相關的事件或組，其中，無價值的信息內(nèi)容（會話）將首先被刪除，必要的話，新的信息內(nèi)容（會話）也可按照優(yōu)先權的遞增被刪除。包括將會話發(fā)送至存儲單元進行長期保存或刪除 之 ● 更改監(jiān)視規(guī)則的摘要和注釋字段，允許監(jiān)視人員埴寫會話摘要和個人注釋。屏幕上至少要顯示如下信息： ● 從網(wǎng)絡上接收到的完整的 SRI ● 實時指示器用于表明該會話是否處于實時監(jiān)視中 ● 會話類型（ ， Web 頁或文件） 9 ● 會話狀態(tài)（新、已處理、存檔） Email 會話 . ICMS 監(jiān)控中心可完整顯示 包的各個部分。不久，系統(tǒng)也將提供對 Lotus Notes 和 Microsoft Exchange 郵件格式的支持。一旦 FTP 會話內(nèi)容被網(wǎng)絡用戶發(fā)起，該接口即可正確地顯示。對過濾分層目錄的每次改動將導致對安裝在所監(jiān)視 IP 網(wǎng)絡上的過濾和傳輸組件的修改。 如前所述， ICMCON 用于接收被監(jiān)視 IP 網(wǎng)絡的所有會話過程或 會話的狀態(tài)信息，并提供了下列分析工具。如當用戶發(fā)現(xiàn)一個新的目標時可以很容易地獲取與該目標有關最近 1～ 2 個月所有 會話的詳細資料。 ● GD Probes ● 監(jiān)視中心，包括： ◆ 信息監(jiān)視處理引擎 . ◆ 監(jiān)視管理控制臺 ◆ 監(jiān)視記錄索引數(shù)據(jù)庫 ◆ 監(jiān)視審計瀏覽 器 下面是 ICMS 的工作流程： ● 被監(jiān)視的網(wǎng)絡上所有的 TCP/IP 包進入 GD Probe ● GD Probe 全面截取流經(jīng)被監(jiān)視的網(wǎng)絡，按照監(jiān)視者所定義的參數(shù)對相關的 TCP/IP 包進行過濾。如果出現(xiàn)通信錯誤，被過濾的包可在 GD Probe 中保留幾個小時。 12 ● 將預處理后的會話進行處理： SRL過濾 關鍵詞匹配 分類器特征識別 ● 對流行的 IP 應用的處理。目前，該功能可用來將所監(jiān)視網(wǎng)絡中的 包發(fā)往信息監(jiān)測處理服務器。 監(jiān)視中心允許監(jiān)視人員將 的原文和平面文本二種格式進行歸檔管理。目前，Probe 正在高速網(wǎng)絡上進行測試， 如 Gigabit 以太網(wǎng)。 與監(jiān)控網(wǎng)連接的通信線 GD Probe 截取并進行預處理的會話借助一 條 Ether、 E幀中繼或其他方式通過TCP/IP 廣域網(wǎng)發(fā)送至監(jiān)控網(wǎng)中的信息監(jiān)測處理服務器。緩存的時間長短直接決定于 GD 15 Probe 的磁盤容量。 信息監(jiān)測處理服務器 信息監(jiān)測處理服務器是一種商用的、基于 Windows 20xx 平臺的服務器。 監(jiān)測審計瀏覽器是一個標準的 Windows 的應用軟件， Web 和 FTP 會話可以使用Microsoft174。