Hoje o uso da internet está se tornando cada vez mais frequente e importante para muitas pessoas, pois graças a esta conexão poderemos acessar diferentes plataformas como e-mail, páginas corporativas, sites de interesse ou entretenimento e em geral tudo o que a Internet oferece nós.
No entanto, é muito importante que consideremos a segurança da rede. Sabemos que grande parte dos ataques a equipamentos de informação são feitos através da rede e muitas vezes a culpa é nossa (senhas ruins, download de arquivos desconhecidos, abertura de executáveis em e-mails), mas se você não tem o conhecimento básico de como funciona a rede você pode ser (se ainda não foi) mais uma vítima desse tipo de ataque.
A Internet é realmente uma rede gigante de protocolos, serviços e infraestrutura que permite que a conectividade de rede seja transportada para qualquer lugar e mais de 90% de nós já ouviu falar de TCP / IP, HTTP, SMTP, etc.
Todos esses são protocolos que desempenham um papel fundamental na forma como a rede chega ao seu PC ou dispositivo, mas por trás deles existem roteadores e outros componentes que, se falharem, duas coisas acontecem ou você fica sem acesso à rede. Ou você está suscetível a ser atacado. É por isso que os desenvolvedores de produtos de rede e de rede se esforçaram para criar aplicativos que conhecemos como Sniffers e analisadores de rede e, embora geralmente sejam muito técnicos, a verdade é que é uma ferramenta valiosa para determinar em que ponto de comunicação um pode ocorrer erro.
O que é um SnifferUm Sniffer ou analisador de rede são utilitários de hardware ou software desenvolvidos com o objetivo de gerar monitoramento constante do tráfego da rede local ou externa. Esse rastreamento se encarrega basicamente de analisar os fluxos de pacotes de dados que são enviados e recebidos entre os computadores da rede, interna ou externamente.
Utiliza um modo de seguimento denominado "modo promíscuo" com o qual nos dá a oportunidade de examinar todos os pacotes independentemente do seu destino, pode demorar algum tempo mas é fundamental saber com certeza o que se passa na nossa rede.
Podemos configurar um Sniffer de duas maneiras diferentes, dependendo do requisito de suporte, esses modos são:
- Podemos configurá-lo sem filtro para que a ferramenta capture todos os pacotes disponíveis e armazene um registro deles no disco rígido local para analisá-los posteriormente.
- Pode ser configurado com um filtro específico que nos dá a oportunidade de capturar pacotes com base nos critérios que especificamos antes da pesquisa.
Sniffers ou analisadores de rede podem ser usados igualmente em uma rede LAN ou Wi-Fi. A principal diferença é que se for utilizado em rede LAN, teremos acesso aos pacotes de qualquer equipamento conectado. Ou você pode estabelecer uma limitação com base nos dispositivos de rede, no caso de usar uma rede sem fio, o analisador de rede só será capaz de escanear um canal por vez devido à limitação da rede, mas se usarmos várias interfaces sem fio, isso pode melhorar um pouco, mas é sempre melhor usá-lo em uma rede com fio ou LAN.
Quando rastreamos os pacotes usando um Sniffer ou um analisador de rede, podemos acessar detalhes como:
- Informação dos sites visitados
- Conteúdo e destinatário dos e-mails enviados e recebidos
- Veja os arquivos baixados e muitos mais detalhes
O objetivo principal de um Sniffer é analisar todos os pacotes da rede, principalmente o tráfego de entrada, para procurar qualquer objeto cujo conteúdo contenha código malicioso e, desta forma, aumentar a segurança da organização evitando que qualquer tipo de dispositivo seja instalado em qualquer cliente malware de computador.
Sabendo um pouco como funciona o analisador de rede, vamos conhecer alguns dos melhores analisadores de rede ou Sniffer disponíveis para Windows e Linux.
Wireshark
Se em algum momento você tentou realizar uma análise de rede sem dúvida de que viu ou foi recomendado o WireShark como uma das melhores soluções e não é absurdo pensar nisso, a razão é simples, a WireShark se posicionou como um dos analisadores de protocolo de rede mais amplamente usados por milhões em todo o mundo, graças não apenas à sua facilidade de uso, mas também aos seus recursos integrados.
CaracteristicasDentre suas características destacamos as seguintes:
- Ele pode ser executado sem problemas em sistemas como Windows, Linux, macOS, Solaris, FreeBSD, NetBSD e mais.
- Ele integra uma análise poderosa para VoIP.
- Pode realizar uma inspeção profunda de mais de 100 protocolos.
- Ele pode realizar captura ao vivo e análise offline de pacotes de rede.
- Suporta leitura e escrita de formatos como tcpdump (libpcap), Pcap NG, Catapult DCT2000, Cisco Secure IDS iplog, Monitor de Rede Microsoft, Network General Sniffer® (comprimido e não comprimido), Sniffer® Pro e NetXray®, Network Instruments Observer, NetScreen snoop, Novell LANalyzer, RADCOM WAN / LAN Analyzer, Shomiti / Finisar Surveyor, Tektronix K12xx, Visual Networks Time Up Visual, WildPackets EtherPeek / TokenPeek / AiroPeek e muito mais.
- Os dados capturados ao vivo podem ser lidos em plataformas como Ethernet, IEEE 802.11, PPP / HDLC, ATM, Bluetooth, USB, Token Ring, Frame Relay, FDDI, o que nos dá uma ampla gama de possibilidades de acesso.
- Os dados de rede capturados podem ser explorados usando uma interface gráfica (GUI) ou através do TShark no modo TTY.
- Oferece suporte para descriptografar vários protocolos, como IPsec, ISAKMP, Kerberos, SNMPv3, SSL / TLS, WEP e WPA / WPA2
- Podemos implementar regras de cores para uma melhor gestão dos dados obtidos.
- Os resultados podem ser exportados para XML, PostScript®, CSV ou texto simples (CSV)
Seu download está disponível no seguinte link:
Lá podemos baixar o executável para Windows 10 e no caso do Linux podemos baixar o código-fonte ou executar os seguintes comandos no terminal:
sudo apt atualizar sudo apt instalar fioshark sudo usermod -aG fioshark $ (whoami) sudo rebootUma vez instalado em Windows 10 ou Linux, no momento de sua execução selecionaremos o adaptador de rede a analisar e a seguir veremos o seguinte:
No Windows 10
Assim que quisermos interromper o processo, clique em Parar e veremos os respectivos resultados que podemos definir mais detalhadamente a partir dos menus disponíveis:
LinuxNo caso do Linux, veremos o seguinte:
EtherApe
Este é um utilitário exclusivo para sistemas UNIX, pois só pode ser executado em sistemas operacionais como:
- Arch Linux
- Mageia 6
- CENTOS 7
- Fedora 24, 25, 26, 27, 28 e 29
- ScientificLinux 7
- SLES 12, 12 SP1 e 12 SP3
- OpenSUSE 13.2, Leap 42.1 / 42.2 / 42.3 e Tumbleweed / Factory.
CaracteristicasAlguns de seus recursos mais destacados são:
- Tanto o nó quanto a cor do link destacam o protocolo mais ativo na rede.
- Podemos selecionar o nível de protocolos a serem filtrados.
- O tráfego de rede utilizado é representado de forma gráfica para um melhor entendimento dos detalhes.
- Suporta protocolos como ETH_II, 802.2, 803.3, IP, IPv6, ARP, X25L3, REVARP, ATALK, AARP, IPX, VINES, TRAIN, LOOP, VLAN, ICMP, IGMP, GGP, IPIP, TCP, EGP, PUP, UDP, IDP, TP, ROUTING, RSVP, GRE, ESP, AH, EON, VINES, EIGRP, OSPF, ENCAP, PIM, IPCOMP, VRRP;
- Suporta serviços TCP e UDP, TELNET, FTP, HTTP, POP3, NNTP, NETBIOS, IRC, DOMAIN, SNMP e mais.
- Ele suporta o uso de um filtro de rede tomando a sintaxe de pcap.
- Permite analisar a rede de ponta a ponta IP ou porta a porta TCP.
- Os dados podem ser capturados offline.
- Os dados coletados podem ser lidos nas interfaces Ethernet, FDDI, PPP, SLIP e WLAN.
- Exibe as estatísticas de tráfego por nó.
- Com EtherApe a resolução de nomes é realizada usando funções libc padrão, isso significa que ele suporta DNS, arquivos de host e outros serviços.
- Os resultados podem ser exportados para um arquivo XML.
Para instalar este utilitário no Linux, devemos executar o seguinte:
sudo apt-get update sudo apt-get install etherapeDepois de instalado, acessamos o utilitário executando o seguinte:
sudo etherapeIsso fará com que o EtherApe seja executado a partir do terminal e a interface gráfica do aplicativo será exibida automaticamente:
PROLONGAR
Lá teremos um menu onde será possível aplicar filtros ou regras.
Tcpdump
Este é um utilitário para sistemas Linux que captura o tráfego de entrada e saída da rede e esta aplicação pode ser instalada em sistemas operacionais Unix / Linux, pois possui a biblioteca libpcap para realizar o processo de captura de tráfego da rede selecionada.
Para instalá-lo, basta executar o seguinte no terminal:
sudo apt install tcpdumpParâmetrosAlguns dos parâmetros a serem usados são:
- -A: Imprime cada pacote (não incluindo o cabeçalho do nível do link) em ASCII.
- -b: Imprime o número AS em pacotes BGP em notação ASDOT em vez de notação ASPLAIN.
- -B buffer_size, --buffer-size = buffer_size: Permite definir o tamanho do buffer de captura em buffer_size, em unidades KiB (1024 bytes).
- -c count: Sai do comando após receber pacotes de rede.
- -C file_size: verifique se o arquivo é maior que o tamanho do arquivo original.
- -d: despeja o código do pacote compilado em um formato legível por humanos.
- -dd: despeja o código do pacote como um fragmento de programa C.
- -D --list-interfaces: Imprime a lista de interfaces disponíveis.
- -e: Imprime o cabeçalho do nível do link.
- -E: Use spi @ ipaddr para descriptografar pacotes ESP IPsec.
- -f: Imprime os endereços IPv4.
- Arquivo -F: permite selecionar um arquivo de filtro.
- -h -help: Imprime ajuda para o comando.
- --version: exibe a versão usada do tcpdump.
- -i interface --interface = interface: Permite selecionar a interface a ser analisada para captura de pacotes.
- -I - modo monitor: Ativa a interface no "modo monitor"; que só é compatível com interfaces IEEE 802.11 Wi-Fi e alguns sistemas operacionais.
Kismet
Kismet é um utilitário simples e mais focado em redes sem fio, mas graças ao qual podemos analisar o tráfego de redes ocultas ou SSIDs que não foram enviados, podemos usá-lo nos sistemas UNIX, Windows Under Cygwin e OSX.
Kismet funciona totalmente em interfaces Wi-Fi, Bluetooth, hardware SDR (rádio definido por software - rádio definido por software) e hardware de captura especializado.
CaracteristicasEntre suas características encontramos:
- Permite exportar os dados padrão em JSON para ajudar na criação de scripts para suas instâncias Kismet.
- Ele integra uma interface de usuário baseada na web.
- Suporte ao protocolo sem fio.
- Possui um novo código de captura remota que foi otimizado para tamanho binário e RAM, o que facilita o uso de dispositivos integrados para capturar pacotes na rede.
- Possui um formato de registro que pode ser usado para garantir informações complexas sobre os dispositivos, status do sistema, alertas e outros parâmetros.
Podemos executar sua instalação com o seguinte comando:
sudo apt install kismetNo link a seguir, você encontrará mais opções para instalar o kismet:
NetworkMiner
Este é um utilitário de análise forense de rede (NFAT - Network Forensic Analysis Tool) que é baseado em código aberto para sistemas Windows, Linux, macOS e FreeBSD. Quando instalamos esta ferramenta podemos fazer uma varredura de rede completa para capturar todos os pacotes e com eles poder detectar sistemas operacionais, sessões, nomes de host, etc., para um gerenciamento completo destas variáveis.
CaracteristicasAlguns de seus recursos mais destacados são:
- Podemos analisar arquivos PCAP para análise offline.
- Será possível executar uma análise avançada de tráfego de rede (NTA).
- Execução em tempo real.
- Suporta endereçamento IPv6.
- É possível extrair arquivos do tráfego FTP, TFTP, HTTP, SMB, SMB2, SMTP, POP3 e IMAP
- Suporta SSL, HTTPS, SMTPS, IMAPS, POP3S, FTPS e mais criptografia
- GRE, 802.1Q, PPPoE, VXLAN, OpenFlow, SOCKS, MPLS e desencapsulamento EoMPLS
Seu download está disponível no seguinte link:
Passo 1
Para o uso correto do NetworkMiner, será necessário primeiro criar uma regra de entrada no Firewall do Windows 10:
PROLONGAR
Passo 2
Após isso devemos executar o utilitário como administrador para acessar o scan dos computadores da rede e lá selecionar as várias opções:
PROLONGAR
etapa 3
Ao selecionar um host, podemos ver os elementos carregados nas respectivas abas:
PROLONGAR
Microsoft Message Analyzer
Como você já deve ter suspeitado pelo nome, este é um utilitário exclusivo do Windows 10 que foi desenvolvido pela Microsoft para realizar tarefas como capturar, exibir e analisar o tráfego de mensagens de protocolo e outras mensagens do sistema operacional, além desta quando que usamos Este utilitário pode importar, adicionar ou analisar dados dos arquivos de log e rastreamento de rede.
Algumas de suas funções são
- Capture dados ao vivo
- Carregue dados de várias fontes de dados simultaneamente
- Mostrar dados de rastreamento ou registro
- Várias opções de visualização e mais
Passo 1
Seu download gratuito está disponível no seguinte link:
Passo 2
Uma vez executado veremos o seguinte ambiente (deve ser executado como administrador):
PROLONGAR
etapa 3
Lá será possível estabelecer regras de cores, adicionar colunas, definir filtros e outros, ao selecionarmos qualquer uma das linhas na parte inferior encontramos detalhes mais específicos sobre ela:
PROLONGAR
Windump
Windump é a versão do Tcpdump para ambientes Windows, pois o Windump é compatível com o Tcpdump e podemos instalá-lo para visualizar, diagnosticar ou se quisermos economizar tráfego de rede através do uso e implementação de regras.
O WinDump captura o tráfego de rede por meio da biblioteca e dos drivers do WinPcap, portanto, devemos baixar o WinPcap gratuitamente primeiro no seguinte link:
Então, podemos fazer o download do Windump no seguinte link:
Ao executá-lo, um console de prompt de comando será aberto e lá podemos definir a interface com o parâmetro -i:
WinDump.exe -i 1
PROLONGAR
Capsa Network Analyzer
Está disponível em versão gratuita e em versão paga com mais funcionalidades mas ambas permitem realizar tarefas de análise de rede monitorizando cada pacote de entrada e saída bem como os protocolos utilizados, o que será de grande utilidade para corrigir erros e realizar uma análise da rede em detalhe.
Na versão gratuita será possível:
- Monitore até 10 endereços IP na rede selecionada.
- Até 4 horas de duração por sessão.
- Podemos receber alertas de adaptadores de rede.
- Permite que você salve e exporte os resultados.
Depois de baixado e executado, este será o ambiente oferecido pelo utilitário:
PROLONGAR
Aí teremos uma representação gráfica do tráfego da rede e na parte superior teremos várias ferramentas para filtrar e controlar os pacotes da rede.
Netcat
Netcat é um comando integrado em sistemas Windows e Linux graças ao qual será possível ler e escrever dados usando o protocolo TCP / IP nas várias conexões de rede, pode ser usado de forma independente ou com outros aplicativos para ser usado como utilitário para exploração e depuração de rede local ou externa.
Entre suas funções encontramos:
- Integrado no próprio sistema
- Capture conexões de saída e de entrada
- Possui recursos de digitalização de porta integrados
- Possui funções avançadas
- Pode escanear códigos RFC854 e telnet
Podemos executar a seguinte linha, por exemplo:
netcat -z -v solvetic.com 15-30Isso lerá as portas 15 a 30 para exibir quais estão abertas e quais não estão:
A variável -z é usada para fins de varredura (Modo Zero) e o parâmetro -v (detalhado) exibe as informações de forma legível.
Existem parâmetros adicionais que podemos usar como:
- -4: Exibe os endereços IPv4
- -6: Suporta endereços IPv6
- -b: Suporta transmissão
- -D: ativa o modo de depuração
- -h: Exibe a ajuda do comando
- -i Intervalo: Permite aplicar um intervalo de tempo entre as linhas
- -l: ativa o modo de escuta
- -n: suprime o nome ou a resolução da porta
- -r: Otimiza portas remotas
Vimos as diferentes opções de analisadores de rede e Sniffer disponíveis para Windows e Linux com os quais podemos aumentar os resultados de nossas tarefas de suporte e controle.
