Omrežna forenzika

Omrežna forenzika: analiza omrežnega prometa z Wiresharkom, Zeekom in TSharkom

Omrežna forenzika omogoča vpogled v to, kaj se v računalniškem omrežju dejansko dogaja. Spoznajte zajem in analizo paketov, odkrivanje izgube paketov, DNS in TCP težav ter uporabo orodij Wireshark, Zeek, TShark, Dumpcap in tcpdump v Windows in Linux okoljih.

Ko se v računalniškem omrežju zgodi težava ali varnostni incident, je pogosto najpomembnejše vprašanje zelo preprosto:

Kaj se je v omrežju dejansko zgodilo?

Je odpovedala povezava? Je bil počasen DNS? Je naprava izgubljala pakete? Se je nek računalnik nenadoma začel povezovati na nenavadne internetne naslove? Je prišlo do velikega prenosa podatkov? Kdaj se je komunikacija začela in katere naprave so pri njej sodelovale?

Odgovore lahko pogosto poiščemo neposredno v omrežnem prometu.

Temu področju pravimo omrežna forenzika oziroma Network Forensics.

Pri analizi uporabljamo orodja, kot so Wireshark, TShark, Dumpcap, tcpdump in Zeek. Vsako ima nekoliko drugačno nalogo, skupaj pa omogočajo zelo podroben vpogled v dogajanje v računalniškem omrežju.

Če vas najprej zanima, kako je sodobno računalniško omrežje sestavljeno, si lahko ogledate naš pregled omrežij in omrežnih rešitev ali veliki vodič po omrežni, IT, varnostni in pametni opremi.

Pomembno: omrežni promet zajemamo samo v lastnih sistemih oziroma v omrežjih, za katera imamo ustrezno dovoljenje. Zajem omrežnega prometa lahko vsebuje osebne, poslovne ali druge občutljive podatke, zato moramo z datotekami PCAP oziroma PCAPNG ravnati ustrezno.

Kazalo

Kaj je omrežna forenzika?

Omrežna forenzika je zbiranje, shranjevanje in analiza omrežnega prometa z namenom rekonstrukcije dogodkov.

Pri običajni diagnostiki nas lahko zanima:

Zakaj povezava ne deluje?

Pri forenzičnem pristopu pa vprašanje pogosto postavimo drugače:

Kaj se je v omrežju dogajalo med 14:32 in 14:37?

Poskušamo ugotoviti:

  • katere naprave so komunicirale,
  • kdaj se je komunikacija začela,
  • kam se je naprava povezovala,
  • katere protokole je uporabljala,
  • koliko podatkov je prenesla,
  • ali je bila komunikacija uspešna,
  • ali je prihajalo do napak oziroma ponovnega pošiljanja paketov,
  • ali je prihajalo do nenavadnih DNS poizvedb ali povezav,
  • ali vedenje naprave odstopa od običajnega.

Omrežna forenzika je zato uporabna tako pri varnostnih incidentih kot pri zahtevnejši diagnostiki omrežnih težav.

Omrežje pušča sledi

Skoraj vsaka omrežna komunikacija za seboj pusti določene sledi.

Ko računalnik odpre spletno stran, se lahko v ozadju zgodi več korakov:

  1. računalnik izvede DNS poizvedbo,
  2. izve IP naslov strežnika,
  3. vzpostavi omrežno povezavo,
  4. po potrebi vzpostavi šifrirano TLS povezavo,
  5. pošlje zahtevo,
  6. strežnik vrne podatke.

Vsak od teh korakov lahko v omrežju pusti uporabne metapodatke.

Primer:

192.168.10.45 → 203.0.113.20:443

Čeprav je vsebina HTTPS komunikacije praviloma šifrirana, lahko še vedno ugotovimo:

  • katera naprava je začela povezavo,
  • na kateri IP naslov se je povezala,
  • katera omrežna vrata so bila uporabljena,
  • kdaj se je povezava začela,
  • koliko časa je trajala,
  • koliko podatkov je bilo prenesenih,
  • ali je povezava potekala normalno ali so se pojavljale napake.

Pri omrežni forenziki lahko že ti podatki predstavljajo zelo pomemben del časovnice dogodka.

Wireshark – mikroskop za računalniško omrežje

Wireshark je eno najbolj znanih in razširjenih orodij za zajem ter analizo omrežnih protokolov.

Omogoča zajem živega prometa ali analizo že shranjene datoteke PCAP oziroma PCAPNG.

Pri posameznem paketu lahko med drugim vidimo:

  • izvorni in ciljni IP naslov,
  • MAC naslova,
  • uporabljeni protokol,
  • TCP oziroma UDP vrata,
  • čas paketa,
  • velikost paketa,
  • TCP zastavice,
  • DNS zahteve in odgovore,
  • TLS komunikacijo,
  • ARP, DHCP in ICMP promet,
  • opozorila analizatorja na retransmisije in druge posebnosti.

Wireshark je posebej uporaben, kadar želimo razumeti natančno zaporedje dogodkov.

Follow TCP Stream

Namesto pregledovanja več sto posameznih paketov lahko s funkcijo Follow TCP Stream pogledamo komunikacijo, ki pripada eni TCP povezavi.

To nam pomaga rekonstruirati pogovor med dvema napravama oziroma aplikacijama.

Pri nešifriranih protokolih je lahko vidna tudi vsebina komunikacije, zato moramo s takšnimi zajemi ravnati posebej previdno.

Uporabni Wireshark filtri

Pri forenzičnem zajemu lahko zelo hitro dobimo več sto tisoč ali celo milijone paketov. Zato uporabljamo filtre.

Spodnji primeri so Wireshark Display Filters – torej filtri, s katerimi iz že zajetega prometa prikažemo samo tisto, kar nas zanima.

Določen IP naslov

ip.addr == 192.168.1.50

DNS promet

dns

TCP promet

tcp

UDP promet

udp

TLS promet

tls

TCP SYN paketi

tcp.flags.syn == 1

TCP RST (Reset) paketi

tcp.flags.reset == 1

TCP retransmisije

tcp.analysis.retransmission

Kombinacija IP naslova in DNS

ip.addr == 192.168.1.50 && dns

Promet na TCP vratih 443

tcp.port == 443

S pravilno uporabo filtrov lahko iz ogromnega zajema zelo hitro izločimo promet, ki nas dejansko zanima.

Capture Filter in Display Filter nista isto

Pri Wiresharku je pomembno razumeti razliko med Capture Filter in Display Filter.

Capture Filter določa, kateri promet bomo sploh zajeli.

Display Filter pa določa, kaj bomo prikazali iz prometa, ki je že zajet.

Primer Display Filter:

ip.addr == 192.168.1.50

Primer Capture Filter:

host 192.168.1.50

Capture filtri uporabljajo drugačno sintakso, ki temelji na knjižnici libpcap oziroma Npcap.

Forenzični nasvet: če imamo dovolj prostora za zajem, je pogosto smiselno zajeti nekoliko širši promet in ga pozneje omejevati z Display filtri. Če promet že pri zajemu preveč omejimo, podatkov, ki jih nismo zajeli, pozneje ne moremo več pridobiti.

TShark – Wireshark za ukazno vrstico

TShark je terminalski analizator iz ekosistema Wireshark.

Uporabljamo ga lahko tako v Windows kot Linux okolju.

Seznam omrežnih vmesnikov lahko preverimo z:

tshark -D

Primer zajema:

tshark -i Ethernet

Analiza obstoječe datoteke:

tshark -r incident.pcapng

TShark je zelo uporaben za:

  • avtomatizacijo,
  • skripte,
  • strežniška okolja,
  • oddaljeno diagnostiko,
  • obdelavo večjega števila PCAP datotek,
  • izvoz izbranih podatkov za nadaljnjo analizo.

Dumpcap – zajem brez odprtega Wiresharka

Dumpcap je del ekosistema Wireshark in je namenjen predvsem učinkovitemu zajemanju paketov.

To pomeni, da nam ni treba več ur ali dni pustiti odprtega grafičnega programa Wireshark.

Dumpcap je na voljo tako v Windows kot v številnih Unix/Linux okoljih.

Najprej lahko izpišemo razpoložljive omrežne vmesnike:

dumpcap -D

Tipičen postopek v Windows okolju je lahko:

Windows → Npcap → Dumpcap → PCAPNG → Wireshark / TShark / Zeek

Tak način je zelo uporaben pri težavah, ki se pojavijo samo občasno.

Ring Buffer – ko ne vemo, kdaj se bo težava pojavila

Predstavljajmo si uporabnika, ki pove:

»Vsakih nekaj dni mi za minuto ali dve odpove povezava.«

V takšnem primeru ne moremo več dni gledati zaslona Wiresharka.

Uporabimo lahko Ring Buffer oziroma krožni zajem.

Zajem se zapisuje v več zaporednih datotek. Ko dosežemo nastavljeno število datotek, se začnejo najstarejši zajemi ponovno uporabljati oziroma prepisovati.

Na primer lahko želimo 12 datotek, pri čemer vsaka vsebuje približno pet minut prometa:

dumpcap -i 1 -b duration:300 -b files:12 -w capture.pcapng

V tem primeru imamo približno zadnjo uro omrežnega prometa, razdeljeno na več datotek.

Ko uporabnik zazna incident, zajem ustavimo.

Tako dobimo promet:

pred incidentom → med incidentom → po incidentu

To je za forenzično diagnostiko izredno uporabno.

Pozor: pri dolgotrajnem zajemanju moramo vedno spremljati razpoložljiv prostor na disku. Nekontroliran zajem celotnega prometa lahko zelo hitro ustvari velike količine podatkov.

tcpdump – zajem v Linux okolju

V Linux okolju se zelo pogosto uporablja tcpdump.

Najpreprostejši zajem na določenem vmesniku:

tcpdump -i eth0 -w incident.pcap

Zajem prometa določene naprave:

tcpdump -i eth0 host 192.168.1.50 -w incident.pcap

Zajem DNS prometa:

tcpdump -i eth0 port 53 -w dns.pcap

Nastalo datoteko lahko nato analiziramo na drugem računalniku.

To nam omogoča zelo pomembno ločitev:

ZAJEM PODATKOV → ANALIZA PODATKOV

Ni potrebno, da na napravi, kjer promet zajemamo, izvajamo tudi celotno forenzično analizo.

Zeek – iz paketov naredimo zgodbo

Zeek je zmogljiva platforma za analizo omrežnega prometa.

Zeek ni neposredna zamenjava za Wireshark.

Njegova naloga je drugačna.

Wireshark nam omogoča pogled v posamezne pakete, Zeek pa omrežni promet pretvori v strukturirane dnevnike dogodkov.

Če imamo datoteko:

incident.pcap

jo lahko analiziramo z:

zeek -r incident.pcap

Zeek nato glede na zaznani promet ustvari različne dnevniške datoteke.

Namesto pregledovanja milijona posameznih paketov lahko tako najprej pogledamo strukturiran povzetek dogajanja in šele nato v Wiresharku odpremo komunikacijo, ki nas posebej zanima.

Najpomembnejši Zeek dnevniki

conn.log

Eden najpomembnejših Zeek dnevnikov.

Prikazuje povezave med sistemi.

Iz njega lahko ugotovimo:

  • kdo je komuniciral s kom,
  • kdaj se je povezava začela,
  • katera vrata so bila uporabljena,
  • kateri protokol je bil uporabljen,
  • kako dolgo je povezava trajala,
  • koliko podatkov je bilo prenesenih,
  • kakšno je bilo stanje povezave.

dns.log

Vsebuje podatke o zaznanih DNS poizvedbah.

Pri forenziki je DNS izredno zanimiv, ker lahko pokaže, katera domenska imena je določena naprava iskala pred vzpostavitvijo povezave.

http.log

Če je v zajemu prisoten ustrezen HTTP promet, lahko Zeek o njem ustvari strukturirane podatke.

Pri običajnem HTTPS prometu je vsebina aplikacijske komunikacije praviloma šifrirana, zato v klasičnem zajemu nimamo enakega vpogleda kot pri nešifriranem HTTP.

ssl.log – SSL/TLS podatki

Zeek pri analizi SSL/TLS komunikacije uporablja dnevnik z imenom ssl.log.

Ime je zgodovinsko, dnevnik pa se uporablja tudi za sodobno TLS komunikacijo. V njem lahko najdemo metapodatke o vzpostavljanju šifrirane povezave, različici protokola, strežniškem imenu in certifikatih, kadar so ti podatki v analiziranem prometu na voljo.

x509.log

Pri prometu s certifikati lahko Zeek ustvari tudi x509.log, ki vsebuje podatke o zaznanih digitalnih certifikatih.

files.log

Zeek lahko zaznava datoteke, ki se prenašajo prek podprtih protokolov, in informacije o njih beleži v files.log.

weird.log

Datoteka weird.log vsebuje dogodke oziroma vedenje protokolov, ki ga je Zeek ocenil kot nenavadno ali nepričakovano.

To samo po sebi še ne pomeni napada.

Je pa lahko zelo dobro izhodišče za nadaljnjo analizo.

notice.log

Glede na konfiguracijo in zaznane dogodke lahko Zeek ustvari tudi notice.log z dogodki, ki zahtevajo pozornost analitika.

Forenzična časovnica

Ena najpomembnejših nalog forenzične analize je sestavljanje časovnice.

Na primer:

02:13:04  DNS poizvedba
02:13:05  DNS odgovor
02:13:06  vzpostavitev TCP povezave
02:13:07  začetek TLS komunikacije
02:13:20  večji prenos podatkov
02:14:02  zaključek povezave

Posamezen paket sam zase morda ne pove veliko.

Ko dogodke uredimo po času, pa lahko začnemo rekonstruirati zgodbo incidenta.

Pri tem je zelo pomembno, da imajo naprave pravilno nastavljen čas. Pri resnejših analizah je zato pomembna tudi pravilna časovna sinhronizacija naprav, strežnikov, požarnih zidov in drugih sistemov.

Wireshark in Zeek se odlično dopolnjujeta

Najlažje si razliko zapomnimo tako:

Wireshark:
Kaj se je zgodilo s tem paketom oziroma to povezavo?

Zeek:
Kaj se je v omrežju dogajalo v tem časovnem obdobju?

Zelo učinkovit način dela je zato:

Zeek → zanimiv dogodek → čas/IP/povezava → Wireshark → podrobna analiza paketov

Windows in Linux okolje

Windows

Na Windows sistemu lahko uporabljamo:

  • Npcap,
  • Wireshark,
  • TShark,
  • Dumpcap.

Praktična arhitektura je:

Windows → zajem PCAPNG → analiza Wireshark/TShark → Zeek na Linux analizni postaji

Zeek je prvenstveno namenjen Unix/Linux okoljem. Neposredna podpora za Windows je še vedno eksperimentalna, zato je za resnejšo uporabo smiselno Zeek izvajati na Linux sistemu, virtualnem Linux okolju ali namenskem analiznem strežniku.

Linux

Na Linux forenzični postaji lahko združimo:

  • tcpdump,
  • Wireshark,
  • TShark,
  • Zeek.

Primer osnovnega postopka:

# zajem prometa
tcpdump -i eth0 -w incident.pcap

# analiza z Zeekom
zeek -r incident.pcap

# nato pregled
conn.log
dns.log
ssl.log
weird.log

Zanimive povezave nato podrobneje analiziramo v Wiresharku.

SPAN oziroma Port Mirroring

V omrežju z upravljanim stikalom lahko uporabimo Port Mirroring oziroma SPAN.

Stikalo kopijo izbranega prometa z določenega porta ali VLAN-a pošilja še na poseben diagnostični oziroma nadzorni port.

Internet
   |
Firewall
   |
Managed Switch
   |
   +------ računalniki
   |
   +------ strežniki
   |
   +------ NAS
   |
   +------ Wi-Fi
   |
   +---- SPAN/Mirror ---- Forenzični senzor
                              |
                              +-- PCAP
                              +-- Zeek
                              +-- Wireshark

Na forenzičnem senzorju lahko nato izvajamo:

  • PCAP zajem,
  • Zeek analizo,
  • Wireshark analizo,
  • daljše spremljanje omrežnega prometa.

Segmentacija, VLAN-i in pravilna zasnova omrežja so pomembni tudi z varnostnega vidika. Več o tem je opisano na naši strani Omrežja in omrežne rešitve.

Kje zajemamo promet, je zelo pomembno

Pri interpretaciji zajema moramo vedno vedeti, kje v omrežju je bil promet zajet.

Če je pot komunikacije:

PC → stikalo → požarni zid → internet → strežnik

lahko zajem na računalniku pokaže drugačno sliko kot zajem na WAN strani požarnega zidu.

Pri zahtevnejši diagnostiki lahko primerjava zajema na dveh različnih točkah zelo natančno pokaže, kje na poti se paket izgubi, spremeni ali zakasni.

Izguba paketov in TCP retransmisije

Omrežna forenzika ni uporabna samo pri kibernetskih incidentih.

Zelo uporabna je tudi za odkrivanje težav, kot so:

  • packet loss oziroma izguba paketov,
  • TCP retransmisije,
  • slaba Wi-Fi povezava,
  • okvarjen ali neustrezen kabel,
  • težave na stikalu,
  • preobremenjena povezava,
  • težave pri VPN povezavah,
  • neustrezna nastavitev MTU.

V Wiresharku lahko kot izhodišče uporabimo:

tcp.analysis.retransmission

Pogoste retransmisije so znak, da moramo komunikacijo podrobneje raziskati.

Pomembno pa je razumeti, da retransmisija sama po sebi še ne dokazuje fizične izgube paketa.

Na zaznavanje lahko vplivajo:

  • mesto zajema,
  • zakasnitev,
  • preobremenitev,
  • vedenje aplikacije,
  • nepopoln zajem,
  • izguba paketov na samem zajemnem sistemu.

Zato pri forenziki ne sklepamo samo na podlagi enega opozorila, ampak iščemo več med seboj povezanih dokazov.

Latenca, jitter in pot paketov

Težava v omrežju ni vedno izguba paketov.

Včasih paketi prispejo, vendar prepozno.

Latenca pomeni časovni zamik pri prenosu podatkov. Običajno jo izražamo v milisekundah (ms).

Jitter pomeni spreminjanje zakasnitve med posameznimi paketi.

To je posebej pomembno pri:

  • VoIP telefoniji,
  • videokonferencah,
  • oddaljenem delu,
  • spletnem igranju,
  • realnočasovnih aplikacijah.

Pri diagnostiki uporabljamo tudi orodji ping in traceroute oziroma v Windows okolju tracert.

Windows

ping 1.1.1.1
tracert 1.1.1.1

Linux

ping 1.1.1.1
traceroute 1.1.1.1

Ta orodja sama po sebi niso nadomestilo za packet capture, lahko pa pomagajo določiti, na katerem delu poti se pojavljajo nenavadne zakasnitve oziroma druge težave.

DNS kot forenzični vir

DNS je pogosto eden najzanimivejših delov omrežne preiskave.

Preden se računalnik poveže na:

www.example.com

mora praviloma ugotoviti IP naslov tega strežnika.

DNS zapis nam lahko zato pomaga povezati poznejšo komunikacijo z določenim domenskim imenom.

Pri analizi lahko iščemo:

  • nenavadne domene,
  • veliko število poizvedb,
  • ponavljajoče se DNS zahteve,
  • neobičajno dolga domenska imena,
  • veliko neuspelih poizvedb,
  • časovno povezavo med DNS poizvedbo in kasnejšo TCP, UDP ali TLS povezavo.

DNS je lahko zelo koristen forenzični vir, vendar moramo upoštevati tudi lokalni DNS predpomnilnik, druge DNS strežnike ter sodobne načine šifriranega DNS prometa.

Ohranjanje forenzičnih dokazov

Če PCAP uporabljamo kot del resnejše forenzične preiskave, moramo poskrbeti za njegovo integriteto.

Prvi korak je lahko izračun kriptografske zgoščene vrednosti SHA-256.

Linux

sha256sum incident.pcap

Windows PowerShell

Get-FileHash .\incident.pcap -Algorithm SHA256

Zabeležimo lahko:

  • ime datoteke,
  • datum in čas zajema,
  • omrežni vmesnik oziroma mesto zajema,
  • čas začetka in zaključka zajema,
  • uporabljeno orodje,
  • SHA-256 vrednost.

Originala ne analiziramo neposredno

Dobra forenzična praksa je:

ORIGINALNI PCAP
      |
      +---- SHA-256
      |
      +---- zaščiten original
      |
      +---- DELOVNA KOPIJA
                |
                +---- Zeek
                +---- Wireshark
                +---- TShark

Analizo izvajamo na delovni kopiji.

Original ohranimo nespremenjen.

Pri formalnih preiskavah je treba upoštevati tudi zahteve organizacije, dokumentiranje postopkov in ustrezno chain of custody oziroma verigo skrbništva nad digitalnimi dokazi.

Primer praktične omrežne forenzike

Predstavljajmo si, da uporabnik prijavi:

»Okoli 14:35 je omrežje za nekaj minut postalo izredno počasno.«

V omrežju imamo nastavljen krožni PCAP zajem.

1. Določimo čas incidenta

Analiziramo obdobje:

14:30–14:40

2. PCAP obdelamo z Zeekom

Pregledamo predvsem:

conn.log
dns.log
ssl.log
weird.log

3. Opazimo nenavadno povezavo

Ena delovna postaja je v nekaj minutah prenesla bistveno več podatkov kot običajno.

4. Rekonstruiramo komunikacijo

Preverimo:

  • IP naprave,
  • ciljni IP,
  • DNS poizvedbe,
  • čas povezave,
  • trajanje,
  • uporabljeni protokol,
  • količino prenesenih podatkov.

5. Odpremo PCAP v Wiresharku

Zdaj ne pregledujemo več milijona paketov.

Vemo, katera komunikacija nas zanima.

V Wiresharku jo analiziramo paket za paketom.

6. Preverimo okoliščine

Na koncu se lahko izkaže, da je šlo za:

  • legitimno varnostno kopiranje,
  • sinhronizacijo podatkov,
  • posodobitev programske opreme,
  • nepravilno konfigurirano aplikacijo,
  • okvaro oziroma težavo v omrežju,
  • ali dogodek, ki zahteva nadaljnjo varnostno preiskavo.

Ključ je v tem, da zaključka ne postavimo vnaprej.

Sledimo podatkom in dokazom.

Od paketa do odgovora

Wireshark, TShark, Dumpcap, tcpdump in Zeek imajo različne naloge.

Skupaj pa omogočajo zelo zmogljiv način omrežne diagnostike in forenzike:

ZAJEM → PCAP/PCAPNG → SHA-256 → ZEEK → ČASOVNICA → WIRESHARK → UGOTOVITVE

Namesto ugibanja, kaj bi lahko bilo narobe, poskušamo ugotoviti:

Kaj lahko iz omrežnih podatkov dejansko ugotovimo in dokažemo?

Dobro načrtovano in pregledno omrežje močno olajša tudi poznejšo diagnostiko. Če vas zanima načrtovanje, segmentacija, VLAN, VPN, Wi-Fi in upravljanje omrežij, si oglejte omrežne rešitve varnaPot.si.

Za širši pogled na varnost uporabnikov, naprav in domačega omrežja priporočamo tudi članek Varna raba interneta – 13 pravil za varnejši splet.

Pogosta vprašanja in razlaga izrazov za začetnike

Kaj je omrežni paket?

Podatki se po računalniškem omrežju praviloma ne prenašajo kot ena velika celota, ampak so razdeljeni v manjše enote, ki jim pravimo paketi.

Paketi vsebujejo podatke ter dodatne informacije, potrebne za njihovo pravilno dostavo in obdelavo.

Kaj pomeni packet sniffing oziroma sniffanje omrežja?

Packet sniffing pomeni zajemanje in pregledovanje omrežnih paketov.

Uporablja se pri diagnostiki, nadzoru, razvoju in omrežni forenziki. Zajem izvajamo samo v omrežjih, za katera imamo dovoljenje.

Kaj je Wireshark?

Wireshark je program za zajemanje in podrobno analizo omrežnih paketov. Omogoča pregled komunikacije praktično paket za paketom.

Kaj je Zeek?

Zeek je platforma za analizo omrežnega prometa. Namesto osredotočanja samo na posamezne pakete iz prometa ustvarja strukturirane dnevnike dogodkov, s katerimi lahko lažje rekonstruiramo dogajanje v omrežju.

Kaj je TShark?

TShark je terminalska različica analizatorja Wireshark. Primeren je za avtomatizacijo, skripte, strežnike in obdelavo večjih količin zajetega prometa.

Kaj je tcpdump?

tcpdump je zelo razširjeno orodje za zajem in osnovno analizo omrežnega prometa, predvsem na Linux in drugih Unix podobnih sistemih.

Kaj je Dumpcap?

Dumpcap je program iz ekosistema Wireshark, namenjen predvsem učinkovitemu zajemanju prometa v PCAP oziroma PCAPNG datoteke.

Kaj je IP naslov?

IP naslov je logični omrežni naslov naprave. Omrežje ga uporablja, da ve, kam mora poslati podatke.

Primer zasebnega IPv4 naslova:

192.168.1.50

Kaj pomeni IPv4?

IPv4 pomeni Internet Protocol version 4. Gre za zelo razširjeno različico internetnega protokola, pri kateri so naslovi zapisani na primer kot 192.168.1.50.

Kaj pomeni IPv6?

IPv6 pomeni Internet Protocol version 6. Uporablja bistveno večji naslovni prostor kot IPv4 in je namenjen dolgoročnemu razvoju interneta in omrežij.

Kaj je MAC naslov?

MAC naslov je identifikator omrežnega vmesnika, ki se uporablja predvsem pri komunikaciji znotraj lokalnega omrežja.

MAC naslov in IP naslov nista ista stvar. IP naslov predstavlja logični omrežni naslov, MAC pa deluje na nižji ravni lokalne omrežne komunikacije.

Kaj je DNS?

DNS pomeni Domain Name System.

Njegova naloga je pretvarjanje človeku razumljivih imen, kot je:

www.varnapot.si

v IP naslove, ki jih računalniki uporabljajo pri omrežni komunikaciji.

DNS lahko poenostavljeno primerjamo s telefonskim imenikom interneta.

Kaj je DNS strežnik?

DNS strežnik je sistem, ki računalniku pomaga ugotoviti, kateri IP naslov pripada določenemu domenskemu imenu.

Če DNS ne deluje pravilno, imamo lahko občutek, da internet ne deluje, čeprav je sama povezava z internetom vzpostavljena.

Kaj je DHCP?

DHCP pomeni Dynamic Host Configuration Protocol.

DHCP strežnik napravam v omrežju samodejno dodeli oziroma posreduje nastavitve, kot so:

  • IP naslov,
  • omrežna maska,
  • privzeti prehod,
  • DNS strežniki.

Brez DHCP bi morali te podatke na številnih napravah nastavljati ročno.

Kaj je omrežna maska?

Omrežna maska oziroma subnet mask napravi pomaga določiti, kateri IP naslovi pripadajo njenemu lokalnemu omrežju in za katere mora promet poslati prek usmerjevalnika.

Pri IPv4 jo lahko vidimo na primer kot:

255.255.255.0

ali zapisano s CIDR oznako:

/24

Kaj je privzeti prehod oziroma Default Gateway?

Privzeti prehod je običajno usmerjevalnik oziroma omrežna naprava, prek katere računalnik dostopa do drugih omrežij in interneta.

Če je privzeti prehod napačno nastavljen ali nedosegljiv, lahko lokalna komunikacija še vedno deluje, dostop do drugih omrežij pa ne.

Kaj je TCP?

TCP pomeni Transmission Control Protocol.

Gre za protokol, ki skrbi za zanesljiv in urejen prenos podatkov. Če del podatkov manjka, se lahko izvede ponovno pošiljanje.

Zato pri analizi TCP pogosto vidimo retransmisije.

Kaj je UDP?

UDP pomeni User Datagram Protocol.

Je enostavnejši komunikacijski protokol, ki sam po sebi ne zagotavlja enakega preverjanja dostave in vrstnega reda kot TCP.

Uporablja se tam, kjer sta pogosto pomembnejši hitrost in majhna zakasnitev oziroma kjer zanesljivost po potrebi ureja aplikacija sama.

Kakšna je razlika med TCP in UDP?

Poenostavljeno:

TCP: pomembno je, da podatki zanesljivo in v pravilnem vrstnem redu prispejo.

UDP: protokol pošilja datagrame brez mehanizmov TCP za potrjevanje in ponovno pošiljanje; aplikacija po potrebi sama poskrbi za ustrezno obravnavo izgube.

Kaj pomeni TCP handshake?

Pri vzpostavitvi običajne TCP povezave se pogosto izvede tako imenovani three-way handshake:

SYN → SYN/ACK → ACK

S tem se obe strani dogovorita o vzpostavitvi TCP povezave.

Kaj pomeni TCP RST oziroma Reset?

RST je TCP zastavica, s katero naprava povezavo zavrne ali nenadoma prekine oziroma ponastavi.

Več nepričakovanih RST paketov je lahko pomemben podatek pri diagnostiki povezave.

Kaj pomeni TCP retransmission?

Retransmission pomeni ponovno pošiljanje TCP podatkov.

Če pošiljatelj sklepa, da določeni podatki niso pravilno prispeli, jih lahko pošlje ponovno.

Veliko retransmisij lahko kaže na težave s povezavo, izgubo paketov, preobremenitev ali druge težave, vendar je za pravilno diagnozo potrebna širša analiza.

Kaj je packet loss oziroma izguba paketov?

Packet loss pomeni, da del omrežnih paketov ne prispe do pričakovanega cilja oziroma ni uspešno obdelan.

Posledice so lahko:

  • počasna povezava,
  • prekinjanje videoklicev,
  • zatikanje prenosa,
  • težave pri VoIP telefoniji,
  • nestabilen VPN.

Kaj je latenca?

Latenca pomeni časovno zakasnitev pri prenosu podatkov med napravami oziroma omrežji.

Običajno jo merimo v milisekundah (ms).

Visoka latenca lahko povzroči opazne zamike pri videoklicih, oddaljenem delu, spletnih aplikacijah in drugih interaktivnih storitvah.

Kaj je jitter?

Jitter pomeni nihanje oziroma spreminjanje zakasnitve med posameznimi paketi.

Če imajo paketi enkrat 10 ms, drugič 80 ms in nato 25 ms zakasnitve, je jitter visok. To je lahko posebej opazno pri govoru, videu in drugih realnočasovnih aplikacijah.

Kaj je ping?

Ping je osnovno diagnostično orodje, s katerim preverimo dosegljivost naprave in približno zakasnitev komunikacije.

Uspešen ping še ne pomeni nujno, da vse omrežne storitve delujejo pravilno.

Kaj je traceroute oziroma tracert?

Traceroute je diagnostično orodje, ki pomaga prikazati pot paketov skozi usmerjevalnike do ciljnega sistema.

V Windows okolju se uporablja ukaz:

tracert

v Linux okolju pa običajno:

traceroute

Orodje je uporabno pri ugotavljanju, na katerem delu komunikacijske poti se pojavljajo nenavadne zakasnitve ali nedosegljivost.

Kaj je TLS?

TLS pomeni Transport Layer Security.

Gre za protokol, ki omogoča šifriranje in zaščito omrežne komunikacije. Uporablja ga na primer HTTPS.

Zaradi TLS nekdo, ki samo zajame omrežne pakete, praviloma ne more preprosto prebrati vsebine komunikacije.

Kaj je HTTPS?

HTTPS pomeni zaščiteno uporabo protokola HTTP, pri kateri je komunikacija praviloma zaščitena s TLS.

HTTPS zato omogoča šifriranje prenosa ter preverjanje identitete strežnika s pomočjo digitalnih certifikatov.

Kaj je PCAP?

PCAP pomeni Packet Capture.

Gre za pogosto uporabljeni format oziroma izraz za datoteko, v kateri so shranjeni zajeti omrežni paketi.

Primer:

incident.pcap

Kaj je PCAPNG?

PCAPNG pomeni PCAP Next Generation.

Je sodobnejši format za shranjevanje zajetega omrežnega prometa in omogoča shranjevanje več dodatnih informacij kot klasični PCAP.

Kaj je VLAN?

VLAN pomeni Virtual Local Area Network.

Z VLAN-i lahko eno fizično omrežno infrastrukturo logično razdelimo na več ločenih omrežij.

Tako lahko na primer ločimo:

  • poslovne računalnike,
  • goste,
  • IP kamere,
  • IoT naprave,
  • strežnike.

Več o segmentaciji in VLAN omrežjih najdete na strani Omrežja in omrežne rešitve.

Kaj je VPN?

VPN pomeni Virtual Private Network.

VPN omogoča zaščiteno povezavo med napravami oziroma omrežji prek drugega omrežja, pogosto interneta.

Kaj je ARP?

ARP pomeni Address Resolution Protocol.

V IPv4 lokalnem omrežju pomaga ugotoviti, kateri MAC naslov pripada določenemu IPv4 naslovu.

Pri IPv6 se za podobne naloge uporablja drugačen mehanizem, imenovan Neighbor Discovery.

Kaj je ICMP?

ICMP pomeni Internet Control Message Protocol.

Uporablja se za različna nadzorna in diagnostična sporočila v IP omrežjih.

Znani ukaz ping pri IPv4 uporablja ICMP.

Kaj je MTU?

MTU pomeni Maximum Transmission Unit.

Določa največjo velikost podatkovne enote, ki jo lahko določena povezava prenese brez potrebe po dodatni obravnavi zaradi velikosti.

Napačen MTU lahko povzroči zelo nenavadne težave, predvsem pri VPN, PPPoE in tuneliranih povezavah.

Kaj je port oziroma omrežna vrata?

Omrežna vrata oziroma port so številčna oznaka, s katero operacijski sistem razlikuje različne omrežne storitve oziroma aplikacije.

Na primer:

443 = običajno HTTPS
53  = DNS

Omrežnih vrat v tem pomenu ne smemo zamenjevati s fizičnim priključkom oziroma portom na omrežnem stikalu.

Kaj je SPAN oziroma Port Mirroring?

SPAN oziroma Port Mirroring je funkcija upravljanih omrežnih stikal, pri kateri stikalo kopijo izbranega omrežnega prometa pošilja še na določen nadzorni port.

Na ta port lahko priključimo računalnik oziroma forenzični senzor z Wiresharkom ali Zeekom.

Kaj je promiscuous mode?

Promiscuous mode je način delovanja omrežnega vmesnika, pri katerem lahko programska oprema za zajem sprejema širši nabor Ethernet okvirjev, ki pridejo do tega vmesnika.

To samo po sebi še ne pomeni, da bo računalnik na sodobnem stikalu videl ves promet celotnega omrežja. Za takšen zajem se pogosto uporablja SPAN oziroma Port Mirroring.

Kaj je SHA-256?

SHA-256 je kriptografska zgoščevalna funkcija.

Iz datoteke ustvari značilen digitalni odtis oziroma hash.

Če se v datoteki spremeni že majhen del podatkov, se spremeni tudi njen SHA-256 odtis.

Pri digitalni forenziki ga lahko uporabljamo kot pomemben del postopka preverjanja, ali se datoteka od izračuna odtisa ni spremenila.

Kaj pomeni hash?

Hash je digitalni odtis podatkov, izračunan z zgoščevalno funkcijo.

Ne predstavlja vsebine datoteke, ampak vrednost, izračunano iz njene vsebine.

Kaj pomeni chain of custody?

Chain of custody oziroma veriga skrbništva nad dokazi pomeni dokumentiranje, kdo je digitalni dokaz pridobil, kdo je z njim ravnal, kdaj je bil prenesen in kako je bila ohranjena njegova integriteta.

To je pomembno predvsem pri formalnih forenzičnih preiskavah.

Kaj je Npcap?

Npcap je komponenta za Windows, ki programom, kot je Wireshark, omogoča zajem omrežnih paketov na omrežnih vmesnikih.

Ali Wireshark vidi ves promet v omrežju?

Ne nujno.

Na sodobnem stikalnem omrežju računalnik praviloma ne prejme avtomatično kopije vse komunikacije drugih naprav.

Za širši zajem se pogosto uporabljajo:

  • SPAN oziroma Port Mirroring,
  • zajem na požarnem zidu ali usmerjevalniku,
  • namenski omrežni senzorji,
  • druge ustrezne metode zajema.

Ali Wireshark vidi gesla?

Pri sodobnih šifriranih protokolih, kot je HTTPS/TLS, vsebina praviloma ni neposredno berljiva.

Pri starejših ali nešifriranih protokolih pa lahko zajem vsebuje uporabniška imena, gesla ali druge občutljive podatke.

Tudi zato moramo PCAP datoteke obravnavati kot potencialno občutljive podatke.

Ali Wireshark vidi HTTPS promet?

Da.

Wireshark vidi pakete, povezane s HTTPS komunikacijo, vendar je uporabna vsebina zaradi TLS praviloma šifrirana.

Še vedno lahko analiziramo IP naslove, omrežna vrata, čase, velikosti paketov, TCP vedenje, retransmisije in številne druge metapodatke.

Ali Zeek nadomesti Wireshark?

Ne.

Orodji se dopolnjujeta.

Zeek je odličen za iskanje zanimivih dogodkov v večji količini prometa, Wireshark pa za podrobno analizo posamezne komunikacije.

Ali Zeek deluje neposredno na Windows?

Zeek je prvenstveno namenjen Unix/Linux okoljem.

Podpora za neposredno gradnjo in uporabo v Windows okolju je še vedno eksperimentalna. Za resnejšo forenzično uporabo je zato običajno bolj smiselna uporaba Linux analizne postaje, virtualnega Linux sistema ali namenskega strežnika.

Ali potrebujem Linux za omrežno forenziko?

Ne nujno.

Wireshark, TShark in Dumpcap so uporabni tudi na Windows.

Linux pa ponuja zelo priročno okolje za orodja, kot so tcpdump, Zeek in številna druga orodja za avtomatizirano analizo.

Ali je omrežna forenzika enaka penetracijskemu testiranju?

Ne.

Pri omrežni forenziki praviloma analiziramo podatke in dogodke, da bi ugotovili, kaj se je zgodilo.

Penetracijsko testiranje pa aktivno in nadzorovano preverja varnost sistema z iskanjem ter preverjanjem ranljivosti.

Ali je zajemanje omrežnega prometa dovoljeno?

Omrežni promet zajemamo samo v lastnih sistemih oziroma v okoljih, za katera imamo ustrezno dovoljenje.

Ker lahko zajem vsebuje osebne, poslovne ali druge občutljive podatke, moramo upoštevati tudi interna pravila organizacije, varstvo podatkov in veljavno zakonodajo.