摘要：每天，我们的网络中有无数数据穿梭，邮件附件、FTP文档、共享文件……表面上看风平浪静，然而，在看不见的流量中，却藏着看得见的风险。
如果不能量化或测量某件事情，你就无法有效地管理它。
You can’t manage what you can’t measure.
——Peter Drucker
每天，我们的网络中有无数数据穿梭，邮件附件、FTP文档、共享文件……表面上看风平浪静，然而，在看不见的流量中，却藏着看得见的风险。
文件在网络中悄无声息地传输，它们可能是公司重要的材料，可能是包含敏感信息的邮件附件，还可能是潜藏着病毒的恶意文件。
那么，如何对这些文件进行管理？如何在丢失或泄露时能够进行溯源？这就不得不提到今天小派给大家介绍的主角了——文件还原。
什么是文件还原？
文件还原，简单来说就是通过捕获和解析网络中的流量数据，然后把传输中的文件重新拼接还原出来。
我们来做个类比：假如网络是高速公路，而数据包是运送货物的卡车，这些卡车会把文件拆成很多小块分批送达。文件还原技术的作用，就是跟踪这些卡车的装载信息，把所有分散的小块收集起来，再拼成完整的文件。
通过这种方式，文件还原技术能够将“隐形”的数据流转化为可视化的信息，让我们能看到文件的真实内容。它还能够帮助我们判断文件是否含有病毒、恶意软件或其他潜在威胁，从而保障网络安全。此外，在某些情况下，文件还原也可以作为数据备份的一种手段。
文件还原是怎么实现的？
要把文件从数据包中还原出来，拢共分三步：
第一步
捕获流量
从网络中抓取传输的数据包，找到和文件相关的数据流。
第二步
解析协议
不同的协议有不同的“语言”，比如HTTP、SMTP、FTP等，通过解析这些协议，提取有效数据段。
第三步
重组文件
根据协议的逻辑，把分散的文件数据重新拼接成完整的文件内容，提取出来。
而说到抓包，很多人可能会想到Wireshark。
Wireshark的确能够捕获数据包来还原其中的文件，不过，Wireshark需要手动配置过滤器，追踪数据流进行导出，操作起来有一定的难度，在流量稍大的场景中更是捉襟见肘。
相比之下，我们的NTM全流量溯源分析系统就要方便得多。
用户可以根据需要设置还原规则，系统会在后台自动还原文件，无需进行繁琐的手动操作。之后，可以直接搜索已还原的文件，下载并查看原始内容，方便进行深入分析。
NTM中的文件还原
NTM新升级，文件还原全覆盖
这次，我们的NTM全流量溯源分析系统进行了全新升级（版本代号：TANGr6p4），重点增强了FTP、邮件（SMTP/POP/IMAP）和SAMBA协议的文件还原支持，还原能力更加全面！
● FTP文件还原
重组通过FTP传输的文件，包括文档、图片等，确保内容完整。
● SMTP/POP/IMAP文件还原
完整还原邮件正文和附件，方便进行邮件审计。
● SAMBA文件还原
SAMBA是一种Windows、Unix平台间的文件共享协议，新版本能够精准还原通过SAMBA协议共享的文件。
NTM新版本，让文件还原变得更加高效、精准、易用，让网络安全更有保障！
文件还原：从“测量”到“管理”
回到文章开头的那句话：“如果不能量化或测量某件事情，你就无法有效地管理它。” 这句话不仅仅适用于企业管理，也同样适用于管理网络。
文件还原让我们能够对隐藏在流动数据中的文件进行“测量”，让文件变得清晰可见，从而帮助我们更好地管理网络安全。
所以，是时候体验一下NTM全新的文件还原功能啦，如果有任何问题，记得找我，小派我一直都在！
除此之外，NTM TANGr6p4版本还有如下更新：
Update
功能新增
● 基于链路的告警策略
新增基于链路的PPS、上下行速率及总速率、三段时延、上下行重传率的告警策略，提高了网络异常监测的精确度。
● 系统时间偏差告警
当系统日志时间与系统设置中的时钟偏差超过阈值时，系统会弹出告警，增强了系统时间同步的监控。
● 跨境监测数据自动报表汇总
自动报表可添加跨境分析数据，报表内容更丰富。
Update
功能优化
● 文件还原模块
支持对已还原文件进行勾选与批量下载。
● MAC分析模块
可展示指定MAC关联流量统计信息，并标注源/目MAC。
● 跨境监测模块
增加基于账号维度的数据汇总统计分析，并可针对不同分析模型进行数据筛选。
Update
页面优化
● 告警策略
将告警策略划分为系统告警策略与用户自定义告警策略。
其中，系统告警策略用户无法进行添加，只能修改、删除、启用/禁用。
● IPv4与IPv6日志区分展示
将质量诊断、会话时延、流量诊断、会话流量中IPv4与IPv6流量日志进行区分展示。
● 部分页面数据按链路区分
性能概况、质量概况、重点协议等页面，数据及趋势图按照单个链路进行区分，多点采集分析更加直观。
Update
升级包下载
访问Panabit官网下载中心获取：
下载升级时请注意选择正确的操作系统（FreeBSD/Linux）与版本（标准版/专业版）。
EX100C请选择ARM专业版升级包。
来源：晓霞科技讲堂