网络流量检测对于企业网络管理员来说算是必要的技术之一，通过网络流量检测可以使得网络安全管理员监控企业网络存在的异常与威胁。本篇文章就主要分析常见的几种网络流量检测方法。

网络流量监测之基于流量镜像协议分析

流量镜像（在线TAP）协议分析方式是把网络设备的某个端口（链路）流量镜像给协议分析仪，通过7层协议解码对网络流量进行监测。与其他3种方式相比，协议分析是网络测试的最基本手段，特别适合网络故障分析。缺点是流量镜像（在线TAP）协议分析方式只针对单条链路，不适合全网监测。

网络流量监测之基于硬件探针的监测技术

硬件探针是一种用来获取网络流量的硬件设备，使用时将它串接在需要捕捉流量的链路中，通过分流链路上的数字信号而获取流量信息。 一个硬件探针监视一个子网(通常是一条链路)的流量信息。对于全网流量的监测需要采用分布式方案，在每条链路部署一个探针，再通过后台服务器和数据库，收集所有探针的数据，做全网的流量分析和长期报告。与其他的3种方式相比，基于硬件探针的最大特点是能够提供丰富的从物理层到应用层的详细信息。但是硬件探针的监测方式受限于探针的接口速率，一般只针对1000M以下的速率。而且探针方式重点是单条链路的局域网流量分析，Netflow更偏重全网流量的分析。

网络流量监测之基于SNMP的流量监测技术

基于SNMP的流量信息采集，实质上是测试仪表通过提取网络设备Agent提供的MIB（管理对象信息库）中收集一些具体设备及流量信息有关的变量。基于SNMP收集的网络流量信息包括：输入字节数、输入非广播包数、输入广播包数、输入包丢弃数、输入包错误数、输入未知协议包数、输出字节数、输出非广播包数、输出广播包数、输出包丢弃数、输出包错误数、输出队长等。相似的方式还包括RMON。与其他的方式相比，基于SNMP的流量监测技术受到设备厂家的广泛支持，使用方便，缺点是信息不够丰富和准确，分析集中在网络的2、3层的信息和设备的消息。SNMP方式经常集成在其他的3种方案中，如果单纯采用SNMP做长期的、大型的网络流量监控，在测试仪表的基础上，需要使用后台数据库。

网络流量监测之基于Netflow的流量监测技术

Netflow流量信息采集是基于网络设备（Cisco）提供的Netflow机制实现的网络流量信息采集。Netflow为Cisco之专属协议，已经标准化，并且Juniper、extreme、华为等厂家也逐渐支持，Netflow由路由器、交换机自身对网络流量进行统计，并且把结果发送到第3方流量报告生成器和长期数据库。一旦收集到路由器、交换机上的详细流量数据后，便可为网络流量统计、网络使用量计价、网络规划、病毒流量分析，网络监测等应用提供计数根据。同时，Netflow也提供针对QoS（Quality of Service）的测量基准，能够捕捉到每笔数据流的流量分类或优先性特性，而能够进一步根据QoS进行分级收费。与其他的方式相比，基于Netflow的流量监测技术属于中央部署级方案，部署简单、升级方便，重点是全网流量的采集，而不是某条具体链路；Netflow流量信息采集效率高，网络规模越大，成本越低，拥有很好的性价比和投资回报。缺点是没有分析网络物理层和数据链路层信息。Netflow方式是网络流量统计方式的发展趋势。\

AnyView（网络警）网络监控软件专业版是国内目前最专业局域网网络监控软件产品。包含局域网上网监控和内网监控；邮件监控、Webmail发送监视、聊天监控、P2P禁止、流量监控、并发连接数限制、禁止聊天工具文件传输、屏幕监视和录象、USB等硬件禁止、应用软件限制、窗口和文件监控、打印监控、ARP火墙、消息发布、日志报警、FTP命令监视、TELNET命令监视、网络行为审计、操作员审计、文件自动备份功能、软网关、通过网页发送文件监视、资产管理、包含QQ/MSN/飞信等16类聊天记录内容监视功能；

二、网络监控系统是网络安全系统的核心

网络监控系统是网络安全系统的一个重要的组成部分，它是对其他的网络安全技术的重要的补充。网络监控系统不仅仅只是对于网络上的通信进行被动的协议分析和恢复，而且它可以根据一定的规则对于这些信息进行有选择的选取，再进行协议分析和恢复，以缩小处理数据的范围；网络监控系统可以将恢复的信息显示给系统管理人员，以供对于信息的更加详细的人为判断；网络监控系统可以从防火墙或入侵检测系统那里获取可疑的计算机的信息（一般为IP地址或是MAC地址），有针对性地对这样的可疑计算机进行监视和记录；网络将监控系统记录下来的信息可以作为司法的调查的证据，因此人们有时候也称“网络监控系统”为“网络取证系统”。

总之，网络监控系统的存在使具有一定的特权的网络管理人员对于网络上出现的违法，或破坏行为更加一目了然，这种应用从某种程度上对于一些利用网络从事非法活动的人起到了一定的威慑的作用，提高了网络的安全性。