在基于其特点之上，我们发现了网络流量监控的功能有以下几点：（1）透视网络流量控制，发现与定位网络故障；（2）限制无关的流量，防止对带宽的滥用；（3）保障关键应用的稳定运行，确保能顺畅地使用网络；（4）简化多专线管理，保障专线的网络质量；（5）帮助网络优化与规划，支持网络安全运行；（6）便于发现病毒、木马入侵网络，及时采取补救措施等等。

总之，对于一个有效的网络安全管理系统来说，功能的实现基本上都要依赖于流量信息的获取。因此网络流量信息的采集可以说是网络安全管理系统得以实现的核心基石。它的应用可以在一定程度上检测到流量异常，可以有效地帮助管理人员及时发现并排除网络问题，还可以利用报警机制协助网管人员采取对应的安全策略与防护措施，从而减少入侵攻击所造成的损失。

1.2数据包监听原理

 网络监听是一种监视网络状态、数据流程以及网络上信息传输的管理工具，是利用计算机的网络接口截获目的地为第三方计算机的数据报文的一种技术。它可以将网络界面设定成监听模式，并且可以截获网络上所传输的信息。

在共享式以太网中，所有的通讯都是广播的，也就是说通常在同一网段的所有网络接口都可以访问在物理媒体上传输的所有数据，使用ARP和RARP协议进行相互转换。在正常的情况下，一个网络接口应该只响应两种数据帧：与自己硬件地址相匹配的数据帧和发向所有机器的广播数据帧。在一个实际的系统中，数据的收发由网卡来完成。每个以太网卡拥有一个全球难一的以太网地址。以太网地址是一个48位的二进制数。在以太网卡中内建有一个数据报过滤器。该数据报过滤器的作用是保留以本身网卡的MkC地址为通讯目的的数据报和广播数据报，丢弃所有其它无关的数据报，以免除CPU对无关的数据报作无谓的处理。这是以太网卡在一般情况下的工作方式。在这种方式下，以太网卡只将接收到的数据报中与本机有关部分向上传递。然而数据报过滤器是可以通过编程禁用的。禁用数据报过滤器后，网卡将把接收到的所有的数据报向上传递，上一层的软件因此可以监听以太网中其它计算机之间的通讯。我们称这种工作模式为“混杂模式”，多数网卡支持“混杂模式”。 

网卡的“混杂模式”使得采用普通网卡作为网络探针，实现网络的侦听变得非常容易。一方面方便了网络管理，另一方面，普通用户也能轻易地侦听网络通讯，对用户的数据通讯保密是一个很大的威胁。 

在进行此种方式的数据监听时，是在网络的节点处设置网络设备为混杂模式，进行数据监听管理网络；黑客则是利用ARP侦探网络上出于混杂模式的网络节点并将黑客软件放置在节点处进行窃听的。 

还有一种窃听方式是利用ARP欺骗达到的。ARP欺骗又被称为ARP重定向技术，ARP地址解析协议虽然是一个高效的数据链路层协议，但是作为一个局域网的协议，它是建立在各主机之间互相信任基础之上的，因此存在一定的安全问题：（1）主机地址映射表是基于高速缓存动态更新的。（2）ARP请求以广播方式进行。（3）可以随意发送ARP应答包。（4）ARP应答无需认证。 

ARP重定向的实施办法是根据以上ARP地址解析协议的安全漏洞，进行网络信息包的截获以及包的转发攻击活动，步骤如下：（1）把实施攻击的主机的网卡设置为混杂模式。（2）在实施攻击的主机上保持一个局域网内各个IP／MkC包的对应列表，并根据截获的IP包或者ARP包的原IP域进行更新。（3）收到一个IP包之后，分析包头，根据IP包头里的IP目的地址，找到相应的MAC地址。（4）将本机的MAC地址设成原MAC地址，将第二步查到的MAC地址作为目的MAC地址，将收到的IP包发送出去。通过以上的重定向，攻击者使网络数据包在经过攻击者本身的主机后，转发到数据包应该真正到达的目的主机去，从而具有很强的欺骗性。