86_89_monitoring.pdf

CD-ROM

Ettercap NG 0.7.3

(dla Windows i Linuksa)

LIBPCAP 0.9.4 (dla Linuksa)

WinPcap 3.1 (dla Windows)

Ethereal 0.10.14

(dla Windows i Linuksa)

freeware

Sieć pod kontrolą

A dministrator sieci jest zazwyczaj od-

powiedzialny za działania jej użyt-

kowników. Gdy na przykład zaata-

kują jakiś komputer lub będą rozsy-

łać spam, skargi trafią do administratora lub

osoby, ktora wykupiła usługę dostępu do

internetu. Dlatego jeżeli założyliśmy sieć uży-

waną przez wiele osób, na przykład blokową

lub firmową, warto regularnie monitorować,

w jaki sposób użytkownicy korzystają z sieci

LAN i co się w niej dzieje. Administrator po-

winien też umieć sprawdzić, czy z jego sieci

nie korzystają osoby nieautoryzowane, które

uzyskały do niej dostęp w nielegalny sposób.

Ekspert pokaże, jak monitorować sieć za

pomocą programu Ettercap NG (działającego

zarówno w systemie Windows, jak i Linux).

Sposoby monitorowania w LAN-ie

Komputer monito-

rujący podłączony

do huba

sieć lokalna

Komputer monito-

rujący pełniący

rolę bramki

sieć lokalna

koncentrator

(hub)

ruter

(bramka do internetu)

koncentrator

(hub)

komputer administratora

ruter (bramka do internetu)

i jednocześnie komputer administratora

widoczne dane przesyłane do/z internetu

widoczne dane przesyłane między użytkownikami

nie trzeba stosować żadnych dodatkowych mechanizmów

widoczne dane przesyłane do/z internetu

widoczne dane przesyłane między użytkownikami

nie trzeba stosować żadnych dodatkowych mechanizmów

Monitrowanie

zwykorzystaniem

ARP spoofing

sieć lokalna

Komputer monito-

rujący pełniący

rolę bramki

sieć lokalna

Komputer do monitorowania

Na początku musimy wybrać komputer,

na którym zainstalowane zostanie oprogra-

mowanie służące do przechwytywania da-

nych krążących w LAN-ie i ich analizy.

Możliwe są różne rozwiązania, przedsta-

wione przez Eksperta na schemacie .

W zależności od tego, czy nasz LAN jest

zbudowany na przełącznikach (jak większość

sieci), czy też na koncentratorach , monitoro-

wać będziemy na różne sposoby . Pamiętaj-

ruter

(bramka do internetu)

przełącznik

(switch)

przełącznik

(switch)

komputer administratora

ruter (bramka do internetu)

i jednocześnie komputer administratora

widoczne dane przesyłane do/z internetu

widoczne dane przesyłane między użytkownikami

trzeba stosować metodę ARP spoofing (ARP poisoning)

widoczne dane przesyłane do/z internetu

niewidoczne dane przesyłane między użytkownikami

nie trzeba stosować żadnych dodatkowych mechanizmów

Komputer monito-

rujący podłączony

między ruterem

aswitchem

sieć lokalna

Prosty system

monitorowania

z dodatkowym

hubem

sieć lokalna

Ekspert radzi

Ettercap NG dochodziły tylko określone pakiety danych (aby na przykład mo-

nitorować wysyłanie poczty czy obecność konkretnego wirusa), z menu

wybieramy

przełącznik

(switch)

przełącznik

(switch)

ruter

(bramka do internetu)

W polu wprowadzamy parametry

wformacie pcap, opisanym na stronie

➌

ruter

(bramka do internetu)

koncentrator

(hub)

komputer administratora

,anastępnie klikamy na . Na

przykład po wpisaniu: tcp dst port 80 and src host 192.168.1.3 , analizowa-

ne będą tylko pakiety TCP wysyłane na port 80 z peceta o adresie 192.168.1.3.

widoczne dane przesyłane do/z internetu

niewidoczne dane przesyłane między użytkownikami

trzeba stosować tryb Bridged Sniffing w Ettercap NG

konieczne są dwie karty sieciowe w komputerze administratora

widoczne dane przesyłane do/z internetu

niewidoczne dane przesyłane między użytkownikami

nie trzeba stosować żadnych dodatkowych mechanizmów

86 CZERWIEC 2006

freeware

Odpowiedzialny administrator nie ogranicza się tylko do naprawiania awarii.

Do jego zadań musi również należeć ciągłe monitorowanie wydarzeń w sieci

J eśli w naszej sieci panuje duży ruch i chcemy, aby do programu

Opinia prawnika

Paweł Jóźwiak

radca prawny

ruch między innymi komputerami). Z opcji

tej można zrezygnować tylko na komputerze

pełniącym funkcję bramy, gdy chcemy anali-

zować jedynie pakiety wymieniane między

komputerami w LAN-ie i internetem.

Ekspert radzi

poszczególnych komputerów w sieci. W przyszłości, jeśli któryś z adresów

będzie inny niż pierwotnie, można w ten sposób zidentyfikować ewentualnego in-

truza (ale może to też znaczyć, że właściciel komputera zmienił kartę sieciową).

Monitorowanie sieci lokalnej wiąże się ze śledzeniem poczy-

nań użytkowników. Czy jest to legalne?

Wszystko zależy od treści regulaminu lub umowy, które zawieramy,

podłączając się do lokalnych sieci komputerowych. Generalnie jed-

nak takie działanie administratora powinno być:

– zastrzeżone w umowie lub co najmniej regulaminie świadczenia usług,

– niezbędne do prawidłowego świadczenia usług przez providera.

Innymi słowy, administrator nie może śledzić użytkowników,

powodowany osobistą ciekawością, ale jego działanie musi być uza-

sadnione i potrzebne do zapewnienia systemowi informatycznemu

niezakłóconego działania. W tych okolicznościach możliwe jest uzy-

skanie listy komputerów podłączonych do sieci i ewentualnie śle-

dzenie rodzaju działań wykonywanych w sieci (na przykład czy użyt-

kownik korzysta z poczty, na jakich serwerach, jakie strony WWW

ogląda i tak dalej).

Natomiast uważam, że administrator nie ma prawa śledzenia danych

przesyłanych przez użytkownika (na przykład treści wysyłanych wia-

domości), bo naraża się na odpowiedzialność cywilną (narusza do-

bro osobiste użytkownika – prawo do zachowania tajemnicy kore-

spondencji), a nawet karną (jego działanie może nawet zostać uzna-

ne za przestępstwo).

3 Z menu wybieramy mechanizm pod-

słuchu – mamy do wyboru

lub . Zwykle należy wskazać

. wybieramy, jeśli

nasz komputer ma dwie karty sieciowe i jest

wpięty pomiędzy podsłuchiwane systemy (na

przykład bramę do internetu i pozostałe kom-

putery). nie wolno stosować na

pecetach pełniących funkcję bramy. Po wy-

braniu tej opcji widzimy okno, w którym kli-

kamy na , i wybieramy interfejs, na którym

program ma nasłuchiwać. Klikamy na

sprawdzić adresy MAC komputerów użytkow-

ników z listą i zablokować nieznane pecety,

modyfikując ustawienia rutera.

Jeśli chcemy zapisać listę, klikamy na me-

i polecenie

rować, i klikamy na . Czyn-

ność powtarzamy, jeśli chcemy moni-

torować więcej niż jeden komputer

naraz. Aby zobaczyć li stę hostów, któ-

re są monitorowane , z menu

wybieramy . Klikając

na lub , możemy ręcznie dodawać

lub usuwać hosty z listy monitorowanych.

Wyszukiwanie hostów

Zanim zaczniemy monitorować ruch w sie-

ci, musimy dowiedzieć się, jakie działają

w niej hosty (pecety i inne urządzenia z inter-

fejsem sieciowym). Dzięki temu będziemy

mogli między innymi wykryć użytkowników,

którzy podłączyli się do sieci bez naszej zgody.

4 Jeśli chcemy określić protokół, który bę-

my, że rutery sprzętowe zwykle zawierają

wbudowany przełącznik, a nie hub, i należy

w ich przypadku stosować ARP spoofing (wię-

cej informacji w dalszej części tekstu).

dzie monitorowany (TCP, UDP lub oba),

możemy to zrobić, wybierając menu

i . W polu wpisujemy protokół

(małymi literami: tcp, usp, all). Jeżeli chce-

my monitorować wszystkie protokoły, pozo-

stawiamy wartość domyślną.

Instalacja i wstępna konfiguracja

Zanim zainstalujemy program Ettercap NG

w systemie Windows, musimy zainstalować

bibliotekę WinPcap

1 W programie Ettercap NG z menu

wybieramy . Ettercap NG

przeszukuje sieć za pomocą protokołu ARP .

W ten sposób żaden komputer nie ukryje się

przed poszukiwaniem (ponieważ gdyby od-

mawiał odpowiedzi na zapytania ARP, nie

mógłby w ogóle korzystać z sieci).

. Umożliwia ona pobie-

ranie pakietów z sieci, które Ettercap NG na-

stępnie analizuje. Jest wykorzystywana prak-

tycznie przez każde narzędzie do analizy ru-

chu w sieci. Jeśli instalujemy Ettercap NG na

Linuksie, zamiast WinPcapa musimy użyć

LIBPCAP-a

➊

Obserwacja ruchu w sieci

Kiedy już wyszukaliśmy hosty w sieci

i wybraliśmy te mające podlegać monitoro-

waniu, możemy uruchomić mechanizm

podsłuchiwania pakietów w programie

Ettercap

NG. Zanim

to zrobimy,

przygotuj-

my się do

monitoro-

wania.

. Po uruchomieniu programu

Ettercap NG musimy skonfigurować opcje:

1 Jeśli Ettercap NG jest uruchomiony na

świetlona zostanie zakładka z listą ho-

stów – przy każdym z nich widać adresy IP

oraz odpowiadające im adresy MAC . Jeżeli

wykryjemy zbyt dużo pecetów, oznacza to, że

jeden z użytkowników udostępnia sieć oso-

bom trzecim albo ktoś bez pozwolenia przyłą-

czył się do LAN-u. W takim wypadku należy

2 Upewniamy się, że w menu zazna-

czone jest . Nasza karta siecio-

wa będzie odczytywała pakiety niezaadreso-

wane do niej (co jest konieczne, by widzieć

1 Z menu

wybieramy opcję

. Wyświetlona zostanie za-

Monitorowanie w sieciach z przełącznikami

bardzo proste. Koncentrator działa bowiem w ten sposób, że wszyst-

kie pakiety wysyłane do niego są rozsyłane do pozostałych podłączonych

komputerów, a karta sieciowa danego peceta wybiera tylko te przeznaczone

dla niej. W przypadku sieci opartych na przełącznikach (switchach) jest to

o wiele trudniejsze, ponieważ przełącznik uczy się, do których gniazd podłą-

czone są poszczególne komputery (rozpoznawane po adresach MAC) i pa-

kiety wysyła tylko do adresata . Dlatego też bez stosowania specjalnych

technik nie będziemy w stanie odebrać pakietów przeznaczonych do innych

komputerów.

Metodą stosowaną w programie Ettercap NG jest ARP poisoning (inaczej ARP

spoofing ). W uproszczeniu polega to na tym, że nasz komputer podszywa

się za pomocą protokołu

ARP pod inne urządzenie

(na przykład bramę do

internetu) i przełącznik

oraz inne pecety w sieci

wysyłają wszystkie pakiety do nas. Z kolei Ettercap NG przekazuje te pakiety do

prawdziwego adresata, by nie przerwać komunikacji i uniknąć wykrycia.

Aby uruchomić ARP spoofing w Ettercap NG, z menu

Jak działa ARP spoofing

Etap 1

Zatrucie ARP cache

wkomputerach w sieci

szpieg

IP: 10.0.0.20

MAC: 00:00:00:00:00:20

wybieramy

Odpowiedź ARP:

Adres IP 10.0.0.10 ma komputer

o adresie MAC 00:00:00:00:00:20

(podszywa się pod ofiarę)

opcję

. Wyświetlone zostaje okno . Zaznaczamy opcję

,która umożliwi śledzenie połączeń prze-

Odpowiedź ARP:

Adres IP 10.0.0.1

ma komputer

o adresie MAC

00:00:00:00:00:20

(podszywa się

pod bramę)

chodzących przez bramę, opcję

zaś pozosta-

wiamy wyłączoną. Następnie klikamy na

Pierwsze

pakiety

koncentrator

(hub)

Dalsze

pakiety

koncentrator

(hub)

brama do internetu

IP: 10.0.0.01

MAC: 00:00:00:00:00:01

do 10.10.10.3

IP: 10.10.10.1

MAC: 00:00:00:00:00:01

IP: 10.10.10.1

MAC: 00:00:00:00:00:01

ofiara

IP: 10.0.0.10

MAC: 00:00:00:00:00:10

Etap 2

Pośredniczenie w komunikacji

i podsłuchiwanie

szpieg

IP: 10.0.0.20

MAC: 00:00:00:00:00:20

IP: 10.10.10.2

MAC: 00:00:00:00:00:02

IP: 10.10.10.3

MAC: 00:00:00:00:00:03

IP: 10.10.10.2

MAC: 00:00:00:00:00:02

IP: 10.10.10.3

MAC: 00:00:00:00:00:03

brama przekazuje pakiet do szpiega,

myśląc, że to ofiara

Pierwsze

pakiety

przełącznik

(switch)

Dalsze

pakiety

przełącznik

(switch)

do 10.10.10.3

szpieg

przekazuje

pakiet do ofiary,

podając się

za bramę

szpieg przekazuje

pakiet do bramy,

podszywając się

pod ofiarę

IP: 10.10.10.1

MAC: 00:00:00:00:00:01

switch uczy się, że

10.10.10.2

ma adres MAC

00:00:00:00:00:02

switch uczy się, że

10.10.10.3

ma adres MAC

00:00:00:00:00:03

IP: 10.10.10.1

MAC: 00:00:00:00:00:01

switch pamięta, że

10.10.10.3

ma adres MAC

00:00:00:00:00:03

brama do internetu

IP: 10.0.0.01

MAC: 00:00:00:00:00:01

ofiara przekazuje pakiet

do szpiega, myśląc,

że to brama

IP: 10.10.10.2

MAC: 00:00:00:00:00:02

IP: 10.10.10.3

MAC: 00:00:00:00:00:03

IP: 10.10.10.2

MAC: 00:00:00:00:00:02

IP: 10.10.10.3

MAC: 00:00:00:00:00:03

ofiara

IP: 10.0.0.10

MAC: 00:00:00:00:00:10

➽

CZERWIEC 2006 87

P o uruchomieniu sieci lokalnej warto od razu sprawdzić i spisać adresy MAC

3 Zaznaczamy host, który chcemy monito-

➋

komputerze, który jest bramą do inter-

netu, wybieramy z menu

2 Z menu wybieramy . Wy-

M onitorowanie w sieciach opartych na koncentratorach (hubach) jest

Ekspert radzi

ga ona na rozpoznaniu połączeń związanych

z normalnym użytkowaniem komputera —

jak przesyłanie e-maili, odwiedzanie stron

WWW. Gdy je znajdziemy, pozostanie nam

o wiele mniej danych do sprawdzenia.

Ekspert przygotował tabelę , która pomo-

że nam rozpoznać niegroźne połączenia. Na-

leży porównać zawarte w niej informacje

o portach oraz charakterystyczn ych ce-

trybach. W pierwszym (opisanym

wtym poradniku) pakiety monitorujemy na

bieżąco. W drugim zachowujemy pakiety na

dysku, a ich analizę przeprowadzamy w try-

bie offline.

Aby zachować pakiety, po uruchomieniu

programu z menu wybieramy opcję

i podajemy nazwę pliku (jeśli

nie podamy ścieżki, dane zostaną zachowa-

ne w katalogu programu Ettercap NG). Aby

analizować wcześniej zachowane pakiety,

z menu wybieramy

iwskazujemy wcześniej zachowany plik. Za-

chowanie pliku umożliwia nam także przej-

rzenie go później za pomo cą innych progra-

mów do monitorowania .

chach połączeń z danymi pokazywanymi

przez Ettercap NG w kolumnach oraz

i . Wten sposób możemy si ę na

przykład zorientować, że połączenia są wy-

konywane przez program eMule – świadczy

otym fakt, że dane są przysyłane do hosta na

porty TCP 4462 (

Dane zgromadzone za pomocą

Ettercapa NG możemy przeglądać

na przykład za pomocą wygodne-

go programu Ethereal

) i UDP 4472 (

6 Gdy już wyeliminujemy połączenia na-

wiązywane przez popularne aplikacje,

musimy jeszcze sprawdzić wszystkie pozosta-

łe. W ustaleniu, jakie usługi korzystają z nie-

znanych portów, warto użyć znakomitej wy-

szukiwarki internetowej pod adresem

cji bramy nie spełnia ruter bezprzewodowy –

wtedy monitorowanie nie będzie możliwe).

3 Aby rozpocząć monitorowanie, z menu

Niestety, jest do żmudna i trudna praca. Eks-

pert przygotował tabelę , dzięki której rozpo-

znamy najpopularniejsze zagrożenia.

➍

wybieramy opcję

4 Na liście widoczne są połączenia na-

wiązywane przez poszczególne pecety.

Każde opisane jest kilkoma parametrami,

jak czy . Informacje o ich znaczeniu

znajdziemy w ramce .

Ekspert radzi

sprawdzić, do kogo należy zewnętrzny (internetowy) adres IP,

zktórym łączy się nasz użytkownik, wpiszmy ten adres w wyszuki-

warce na stronie

5 Tabela połączeń zawiera informacje o ope-

➏

kładka , w której po uruchomie-

niu nasłuchu widoczne będą pakiety.

racjach przeprowadzanych w naszej sieci.

Ale jak znaleźć wśród nich te potencjalnie

groźne? Zastosujmy metodę eliminacji. Pole-

Obserwacja treści połączeń

Ettercap NG umożliwia nie tylko wyszuka-

nie hostów, obserwację ruchu, ale także ana-

lizowanie treści wykonywanych połączeń.

Dzięki narzędziu do podglądania transmito-

wanych danych możemy na przykład spraw-

dzić, czy duża liczba połączeń na port 25 jest

próbą rozesłania spamu, czy też użytkownik

po prostu wysyła dużo prywatnych e-maili.

Wystarczy uruchomić pogląd i obejrzeć treść

przechwyconego listu elektronicznego.

Możliwości wykorzystania podglądu pa-

kietów jest wiele — musimy jednak uwa-

2 W przypadku sieci bezprzewodowych

opartych na protokole WEP z menu

wybieramy opcję . Wprowa-

dzamy klucz WEP do odszyfrowywania pakie-

tów, a następnie klikamy na . W przy-

padku sieci bezprzewodowych opartych na

protokole WPA/WPA2 niestety nie będziemy

mogli odszyfrować pakietów wysyłanych

przez inne osoby. Takie sieci należy więc mo-

nitorować, umieszczając dodatkowy kompu-

ter między przełącznikiem a urządzeniem

stanowiącym bramę do internetu (o ile funk-

Oznaczenia pakietów

Host – każde połączenie ma dwa hosty – komputery, między który-

mi przesyłane są informacje. Lewy host to komputer wysyłający da-

ne, a prawy – odbierający.

Port – port, na którym nawiązywane jest połączenie. Dla każdego

połączenia podawany jest odrębny port.

Proto – protokół połączenia (T – TCP, U – UDP).

State – stan połączenia (active – aktywne, closing – zamykane,

idle – nieaktywne, killed – przerwane, opening – otwierane).

Bytes – liczba bajtów danych przesłanych podczas połączenia.

Niegroźne, często spotykane transmisje danych

Porty docelowe Usługa lub program

Typowa liczba połączeń

Typowa ilość danych

Uwagi

20, 21 TCP

FTP (przesyłanie plików)

niewielka (jedno połączenie

niewielka (tylko połączenie, dane

prócz połączenia widoczne będzie również przesyłanie danych

na serwer)

przesyłane są na różne, wysokie porty)

(na różne, wysokie porty)

22 TCP

SSH (sterowanie innymi komputerami)

niewielka (jedno połączenie na serwer) niewielka (chyba że przesyłane są pliki)

połączenie szyfrowane

23 TCP

Telnet (sterowanie innymi komputerami) niewielka (jedno połączenie na serwer) niewielka

używane obecnie bardzo rzadko, głównie do gier typu MUD

25 TCP

SMTP (poczta wychodząca)

niewielka (jedno połączenie

średnia (duża przy listach z załącznikami)

duża liczba połączeń SMTP zazwyczaj oznacza, że komputer

na serwer)

jest zainfekowany przez robaka wysyłającego spam

53 UDP

DNS (serwer nazw)

średnia (co najmniej jedno połączenie

bardzo mała

w sporadycznych przypadkach zamiast protokołu UDP

na próbę uzyskania nazwy)

używany jest TCP (ten sam port)

67, 68 UDP

DHCP (nadawanie adresów IP

niewielka (zazwyczaj jedno połączenie bardzo mała

informacje o zapytaniach DHCP są też widoczne w dolnej

w sieci)

co 15 minut do godziny)

części okna Ettercapa NG

80 TCP

HTTP (strony WWW)

średnia (kilka połączeń na stronę)

dość duża (szczególnie przy dużej ilości

niektóre programy p2p (na przykład Kazaa) używają często tego

grafiki lub multimediów na stronie)

portu do przesyłania plików. Świadczy o tym bardzo duża liczba

połączeń z różnymi adresami IP

110, 143 TCP

POP3 i IMAP (pobieranie poczty)

niewielka (jedno połączenie

średnia (duża przy listach z załącznikami,

szczegóły połączeń POP3 są widoczne w dolnej części okna

na konto)

mała przy braku nowych listów)

Ettercapa NG

119 TCP

NNTP (grupy dyskusyjne)

niewielka (jedno połączenie

średnia

duża ilość danych przesyłanych na tym porcie oznacza,

na serwer)

że użytkownik pobiera pliki (często pirackie) ze specjalnych

(binarnych) grup dyskusyjnych

137-139, 445 TCP

NetBIOS (sieć Windows)

niewielka

dość duża (przy przesyłaniu plików w sieci) połączenia tylko w sieci lokalnej; połączenia poza siecią lokalną

zazwyczaj oznaczają, że komputer jest zainfekowany robakiem

443 TCP

HTTPS (szyfrowane strony),

niewielka

dość duża w przypadku pobierania stron,

połączenia szyfrowane

komunikatory (np. Tlen, Gadu-Gadu)

niewielka w przypadku komunikatorów

465 TCP

SMTPS (szyfrowane SMTP)

patrz SMTP

połączenie szyfrowane

993, 995 TCP

IMAPS i POP3S (szyfrowany IMAP i POP3) patrz POP3 i IMAP

patrz POP3 i IMAP

połączenie szyfrowane

1214 TCP

Kazaa

bardzo duża

programy zazwyczaj umożliwiają wybranie innego portu lub

wybierają go same, jeśli domyślny jest zablokowany

2234 TCP

SoulSeek (p2p)

duża

bardzo duża

najnowsze wersje programu umożliwiają wybór dowolnego portu

4012, 4013 TCP

Direct Connect (DC++)

duża

bardzo duża

program DC++ umożliwia wybranie dowolnego portu

4662 TCP, 4672 UDP eMule (ed2k)

bardzo duża

program umożliwia wybranie dowolnego portu, ale użytkownicy

rzadko z tego korzystają

5222, 5223 TCP

Jabber (komunikator)

niewielka (pojedyncze połączenia)

niewielka

port 5223 to połączenia szyfrowane

5900

VNC (zdalny pulpit)

niewielka (pojedyncze połączenia)

duża

6881

BitTorrent

duża

programy umożliwiają zazwyczaj wybranie innych portów

6667

IRC

niewielka

wykorzystywany przez botnety

8074

Gadu-Gadu

niewielka

tylko w starszych wersjach GG lub przy zablokowanym porcie 443

88 CZERWIEC 2006

E ttercap NG może pracować w dwóch

J eśli mamy podejrzenia co do jakiegoś połączenia i chcemy

Dodatkowe informacje

się jednak, że jeden ze

współużytkowników LAN

próbuje podglądać, co ro-

bią inni. Wykrycie takiej

działalności nie jest pro-

ste — szczególnie jeśli sieć

jest oparta na koncentra-

torach (hubach). Ekspert

pokaże, jak wykryć w na-

szym LAN-ie domorosłego

hakera, korzystając z Et-

tercap NG.

Trudne terminy

» ARP – ang. Address Resolution Protocol – protokół służący do spraw-

dzania powiązań między adresem sprzętowym MAC (adresem karty sieciowej)

a adresem IP. Komputer wysyła do całej sieci zapytanie ARP o treści: kto ma

adres IP X.X.X.X?, a następnie komputer, do którego przypisany jest ten adres,

odpowiada: ja mam ten adres IP, mój adres MAC to YY:YY:YY:YY:YY:YY.

» NMB i SMB – ang. Network Message Block i Server Message Block.

Protokoły stosowane w sieci Microsoft Windows (NetBIOS). SMB służy do

uzyskiwanie dostępu do plików i przesyłania ich, NMB zaś do nazywania kom-

puterów w sieci Windows.

» promiscuous – ang. bezładny, rozwiązły – specjalny tryb działania

karty sieciowej, w którym przekazuje ona do komputera wszystkie dane, a nie

tylko te przeznaczone dla jej adresu IP.

» SSH – ang.Secure Shell – usługa i protokół umożliwiające zdalny dostęp

do innych komputerów z linii poleceń.

świetlane są tam wszelkie żądania DHCP (czyli, w uproszczeniu, prośby o przydzielenie adre-

su IP), a także próby logowania się do różnych usług (na przykład POP3, SMB). Uwaga! Program

może przez to wyświetlać poufne informacje takie, jak identyfikatory i hasła.

żać, by nie naruszyć czyjejś prywatności,

przeglądając na przykład rozmowy prowa-

dzone za pomocą komunikatora (więcej in-

formacji na stronie 87 w ramce Opinia spe-

cjalisty).

Ekspert pokaże, jak w praktyce analizo-

wać treść danych.

kładzie adres

192.168.1.6 poda-

je się za

192.168.1.1, czyli

stosuje ARP poi-

soning.

. W oknie wybiera-

my metodę wizualizacji (według porad

z ramki ), a następnie klikamy na

1 Z menu

wybieramy opcję

. W nowej zakładce wi-

dzimy listę dostępnych

rozszerzeń.

4 W sieci LAN opartej na przełącznikach

również przydatne będzie uaktywnienie

plug-inu . Będzie on informował nas

w dolnej części okna o wszelkich próbach ARP

poisoningu.

W poniższym

przykładzie

widzimy, że

centratorach jedynym

mechanizmem, który po-

może nam wykryć pod-

słuch, jest plug-in . Kl ikamy

dwukrotnie na , aby

go uruchomić. W dolnej części

okna Ettercapa widzimy, które

adresy IP mają najprawdopodob-

niej karty działające w trybie

promiscuous , czyli umożli-

wiającym odbiór informacji nie-

przeznaczonych dla nich. Z oso-

bą podejrzewaną o szpiegowanie

w naszej sieci najlepiej szybko

przeprowadzić rozmowę ostrze-

gawczą lub też zastosować inne

sankcje wynikające z regulami-

nu korzystania z LAN-u.

2 W sieci opartej na kon-

Metody wizualizacji

hex – dane są wyświetlane w formacie szesnastkowym, co

umożliwia bardzo dokładne ich przejrzenie (wyświetlane są

wszystkie znaki). Dobra metoda do analizy niewielkich pakietów

lub też dokładnej budowy pakietów na przykład w celu określe-

nia, jaka usługa lub jaki program z nich korzystają.

ascii – wyświetlane są tylko znaki czytelne (litery, cyfry, znaki

przestankowe itp.), pozostałe zastępowane są kropkami. Metoda

domyślna, uniwersalna.

text – wyświetlane są tylko znaki czytelne, pozostałe są pomija-

ne. Metoda gorsza od ascii, rzadko używana.

ebcdic – kody EBCDIC (używane na komputerach mainframe

firmy IBM) są zamieniane na znaki ASCII (używane w kompute-

rach PC). Metoda praktycznie nieużywana.

html – usuwane są wszystkie znaczniki HTML. Metoda użytecz-

na do podglądania treści odbieranych stron HTML.

utf8 – umożliwia przekonwertowanie znaków z dowolnej strony

kodowej na UTF. Metoda używana rzadko, może być użyteczna,

jeśli jeden z komputerów to na przykład Macintosh i używa zu-

pełnie innego kodowania polskich znaków.

sieciowy adres

192.168.1.6 próbuje

podszyć się pod

wiel e innych adre-

sów . Ta i po-

przednia metoda

praktycznie ze stu-

procentową pew-

nością pozwalają

wykryć użytkowni-

ka podsłuchujące-

go dane metodami

stosowanymi

w sieciach opar-

tych na koncentra-

torach.

nikach możemy zastosować

plug-in . Po jego uru-

chomieniu w dolnej części okna

otrzymamy informacje, czy wy-

kryto stosowanie techniki ARP

poisoning. W poniższym przy-

2 Na liście pakietów klikamy na połącze-

■

nie, którego treść chcemy podejrzeć,

a następnie wciskamy klawisz

. Wy-

świetlona zostanie zakładka

w której widzimy zawartość połączenia.

Przykładowo, połącz enie z serwerem tlen.pl

może wyglądać tak , pobieranie pliku

zwp.pl zaś - tak .

Wykrywanie nielegalnego

monitorowania

Użytkownikom sieci LAN zwykle nie

przeszkadza, że administrator ją monitoru-

je – o ile tylko są o tym powiadomieni i nie

zagląda się do ich poufnych danych. Zdarza

Zwiastuni niepożądanych działań

Warto zajrzeć...

Zaobserwowane zjawisko

Prawdopodobny powód

Adresy WWW:

➊

Bardzo duża liczba połączeń z portem 25 TCP z różnych

Komputer w sieci jest zainfekowany robakiem rozsyłającym spam lub

www.winpcap.org

➋

serwerów

jest świadomie wykorzystywany do rozsyłania spamu

www.tcpdump.org

Stałe połączenie z portem 6667 TCP oraz duża liczba

Komputer jest używany do przeprowadzania ataków DDoS w ramach botnetu

➌

www.winpcap.org/docs/docs31/html/group__language.html

innych połączeń w stanie opening

Duża liczba połączeń lub prób połączenia z portem 135 TCP Komputer może być zainfekowany robakiem Blaster

Duża liczba połączeń lub prób połączeń z portem 445 TCP Komputer może być zainfekowany robakiem Sasser

Bardzo duża liczba połączeń z portem 1434 UDP Komputer może być zainfekowany robakiem Slammer

Bardzo duża liczba połączeń z wysokimi portami, na przykład Duża liczba jednoczesnych połączeń (i wynikająca z niej również duża

1214, 4662, 4672 itp.

➍

www.ports-services.com

➎

www.ethereal.com

➏

www.whois-search.com

www.xatrix.org/dload.php?id=18

http://ettercap.sourceforge.net

www.grc.com/nat/arp.htm

www.sans.org/rr/whitepapers/tools/1406.php

http://kolos.math.uni.lodz.pl/art79/zajecia/sieci/

podyplomowe_12_monitoring_d.pdf

http://en.wikipedia.org/wiki/List_of_well-known_ports

www.hacking.pl

liczba połączeń DNS) świadczy zazwyczaj o tym, że użytkownik

korzysta z oprogramowania p2p

Połączenia z różnymi serwerami na porcie 22 TCP

Użytkownik może próbować włamać się do innych serwerów (przez SSH)

Bardzo duża ilość danych przesyłana na port oraz

Użytkownik najprawdopodobniej używa tunelowania SSH, aby obchodzić

Bardzo duża ilość danych przesyłanych z portu 119 TCP

Użytkownik najprawdopodobniej pobiera pirackie pliki z binarnych

grup dyskusyjnych

CZERWIEC 2006 89

P rogram Ettercap NG w dolnej części okna wyświetla dodatkowe informacje. Domyślnie wy-

1 Z menu wybieramy opcję

3 W sieci opartej na przełącz-

z portu 22 TCP

ograniczenia administratora (na przykład korzystać z zablokowanych usług)

Plik z chomika:

Inne pliki z tego folderu:

Inne foldery tego chomika: