【正文】 高水平的設計 本章對 ICMS 的高水平的系統(tǒng)設計及其硬件模塊進行了說明。 ? Web 會話 . ICMS 監(jiān)視中心的控制臺可顯示監(jiān)測的文本形式的 Web 頁面， ICMS 的審計瀏覽器可以地顯示包括完整的 HTML頁、圖片、動態(tài)組件，甚至于用戶的 輸入信息。另外，所有會話的 SRI 和所有會話內(nèi)容可在數(shù)據(jù)庫是保存幾個月。通信線路可被標準的 VPN 機制所保護。目標關鍵字也可以限制在對具有特定的或具有邏輯組合的 SRI 值的會話進行過濾。該系統(tǒng)以 GD Probe（國都網(wǎng)絡探測器）方式嵌入在路由器與交換機、交換機與交換機、交換機與集線器之間的網(wǎng)線中，接收所有流經(jīng)它們之間的以太網(wǎng)幀。同時，該系統(tǒng)也可對以所有會話（包括電子郵件）的 SRI.(Session Related Information)、過程以及內(nèi)容進行記錄存儲。并同時包含了一個高級的標準瀏覽審計工具便于使用者對數(shù)據(jù)庫中的會話記 錄信息進行分析，并獲得智能化的推斷。 目標關鍵字 .一個目標關鍵字就是一個決定是否與某一特定目標相關的會話的過濾狀態(tài)。 按現(xiàn)今 ISP 用戶的平均使用量， ICMS 可同時監(jiān)控數(shù)千個用戶，以及所有的電子郵件。一旦監(jiān)控者打開這一會話監(jiān)視信息，它的狀態(tài)將為“已處理”。 目前， ICMS 監(jiān)控中心可支持對 SMTP， POP3， IMAP4 信息的過濾 并能解譯壓縮編碼的附件 :zip, arj、 lzh 和 lha。 審計瀏覽器允許用戶得到與目標相關的有價值的歷史信息。 ● 存儲鎖定目標的會話，以便監(jiān)控管理控制臺實時顯示 Email 監(jiān)視 信息監(jiān)測處理服務器允許 IP Probe 對特定類型的、按照 TCP/UDP 目的端口號所實施的通信進行發(fā)送的機制。緩存在 GD Probe 本地硬盤中的會話將在網(wǎng)絡再次接通時發(fā)往信息監(jiān)測處理服務器。 Inter Explorer 打開， 會話可使用 Microsoft174。 每個 GD Probe 可以以 Taps、 Switch/Hub 鏡像端口方式連接至所監(jiān)視的局域網(wǎng)的網(wǎng)端上。 信息監(jiān)測處理引擎是整個系統(tǒng)的“大腦”。 安全 每個事件都與負責監(jiān)視該事件的某組監(jiān)視人員有 關。 ● 通過 ICMS 瀏覽平臺可詳細查看和分析被監(jiān)視到的 會話（信息內(nèi)容）。 以下的部分描述了 ICMS 高效率監(jiān)控方法。如果同時向監(jiān)控中心發(fā)送的會話過濾數(shù)目超過允許值，系統(tǒng)將產(chǎn)生擁塞。 5 ICMS 的有關邏輯概念： 事件 。 為監(jiān)視有關會話，該系統(tǒng)使用了一個預定義的 SRI 參數(shù)配置表，如會話的源 IP 和目的 IP 地址、 地址、 Web URL、會話內(nèi)容（如 的附件）中的搜尋關鍵字和一個可學習型的文本分類器增加特征識別。 圖 21：全面截取 ICMS 可對廣泛的 IP 會話內(nèi)容進行監(jiān)視，包括電子郵件、 Web 通信、文件傳遞、各種信息，新聞、遠程登錄等等。例如，不同的監(jiān)視要求采用不同的監(jiān)視規(guī)則。 使用優(yōu)先權(quán)參數(shù)解決了兩個重要的瓶頸： ● 限制向監(jiān)控中心發(fā)送會話的通訊速度。獲得授權(quán)的用戶可在監(jiān)控中心的或遠程工作站的 NIMS 控制臺上實施監(jiān)控。包括將會話發(fā)送至存儲單元進行長期保存或刪除 之 ● 更改監(jiān)視規(guī)則的摘要和注釋字段，允許監(jiān)視人員埴寫會話摘要和個人注釋。對過濾分層目錄的每次改動將導致對安裝在所監(jiān)視 IP 網(wǎng)絡上的過濾和傳輸組件的修改。如果出現(xiàn)通信錯誤，被過濾的包可在 GD Probe 中保留幾個小時。目前，Probe 正在高速網(wǎng)絡上進行測試， 如 Gigabit 以太網(wǎng)。 監(jiān)測審計瀏覽器是一個標準的 Windows 的應用軟件， Web 和 FTP 會話可以使用Microsoft174。緩存的時間長短直接決定于 GD 15 Probe 的磁盤容量。目前，該功能可用來將所監(jiān)視網(wǎng)絡中的 包發(fā)往信息監(jiān)測處理服務器。如當用戶發(fā)現(xiàn)一個新的目標時可以很容易地獲取與該目標有關最近 1～ 2 個月所有 會話的詳細資料。不久，系統(tǒng)也將提供對 Lotus Notes 和 Microsoft Exchange 郵件格式的支持。如果監(jiān)控者認為該會話不重要，可從數(shù)據(jù)庫中將其刪除。 來自于被監(jiān)控的 IP 網(wǎng)絡的被過濾的通信均被發(fā)至監(jiān)控中心。目標關鍵字可以是基于任何包含在會話中的與 SRI 有關的參數(shù)。如： ● 發(fā)現(xiàn)新的值得注意的會話內(nèi)容或過程 ● 獲取會話操作者的行為（包括歷史信息） ● 接受特定事件的告警 ICME 是 ICMS 監(jiān)視中心的核心部分，放置在網(wǎng)管或安全監(jiān)測管理機構(gòu)（ SMMA）所在地。 某興業(yè)科技發(fā)展有限公司 ICMS 系統(tǒng)產(chǎn)品說明書 I 目 錄 ..........................................................................................................................................1 ..........................................................................................................................................2 全面截取 ........................................................................................................................2 會話監(jiān)視 ........................................................................................................................2 會話監(jiān)視處理引擎（ ICME） ......................................