Анализатор сообщений Microsoft 1.4: что нового?

Жизнь специалиста по устранению неполадок в ИТ-команде непроста. Бывают случаи, когда нет альтернативы тому, чтобы покопаться и получить целостное представление о том, что именно происходит в системе. В такие моменты вы хотите, чтобы инструмент анализа поддерживал вас всеми возможными способами. К сожалению, с традиционными инструментами Microsoft и их самодельными альтернативами этого никогда не происходило.

С огромным количеством журналов для анализа и несколькими мини-анализами, которые нужно быстро выполнить, вам нужен инструмент, который может обрабатывать данные, представлять их в интуитивно понятном виде и настраиваемый. По правде говоря, сопоставление информационных пакетов и журналов событий — головная боль.

К счастью, Microsoft Message Analyzer делает вещи лучше. Давайте разберемся, что он делает, и что нового в этом инструменте. (Обзор Microsoft Message Analyzer см. здесь.)

Введение в анализатор сообщений Microsoft 1.4

Microsoft Message Analyzer 1.4 является преемником Microsoft Network Monitor 3.4. (Однако это может быть чрезмерным упрощением; подробнее об этом позже.) Это идеальный инструмент для захвата, отображения и анализа трафика протокольных сообщений, всех видов системных сообщений и сообщений приложений, а также событий при диагностике и устранении сетевых неполадок.

С помощью этого инструмента вы можете загружать, объединять, понимать и анализировать массовый обмен сообщениями и регистрировать данные из сохраненных документов трассировки. Нет, она не будет писать сценарий 3 сезона «Настоящего детектива», это должен сделать кто-то другой!

Таким образом, Microsoft Message Analyzer 1.4 является жизненно важным компонентом Protocol Engineering Framework, который сам по себе нацелен на значительное улучшение структуры протоколов, разработки, реализации, документации, тестирования и поддержки. Это также позволяет захватывать удаленный трафик в режиме реального времени и помогает загружать архивные журналы сообщений из нескольких источников параллельно.

Сравнение с Microsoft Network Monitor

Помните сетевой монитор от Microsoft? В лучшем случае это было нормально, и в основном было очень хлопотно работать. Вполне естественно рассматривать Microsoft Message Analyzer как сетевой монитор, а также некоторые другие функции.

Однако Message Analyzer 1.4 является более мощным и полностью изобретает способ работы. Во-первых, он позволяет собирать информацию о трафике из целого ряда источников (журналов событий Windows, SQL, Azure, PowerShell и даже файлов Wireshark.pcapng). За этим следует несколько новых функций, которые мы сейчас объясним.

Основы анализатора сообщений Microsoft 1.4

Базовая единица данных в Message Analyzer называется «сообщением». Это может быть что угодно, от кадра до события или захваченного пакета. Затем эти сообщения распределяются по разным беседам и сеансам.

Вот пример того, как стек сообщений в TCP-пакете будет выглядеть в Message Analyzer. См. детализированный уровень информации, представленный в столбце «Модуль». Можно добавить больше представлений, чтобы увидеть более подробную информацию о пакете.

Весь стек сообщений можно просмотреть по порядку, каждое поле данных и сведения о сообщении. Пакеты двусторонней связи между хостами представлены синим значком, и вы можете использовать стек подсообщений для перехода к двоичным данным.

Что в нем такого великолепного?

Ну, много. Давайте кратко рассмотрим наиболее полезные функции, которые он предлагает.

Расширенные макеты и параметры презентации

Используя Microsoft Message Analyzer 1.4, вы можете отображать трассировки и журналы во многих визуальных форматах. Используя макеты, вы можете отображать информацию в виде древовидной сетки (представление по умолчанию) или использовать интерактивные окна инструментов.

Используя среди прочего элементы дизайна, такие как сетки, временные шкалы и столбчатые элементы, вы можете с одинаковой легкостью предоставлять как общие сводки, так и глубокий анализ. Почему бы не настроить собственные макеты для просмотра диаграмм? Microsoft Message Analyzer 1.4 предлагает эту возможность.

Настраиваемые рабочие и аналитические среды

Вы можете использовать функцию «Профили» и создавать интегрированные и интерактивные среды анализа для отображения предопределенных макетов при загрузке определенных типов входных файлов. Эти настраиваемые среды являются вашими пользовательскими профилями, которые предварительно настроены для загрузки определенных типов макетов и средств просмотра данных в зависимости от формата входных данных. Ваши настраиваемые профили делают Microsoft Message Analyzer 1.4 персонализированным инструментом.

Удаленный захват с нескольких компьютеров — как профессионал

Начиная с Windows 8.1/2012 R2, драйвер захвата пакетов анализатора сообщений встроен в ОС Windows. Таким образом, при правильной настройке WinRM вы также можете собирать данные с удаленных компьютеров. Более того, данные могут быть получены с нескольких машин одновременно. Вы можете просто добавить имя или IP-адрес компьютеров, с которых вам нужно собирать данные. При запуске живого сеанса просто введите IP-адрес в поле «Имя компьютера/IP-адрес», как показано ниже:

Расширенное шифрование данных

Корпоративные сети постоянно подвержены риску вторжений, что подчеркивает необходимость шифрования всех данных. Анализатор сообщений распознает и выполняет это требование. Перейдите в Инструменты и выберите Параметры. Здесь, на вкладке Расшифровка, вы можете добавить сертификат (SSL) и расшифровать все данные.

Другие варианты, которые вы можете изучить:

• Захват данных на уровне брандмауэра Windows до того, как произойдет локальное шифрование IPsec.
• Захватывайте данные на уровне приложения до того, как HTTPS зашифрует их.

Встроенные сценарии

С помощью Message Analyzer вы можете устранять неполадки непосредственно в SMB, Bluetooth и USB. При настройке трассировки выберите подходящий сценарий трассировки, и все готово (но, конечно, на самом деле мы не настроены, пока Кифер Сазерленд не сыграет свою роль Джека Бауэра в лучшем шоу всех времен, то есть в «24», хотя это другая тема). Инструмент также проверяет сообщения на наличие предупреждений, аномалий или ошибок.

Message Analyzer дает вам полное представление о процессах, отображая информацию, связанную с именами процессов, модулями ядра, синхронизацией пакетов и ответами системы. Просто выберите подходящие виды, и у вас будет вся необходимая информация. Вот пример диапазона информации, которую вы можете увидеть.

Основные выводы

Самая заманчивая часть Microsoft Message Analyzer заключается в том, что он обеспечивает невиданную ранее гибкость при анализе вашей системы. Вы можете расположить данные из разных источников в виде сеток или разместить их рядом для сравнения.

Настраиваемые макеты и профили делают его персонализированным инструментом. Специалисты по ИТ-сетям столкнулись с холодным приемом со стороны разработчиков средств системного анализа и устранения неполадок. Microsoft Message Analyzer 1.4 изменил эту ситуацию и это отношение.