Heutzutage wird die Nutzung des Internets für viele Menschen immer häufiger und wichtiger, da wir dank dieser Verbindung auf verschiedene Plattformen wie E-Mail, Unternehmensseiten, interessante Websites oder Unterhaltung und im Allgemeinen auf alles zugreifen können, was das Internet bietet uns.
Es ist jedoch sehr wichtig, dass wir die Netzwerksicherheit berücksichtigen. Wir wissen, dass ein hoher Prozentsatz der Angriffe auf Informationsgeräte über das Netzwerk erfolgt und oft ist es unsere Schuld (falsche Passwörter, Herunterladen unbekannter Dateien, Öffnen von ausführbaren Dateien in E-Mails), aber wenn Sie nicht über die grundlegenden Kenntnisse der Netzwerkfunktion verfügen Sie können (wenn Sie es noch nicht waren) ein weiteres Opfer dieser Art von Angriff sein.
Das Internet ist wirklich ein riesiges Netz von Protokollen, Diensten und Infrastrukturen, die es ermöglichen, die Netzwerkkonnektivität überall hin mitzunehmen, und mehr als 90% von uns haben von TCP / IP, HTTP, SMTP usw. gehört.
All dies sind Protokolle, die eine Schlüsselrolle bei der Art und Weise spielen, wie das Netzwerk Ihren PC oder Ihr Gerät erreicht, aber dahinter gibt es Router und andere Komponenten, die, wenn sie ausfallen, zwei Dinge passieren oder Sie keinen Zugriff auf das Netzwerk haben Sie sind anfällig für Angriffe. Aus diesem Grund haben sich die Entwickler von Netzwerk- und Netzwerkprodukten bemüht, Anwendungen zu entwickeln, die wir als Sniffer und Netzwerkanalysatoren kennen. Obwohl sie im Allgemeinen sehr technisch sind, ist es in Wahrheit ein wertvolles Werkzeug, um festzustellen, an welcher Stelle der Kommunikation und Fehler auftreten können.
Was ist ein Schnüffler?Ein Sniffer oder Netzwerkanalysator sind sowohl Hardware- als auch Software-Dienstprogramme, die mit dem Ziel entwickelt wurden, eine ständige Überwachung des lokalen oder externen Netzwerkverkehrs zu generieren. Dieses Tracking ist im Wesentlichen dafür verantwortlich, die Datenpaketflüsse zu analysieren, die zwischen den Computern im Netzwerk entweder intern oder extern gesendet und empfangen werden.
Es verwendet einen Tracking-Modus namens "Promiscuous Mode", mit dem wir alle Pakete unabhängig von ihrem Ziel untersuchen können. Dies kann einige Zeit dauern, aber es ist wichtig, mit Sicherheit zu wissen, was durch unser Netzwerk läuft.
Wir können einen Sniffer je nach Supportanforderung auf zwei verschiedene Arten konfigurieren. Diese Modi sind:
- Wir können es ohne Filter konfigurieren, so dass das Tool alle verfügbaren Pakete erfasst und auf der lokalen Festplatte speichert, um sie später zu analysieren.
- Es kann mit einem spezifischen Filter konfiguriert werden, der uns die Möglichkeit gibt, Pakete basierend auf den Kriterien zu erfassen, die wir vor der Suche angeben.
Sniffer oder Netzwerkanalysatoren können gleichermaßen in einem LAN- oder WLAN-Netzwerk eingesetzt werden. Der Hauptunterschied besteht darin, dass wir bei Verwendung in einem LAN-Netzwerk Zugriff auf die Pakete aller angeschlossenen Geräte haben. Oder Sie können eine Beschränkung basierend auf den Netzwerkgeräten festlegen, bei Verwendung eines drahtlosen Netzwerks kann der Netzwerkanalysator aufgrund der Netzwerkbeschränkung nur einen Kanal gleichzeitig scannen, aber wenn wir mehrere drahtlose Schnittstellen verwenden, kann dies sein etwas verbessern, aber es ist immer besser, es in einem kabelgebundenen oder LAN-Netzwerk zu verwenden.
Wenn wir die Pakete mit einem Sniffer oder einem Netzwerkanalysator verfolgen, können wir auf Details zugreifen wie:
- Informationen zu den besuchten Seiten
- Inhalt und Empfänger von gesendeten und empfangenen E-Mails
- Heruntergeladene Dateien und viele weitere Details anzeigen
Das Hauptziel eines Sniffers besteht darin, alle Pakete im Netzwerk zu analysieren, insbesondere den eingehenden Datenverkehr, um nach Objekten zu suchen, deren Inhalt bösartigen Code enthält, und auf diese Weise die Sicherheit in der Organisation zu erhöhen, indem verhindert wird, dass jegliche Art von Gerät auf jedem Client installiert wird Computer. Malware.
Wenn wir ein wenig wissen, wie der Netzwerkanalysator funktioniert, werden wir einige der besten Netzwerkanalysatoren oder Sniffer kennenlernen, die für Windows und Linux verfügbar sind.
Wireshark
Wenn Sie zu irgendeinem Zeitpunkt zweifelsfrei versucht haben, eine Netzwerkanalyse durchzuführen, dass Sie WireShark als eine der besten Lösungen gesehen oder empfohlen haben und es nicht unvernünftig ist, darüber nachzudenken, ist der Grund einfach, WireShark hat sich positioniert als einer der weltweit von Millionen am häufigsten verwendeten Netzwerkprotokollanalysatoren, nicht nur aufgrund seiner Benutzerfreundlichkeit, sondern auch aufgrund seiner integrierten Funktionen.
MerkmaleUnter seinen Eigenschaften heben wir Folgendes hervor:
- Es kann problemlos auf Systemen wie Windows, Linux, macOS, Solaris, FreeBSD, NetBSD und mehr ausgeführt werden.
- Es integriert eine leistungsstarke Analyse für VoIP.
- Es kann eine Tiefeninspektion von mehr als 100 Protokollen durchführen.
- Es kann Live-Erfassung und Offline-Analyse von Netzwerkpaketen durchführen.
- Es unterstützt Lese- und Schreibformate wie tcpdump (libpcap), Pcap NG, Catapult DCT2000, Cisco Secure IDS iplog, Microsoft Network Monitor, Network General Sniffer® (komprimiert und unkomprimiert), Sniffer® Pro und NetXray®, Network Instruments Observer, NetScreen Snoop, Novell LANalyzer, RADCOM WAN / LAN Analyzer, Shomiti / Finisar Surveyor, Tektronix K12xx, Visual Networks Time Up Visual, WildPackets EtherPeek / TokenPeek / AiroPeek und mehr.
- Die live erfassten Daten können von Plattformen wie Ethernet, IEEE 802.11, PPP / HDLC, ATM, Bluetooth, USB, Token Ring, Frame Relay, FDDI ausgelesen werden, was uns vielfältige Zugriffsmöglichkeiten bietet.
- Die erfassten Netzwerkdaten können über eine grafische Benutzeroberfläche (GUI) oder über TShark im TTY-Modus untersucht werden.
- Unterstützt die Entschlüsselung mehrerer Protokolle wie IPsec, ISAKMP, Kerberos, SNMPv3, SSL/TLS, WEP und WPA/WPA2
- Wir können Farbregeln für eine bessere Verwaltung der erhaltenen Daten implementieren.
- Ergebnisse können in XML, PostScript®, CSV oder Klartext (CSV) exportiert werden
Sein Download ist unter folgendem Link verfügbar:
Dort können wir die ausführbare Datei für Windows 10 herunterladen und im Fall von Linux den Quellcode herunterladen oder die folgenden Befehle im Terminal ausführen:
sudo apt update sudo apt install Wireshark sudo usermod -aG Wireshark $ (whoami) sudo rebootNach der Installation in Windows 10 oder Linux wählen wir zum Zeitpunkt der Ausführung den zu analysierenden Netzwerkadapter aus und sehen dann Folgendes:
Unter Windows 10
Wenn wir den Vorgang stoppen möchten, klicken Sie auf Stop und wir sehen die jeweiligen Ergebnisse, die wir in den verfügbaren Menüs genauer definieren können:
LinuxIm Fall von Linux sehen wir Folgendes:
ÄtherAffe
Dies ist ein exklusives Dienstprogramm für UNIX-Systeme, da es nur auf Betriebssystemen ausgeführt werden kann wie:
- Arch Linux
- Mageia 6
- CENTOS 7
- Fedora 24, 25, 26, 27, 28 und 29
- ScientificLinux 7
- SLES 12, 12 SP1 und 12 SP3
- OpenSUSE 13.2, Leap 42.1 / 42.2 / 42.3 und Tumbleweed / Factory.
MerkmaleEinige seiner herausragendsten Eigenschaften sind:
- Sowohl die Knoten- als auch die Linkfarbe heben das aktivste Protokoll im Netzwerk hervor.
- Wir können die Ebene der zu filternden Protokolle auswählen.
- Der verwendete Netzwerkverkehr wird zum besseren Verständnis der Details grafisch dargestellt.
- Unterstützt Protokolle wie ETH_II, 802.2, 803.3, IP, IPv6, ARP, X25L3, REVARP, ATALK, AARP, IPX, VINES, TRAIN, LOOP, VLAN, ICMP, IGMP, GGP, IPIP, TCP, EGP, PUP, UDP , IDP, TP, ROUTING, RSVP, GRE, ESP, AH, EON, VINES, EIGRP, OSPF, ENCAP, PIM, IPCOMP, VRRP;
- Unterstützt TCP- und UDP-Dienste, TELNET, FTP, HTTP, POP3, NNTP, NETBIOS, IRC, DOMAIN, SNMP und mehr.
- Es unterstützt die Verwendung eines Netzwerkfilters, indem es die Syntax von pcap verwendet.
- Es ermöglicht die Analyse des Netzwerks von Ende zu Ende IP oder Port zu Port TCP.
- Daten können offline erfasst werden.
- Die gesammelten Daten können von Ethernet-, FDDI-, PPP-, SLIP- und WLAN-Schnittstellen ausgelesen werden.
- Zeigt die Verkehrsstatistiken nach Knoten an.
- Bei EtherApe wird die Namensauflösung mit Standard-Libc-Funktionen durchgeführt, dh es unterstützt DNS, Host-Dateien und andere Dienste.
- Die Ergebnisse können in eine XML-Datei exportiert werden.
Um dieses Dienstprogramm unter Linux zu installieren, müssen wir Folgendes ausführen:
sudo apt-get update sudo apt-get install etherapeNach der Installation greifen wir auf das Dienstprogramm zu, indem wir Folgendes ausführen:
sudo etherapeDadurch wird EtherApe vom Terminal aus ausgeführt und die grafische Oberfläche der App wird automatisch angezeigt:
VERGRÖSSERN
Dort werden wir ein Menü haben, in dem es möglich sein wird, Filter oder Regeln anzuwenden.
Tcpdump
Dies ist ein Dienstprogramm für Linux-Systeme, das sowohl eingehenden als auch ausgehenden Netzwerkverkehr erfasst. Diese Anwendung kann auf Unix / Linux-Betriebssystemen installiert werden, da sie über die libpcap-Bibliothek zum Erfassen des Datenverkehrs aus dem ausgewählten Netzwerk verfügt.
Um es zu installieren, führen Sie einfach Folgendes im Terminal aus:
sudo apt install tcpdumpParameterEinige der zu verwendenden Parameter sind:
- -A: Drucken Sie jedes Paket (ohne den Link-Level-Header) in ASCII.
- -b: Gibt die AS-Nummer in BGP-Paketen in ASDOT-Notation anstelle von ASPLAIN-Notation aus.
- -B buffer_size, --buffer-size = buffer_size: Ermöglicht Ihnen, die Größe des Capture-Puffers in buffer_size in KiB-Einheiten (1024 Bytes) zu definieren.
- -c count: Beendet den Befehl, nachdem Netzwerkpakete empfangen wurden.
- -C Dateigröße: Überprüfen Sie, ob die Datei größer als die ursprüngliche Dateigröße ist.
- -d: Den kompilierten Paketcode in einer für Menschen lesbaren Form ausgeben.
- -dd: Den Paketcode als C-Programmfragment ausgeben.
- -D --list-interfaces: Gibt die Liste der verfügbaren Schnittstellen aus.
- -e: Druckt den Header auf Link-Ebene.
- -E: Verwenden Sie spi @ ipaddr, um ESP-IPsec-Pakete zu entschlüsseln.
- -f: Ausgabe der IPv4-Adressen.
- -F Datei: Ermöglicht die Auswahl einer Filterdatei.
- -h -help: Hilfe zum Befehl ausgeben.
- --version: Zeigt die verwendete Version von tcpdump an.
- -i Schnittstelle --Schnittstelle = Schnittstelle: Ermöglicht die Auswahl der Schnittstelle, die für die Paketerfassung analysiert werden soll.
- -I --monitor-mode: Aktivieren Sie die Schnittstelle im "Monitor-Modus"; die nur mit IEEE 802.11 Wi-Fi-Schnittstellen und einigen Betriebssystemen kompatibel ist.
Kismet
Kismet ist ein einfaches Dienstprogramm, das mehr auf drahtlose Netzwerke ausgerichtet ist, aber dank dem wir den Verkehr von versteckten Netzwerken oder nicht gesendeten SSIDs analysieren können, wir können es in UNIX-, Windows-Unter Cygwin- und OSX-Systemen verwenden.
Kismet funktioniert vollständig mit Wi-Fi-Schnittstellen, Bluetooth, SDR-Hardware (Software Defined Radio-Software Defined Radio) und spezieller Erfassungshardware.
MerkmaleUnter seinen Eigenschaften finden wir:
- Ermöglicht den Export der Standarddaten in JSON, um die Skripterstellung für Ihre Kismet-Instanzen zu unterstützen.
- Es integriert eine webbasierte Benutzeroberfläche.
- Unterstützung für drahtlose Protokolle.
- Es verfügt über einen neuen Remote-Capture-Code, der für binäre Größe und RAM optimiert wurde. Dies erleichtert die Verwendung integrierter Geräte zum Erfassen von Paketen im Netzwerk.
- Es hat ein Datensatzformat, das komplexe Informationen über die Geräte, den Systemstatus, Warnungen und weitere Parameter sicherstellen kann.
Wir können seine Installation mit dem folgenden Befehl ausführen:
sudo apt installiere kismetIm folgenden Link finden Sie weitere Optionen zur Installation von Kismet:
NetzwerkMiner
Dies ist ein Netzwerk-Forensic-Analyse-Dienstprogramm (NFAT - Network Forensic Analysis Tool), das auf Open Source für Windows-, Linux-, macOS- und FreeBSD-Systeme basiert. Wenn wir dieses Tool installieren, können wir einen vollständigen Netzwerkscan durchführen, um alle Pakete zu erfassen und mit ihnen Betriebssysteme, Sitzungen, Hostnamen usw. für eine vollständige Verwaltung dieser Variablen zu erkennen.
MerkmaleEinige seiner herausragendsten Eigenschaften sind:
- Wir können PCAP-Dateien für die Offline-Analyse analysieren.
- Es wird möglich sein, eine erweiterte Netzwerkverkehrsanalyse (NTA) durchzuführen.
- Ausführung in Echtzeit.
- Unterstützt IPv6-Adressierung.
- Es ist möglich, Dateien aus FTP-, TFTP-, HTTP-, SMB-, SMB2-, SMTP-, POP3- und IMAP-Verkehr zu extrahieren
- Unterstützt SSL, HTTPS, SMTPS, IMAPS, POP3S, FTPS und weitere Verschlüsselung
- GRE, 802.1Q, PPPoE, VXLAN, OpenFlow, SOCKS, MPLS und EoMPLS-Entkapselung
Sein Download ist unter folgendem Link verfügbar:
Schritt 1
Für die korrekte Verwendung von NetworkMiner ist es notwendig, zunächst eine Inbound-Regel in der Windows 10 Firewall zu erstellen:
VERGRÖSSERN
Schritt 2
Danach müssen wir das Dienstprogramm als Administrator ausführen, um auf den Scan von Computern im Netzwerk zuzugreifen, und dort die verschiedenen Optionen auswählen:
VERGRÖSSERN
Schritt 3
Bei der Auswahl eines Hosts sehen wir die geladenen Elemente in den jeweiligen Reitern:
VERGRÖSSERN
Microsoft Message Analyzer
Wie der Name bereits vermuten lässt, handelt es sich um ein exklusives Windows 10-Dienstprogramm, das von Microsoft entwickelt wurde, um Aufgaben wie das Erfassen, Anzeigen und Analysieren des Datenverkehrs von Protokollnachrichten und anderen Nachrichten des Betriebssystems durchzuführen, zusätzlich zu diesen, wenn wir verwenden Dieses Dienstprogramm kann Daten aus den Protokolldateien und der Netzwerkverfolgung importieren, hinzufügen oder analysieren.
Einige seiner Funktionen sind
- Live-Daten erfassen
- Laden Sie Daten aus mehreren Datenquellen gleichzeitig
- Trace- oder Log-Daten anzeigen
- Verschiedene Ansichtsoptionen und mehr
Schritt 1
Sein kostenloser Download steht unter folgendem Link zur Verfügung:
Schritt 2
Nach der Ausführung sehen wir die folgende Umgebung (sie muss als Administrator ausgeführt werden):
VERGRÖSSERN
Schritt 3
Dort ist es möglich, Farbregeln festzulegen, Spalten hinzuzufügen, Filter festzulegen und vieles mehr. Wenn wir eine der Zeilen unten auswählen, finden wir genauere Details dazu:
VERGRÖSSERN
Windump
Windump ist die Version von Tcpdump für Windows-Umgebungen, da Windump mit Tcpdump kompatibel ist und wir es installieren können, um den Netzwerkverkehr durch die Verwendung und Implementierung von Regeln anzuzeigen, zu diagnostizieren oder zu sparen.
WinDump erfasst den Netzwerkverkehr über die WinPcap-Bibliothek und -Treiber, daher müssen wir WinPcap zuerst kostenlos unter dem folgenden Link herunterladen:
Dann können wir Windump unter folgendem Link herunterladen:
Beim Ausführen öffnet sich eine Eingabeaufforderungskonsole und dort können wir die Schnittstelle mit dem Parameter -i definieren:
WinDump.exe -i 1
VERGRÖSSERN
Capsa Netzwerkanalysator
Es ist in einer kostenlosen Version und einer kostenpflichtigen Version mit mehr Funktionalitäten verfügbar, aber beide ermöglichen es uns, Netzwerkanalyseaufgaben durchzuführen, die jedes ein- und ausgehende Paket sowie die verwendeten Protokolle überwachen Netzwerkanalyse im Detail.
In der kostenlosen Version ist es möglich:
- Überwachen Sie bis zu 10 IP-Adressen im ausgewählten Netzwerk.
- Bis zu 4 Stunden Dauer pro Sitzung.
- Wir können Warnungen von Netzwerkadaptern empfangen.
- Ermöglicht das Speichern und Exportieren der Ergebnisse.
Nach dem Herunterladen und Ausführen wird dies die vom Dienstprogramm angebotene Umgebung sein:
VERGRÖSSERN
Dort haben wir eine grafische Darstellung des Netzwerkverkehrs und im oberen Teil haben wir verschiedene Tools zum Filtern und Steuern von Netzwerkpaketen.
Netcat
Netcat ist ein integrierter Befehl in Windows- und Linux-Systemen, dank dem es möglich ist, Daten über das TCP / IP-Protokoll in den verschiedenen Netzwerkverbindungen zu lesen und zu schreiben, es kann unabhängig oder mit anderen Apps als Dienstprogramm für verwendet werden lokale oder externe Netzwerk-Exploration und -Debugging.
Unter seinen Funktionen finden wir:
- Integriert im System selbst
- Erfassen Sie ausgehende und eingehende Verbindungen
- Verfügt über integrierte Port-Scanning-Funktionen
- Es hat erweiterte Funktionen
- Kann RFC854 und Telnet-Codes scannen
Wir können zum Beispiel die folgende Zeile ausführen:
netcat -z -vsolvtic.com 15-30Dadurch werden die Ports 15 bis 30 gelesen, um anzuzeigen, welche geöffnet sind und welche nicht:
Die Variable -z wird für Scanzwecke verwendet (Zero Mode) und der Parameter -v (verbose) zeigt die Informationen lesbar an.
Es gibt zusätzliche Parameter, die wir verwenden können:
- -4: Zeigt die IPv4-Adressen an
- -6: Unterstützt IPv6-Adressen
- -b: Unterstützt Übertragung
- -D: Debug-Modus aktivieren
- -h: Zeigt die Befehlshilfe an
- -i Intervall: Ermöglicht das Anwenden eines Zeitintervalls zwischen den Zeilen
- -l: Hörmodus aktivieren
- -n: Namens- oder Portauflösung unterdrücken
- -r: Remote-Ports optimieren
Wir haben die verschiedenen Optionen von Netzwerkanalysatoren und Sniffer für Windows und Linux gesehen, mit denen wir die Ergebnisse unserer Support- und Kontrollaufgaben steigern können.
