Etyczne hakowanie - węszenie

Sniffing to proces monitorowania i przechwytywania wszystkich pakietów przechodzących przez daną sieć za pomocą narzędzi do wykrywania. To forma „podpięcia przewodów telefonicznych” i zapoznania się z rozmową. Nazywa się to równieżwiretapping stosowane w sieciach komputerowych.

Jest tak duże prawdopodobieństwo, że jeśli zestaw portów przełączników korporacyjnych jest otwarty, jeden z ich pracowników może podsłuchiwać cały ruch w sieci. Każdy w tej samej lokalizacji fizycznej może podłączyć się do sieci za pomocą kabla Ethernet lub połączyć się bezprzewodowo z tą siecią i węszyć cały ruch.

Innymi słowy, Sniffing pozwala zobaczyć wszelkiego rodzaju ruch, zarówno chroniony, jak i niechroniony. W odpowiednich warunkach i z odpowiednimi protokołami strona atakująca może być w stanie zebrać informacje, które można wykorzystać do dalszych ataków lub spowodować inne problemy dla właściciela sieci lub systemu.

Co można wąchać?

Można wykryć następujące poufne informacje z sieci -

Ruch e-mailowy
Hasła FTP
Ruch sieciowy
Hasła Telnet
Konfiguracja routera
Sesje czatu
Ruch DNS

Jak to działa

Sniffer zwykle przełącza kartę sieciową systemu na promiscuous mode tak, że nasłuchuje wszystkich danych przesyłanych w jego segmencie.

Tryb promiscuous odnosi się do unikalnego sposobu sprzętu Ethernet, w szczególności kart interfejsu sieciowego (NIC), który umożliwia karcie sieciowej odbieranie całego ruchu w sieci, nawet jeśli nie jest on adresowany do tej karty sieciowej. Domyślnie karta sieciowa ignoruje cały ruch, który nie jest do niej adresowany, co odbywa się poprzez porównanie adresu docelowego pakietu Ethernet z adresem sprzętowym (czyli MAC) urządzenia. Chociaż ma to sens w przypadku sieci, tryb nierozłączny utrudnia korzystanie z oprogramowania do monitorowania i analizy sieci w celu diagnozowania problemów z łącznością lub rozliczania ruchu.

Sniffer może w sposób ciągły monitorować cały ruch do komputera przez kartę sieciową, dekodując informacje zawarte w pakietach danych.

Rodzaje wąchania

Wąchanie może mieć charakter Aktywny lub Pasywny.

Wąchanie pasywne

W pasywnym wąchaniu ruch jest zablokowany, ale nie jest w żaden sposób zmieniany. Wąchanie pasywne pozwala tylko na słuchanie. Działa z urządzeniami Hub. Na urządzeniu koncentratora ruch jest przesyłany do wszystkich portów. W sieci wykorzystującej koncentratory do łączenia systemów wszystkie hosty w sieci mogą widzieć ruch. Dlatego osoba atakująca może łatwo przechwycić przechodzący ruch.

Dobra wiadomość jest taka, że obecnie centra są prawie przestarzałe. Większość nowoczesnych sieci używa przełączników. Dlatego bierne wąchanie nie jest bardziej skuteczne.

Aktywne wąchanie

W przypadku aktywnego podsłuchiwania ruch jest nie tylko blokowany i monitorowany, ale może również zostać w jakiś sposób zmieniony w zależności od ataku. Aktywne podsłuchiwanie służy do podsłuchiwania sieci opartej na przełączniku. Polega na wstrzyknięciuaddress resolution packets (ARP) do sieci docelowej, aby zalać przełącznik content addressable memory(CAM) tabela. CAM śledzi, który host jest podłączony do którego portu.

Poniżej przedstawiono techniki aktywnego wąchania -

Zalanie MAC
Ataki DHCP
Zatrucie DNS
Spoofing Attacks
Zatrucie ARP

Protokoły, których to dotyczy

Protokoły, takie jak wypróbowany i prawdziwy TCP / IP, nigdy nie były projektowane z myślą o bezpieczeństwie i dlatego nie zapewniają dużej odporności na potencjalne intruzów. Kilka zasad pozwala na łatwe wąchanie -

HTTP - Służy do wysyłania informacji w postaci zwykłego tekstu bez szyfrowania, a tym samym do rzeczywistego celu.
SMTP(Simple Mail Transfer Protocol) - SMTP jest zasadniczo używany do przesyłania wiadomości e-mail. Ten protokół jest wydajny, ale nie obejmuje żadnej ochrony przed węszeniem.
NNTP (Network News Transfer Protocol) - jest używany do wszystkich typów komunikacji, ale jego główną wadą jest to, że dane, a nawet hasła są przesyłane przez sieć jako zwykły tekst.
POP(Post Office Protocol) - protokół POP jest ściśle używany do odbierania wiadomości e-mail z serwerów. Ten protokół nie obejmuje ochrony przed wąchaniem, ponieważ może zostać złapany.
FTP(Protokół przesyłania plików) - protokół FTP służy do wysyłania i odbierania plików, ale nie oferuje żadnych funkcji bezpieczeństwa. Wszystkie dane są wysyłane jako czysty tekst, który można łatwo przeszukać.
IMAP (Internet Message Access Protocol) - protokół IMAP jest taki sam jak SMTP w swoich funkcjach, ale jest bardzo podatny na podsłuchiwanie.
Telnet - Telnet wysyła wszystko (nazwy użytkowników, hasła, naciśnięcia klawiszy) przez sieć jako czysty tekst, dzięki czemu można je łatwo wykryć.

Sniffery nie są głupimi narzędziami, które pozwalają oglądać tylko ruch na żywo. Jeśli naprawdę chcesz przeanalizować każdy pakiet, zapisz przechwycony obraz i przejrzyj go, kiedy tylko pozwoli na to czas.

Analizatory protokołów sprzętowych

Zanim przejdziemy do dalszych szczegółów dotyczących snifferów, ważne jest, abyśmy o nich porozmawiali hardware protocol analyzers. Urządzenia te są podłączane do sieci na poziomie sprzętowym i mogą monitorować ruch bez manipulowania nim.

Analizatory protokołów sprzętowych służą do monitorowania i identyfikacji złośliwego ruchu sieciowego generowanego przez oprogramowanie hakerskie zainstalowane w systemie.
Przechwytują pakiet danych, dekodują go i analizują jego zawartość zgodnie z określonymi regułami.
Sprzętowe analizatory protokołów pozwalają atakującym zobaczyć poszczególne bajty danych każdego pakietu przechodzącego przez kabel.

Te urządzenia sprzętowe nie są łatwo dostępne dla większości etycznych hakerów ze względu na ich ogromne koszty w wielu przypadkach.

Legalny przechwyt

Legalne przechwytywanie (LI) definiuje się jako prawnie usankcjonowany dostęp do danych sieci komunikacyjnych, takich jak rozmowy telefoniczne lub wiadomości e-mail. LI musi zawsze działać zgodnie z prawem w celu przeprowadzenia analizy lub przedstawienia dowodów. Dlatego LI jest procesem bezpieczeństwa, w którym operator sieci lub usługodawca udziela funkcjonariuszom organów ścigania pozwolenia na dostęp do prywatnej komunikacji osób lub organizacji.

Prawie wszystkie kraje opracowały i uchwaliły przepisy regulujące legalne procedury przechwytywania; Grupy normalizacyjne tworzą specyfikacje technologii LI. Zazwyczaj działania LI są podejmowane w celu ochrony infrastruktury i cyberbezpieczeństwa. Jednak operatorzy prywatnej infrastruktury sieciowej mogą utrzymywać możliwości LI w swoich własnych sieciach jako nieodłączne prawo, chyba że zakazano inaczej.

LI był wcześniej znany jako wiretapping i istnieje od momentu powstania komunikacji elektronicznej.