糖果实验室杂货铺

Candy Lab

windump与graylog

1 month ago 0

抓取流量最流行的工具就是Wireshark,在Windows上Wireshark的GUI界面很酷,但对于在linux和mac用惯了tcpdump用户来说,用命令行的tcpdump更直接便捷。Windows上有没有类似tcpdump的抓包工具呢?答案是有的,就是windump,底层是基于winpcap库的命令行工具。

大体的背景是这样的,有一台Windows服务器运行了一个较定制化的闭源的radius服务,因为这是一个很老的服务,并没以完备的日志输出机制,我们无法从现有的日志统计出用户流量数据,在服务压力大到什么程度会出现问题,我们现掌握的数据中无法更好的识别民常,统计出流量分布,估算出预警的峰值,也无法可视化当前服务的状态。本身认证服务,随着外部的关联服务变的压力不段加大。

根据目前的现状整个出几个需求:

1.可在不入侵代码的前题下,量化监听流量。 2.可将流量日志数据传到大数据平台,进行非实时的统计,找出预警的阀值。 3.用基于winpcap自主开发的监听工具代替windump,做实时的数据分析,阀值预警、可视化负载状态。

本文侧生点是用windump和大数据graylog配合,做到前2点,第3点后继做介绍。

所以,下面开始我们要接触几个软件,但不会触及到太多代码问题,软件分别是 windump,sidercar,nxlog,而graylog的安装使用不做具体介绍。

安装这些工具后,我们就可以来监控流量了,并在graylog端做简单的可视化分析。

1.运行windump,监听指定IP的测试流量。

windump.exe -i 1 udp port 1812 and 192.168.0.6

2.将windump输出的日志文件,重定向到指定文件目录。

3.启运流量分析脚本。

4.停制监控,查看graylog日志结果,做分析。

关于graylog的部分,pcap库的定制使用后在后期出。


糖果实验室

Openresty中文编程网
IKBC经典机械键盘
机械键盘领券优惠购买

Write a Comment