Pakkefangst og -analyse er ekstremt nyttig for å undersøke nettverksinteraksjoner og identifisere ineffektive overføringer så vel som farlige cybertrusler.
Pakkefangst refererer til å avskjære og samle inn en datapakke når den går over en nettverkstilkobling. Datapakker registreres og inspiseres for å identifisere og håndtere nettverksproblemer som høy latenstid og feil. Informasjonen innhentet fra pakkeanalyse brukes til å hjelpe en nettverksadministrator med å feilsøke og fikse nettverksfeil på kortere tid.
Pakkeanalyse brukes til noen av følgende oppgaver.
- Oppdage sikkerhetsrisikoer
- Feilsøking av DNS-problemer
- Identifisere og løse problemer med nettverkstilkobling
- Oppdager nettverksfeil
- Oppdage og fikse pakkelekkasje
- Oppdagelse og forebygging av skadelig programvare
Det er mulig å fange opp hele datapakker eller bestemte segmenter av en pakke. En full datapakke består av to deler: en nyttelast og en header. Nyttelastsegmentet inneholder pakkens faktiske innhold, mens headersegmentet inneholder informasjon som pakkens kilde- og destinasjonsadresser.
Vi har oppsummert en liste over noen få applikasjoner for å utføre Full Packet Capture og Analysis.
La oss sette i gang.
Innholdsfortegnelse
Colasoft Capsa
Capsa er et sanntids bærbart nettverksanalysator-, overvåkings- og diagnoseverktøy for både kablede og trådløse nettverk. Datapakkeinspeksjoner kan planlegges til å kjøre på et spesifisert tidspunkt, for eksempel regelmessig eller månedlig. Regelmessige skanninger sikrer at du ikke går glipp av ytelsesproblemer som oppstår. Hvis du ender opp med å gå glipp av noe, vil e-post- og lydvarsler varsle deg hver gang en nettverksøkt krever at du deltar.
Capsa hjelper brukeren med å holde seg oppdatert om sårbarheter og trusler som kan resultere i en tjenesteavbrudd. Alle kritiske VoIP (Voice over Internet Protocol) beregninger, for eksempel anropskodek-type og hendelsesdistribusjon, spores godt med dette verktøyet. Det er et utmerket verktøy for enkeltpersoner som ønsker å delta i pakkeinspeksjon og lære å oppdage nettverksproblemer og forbedre nettverkssikkerheten.
Funksjoner:
- Gratis innebygde verktøy for å lage og spille av pakker, samt skanne og pinge IP-adresser.
- Diagnostiserer nettverksproblemer og anbefaler løsninger automatisk.
- Støtter VoIP- og TCP-flytanalyse, som kan brukes til å diagnostisere nettverksproblemer som langsom responstid og CRM-transaksjoner (Customer Relationship Management).
- DDoS-angrep, ARP-angrep og TCP-portskanning kan oppdages, og det lar også brukeren oppdage de tekniske feilene i nettverket.
- Dette verktøyet støtter over 1800 protokoller, noe som gjør det enkelt å undersøke protokoller i et nettverk og forstå hva som skjer.
- Den samler alle datapakker og viser full pakkesekvensinformasjon i Hex- og ASCII-format. (Dypende pakkedekoding)
- Informasjon om nettverkstrafikk og gjennomstrømning kan vises i grafer.
Colasoft tilbyr andre verktøy som Network Performance Analysis System (nChronos) og Unified Performance Management Solution (Colasoft UPM). Det gir en 30-dagers gratis prøveversjon for å sjekke funksjonene før du kjøper.
TCPDump
TCPDump er et åpen kildekode og kraftig kommandolinjepakkeanalysatorverktøy som fanger opp protokoller som TCP, UDP og ICMP (Internet Control Message Protocol). Dette verktøyet er forhåndsinstallert på alle Unix-lignende operativsystemer. TCPDump er utgitt under BSD-lisensen. Du kan enkelt inspisere overskriftene til TCP/IP-pakker med tcpdump. Den sender ut informasjonen for hver dataoverføring, og skriptet kjører til du avslutter det med Ctrl+C-alternativet.
Tcpdump er veldig enkelt å sette opp, og hvis du lærer verktøybruken, flaggene og argumentene, kan du bruke dette verktøyet til å feilsøke tilkoblingsproblemer og sikre nettverket. Registrerte datapakker vil bli lagret i en fil for videre analyse med tcpdump. Den lagrer filen i PCAP-utvidelsesformat, som enkelt kan inspiseres med tcpdump eller Wireshark som leser PCAP (forkortelse av packet capture)-formatfiler.
Funksjoner:
- Det er mulig å filtrere de fangede datapakkene etter kilde, destinasjon og protokoll.
- Gratis og åpen kildekode
Her er en artikkel om hvordan du fanger opp og analyserer nettverkstrafikk med tcpdump.
Paessler PRTG
Et av de mest populære nettverksovervåkings- og trafikkanalyseverktøyene er Paessler PRTG Network Monitor. Dette verktøyet gir viktig informasjon om nettverkets infrastruktur og ytelse.
Den er kompatibel med Windows. Den inkluderer en rekke overvåkingsalternativer, inkludert båndbreddeovervåking og trafikkanalyse. En gratisversjon av Paessler PRTG er tilgjengelig. For å rapportere nettverksytelsesmålinger, bruker den en kombinasjon av en pakkesniffer, WMI og SNMP.
Funksjoner:
- Fleksibel varsling – PRTG har over ti utformede teknologier, inkludert SMS, push-varsler, e-poster, utløsende HTTP-forespørsler, etc.
- Flere brukergrensesnitt – bygget på AJAX med sterke sikkerhetskrav, høy ytelse som kan tilskrives Single Page Application (SPA) teknologi,
- Cluster failover-løsning – For å utgjøre en litt forhøyet overvåkingsløsning.
- Kart og dashbord – Bruk sanntidskart med gjeldende liveinformasjon for å visualisere nettverket.
- Distribuert overvåking – Ved å bruke bærbare interceptorer kan du overvåke en rekke nettverk på forskjellige steder og flere nettverk i organisasjonen din.
- Dybderapportering i form av tall, statistikk og grafer
Dette verktøyet støtter en rekke varslingsmetoder, inkludert SMS, e-post og tredjepartsforbindelser til plattformer som Slack. PRTG er tilgjengelig i en ubegrenset versjon i 30 dager. Etter gratisperioden vil den gå tilbake til gratisformen.
Wireshark
Wireshark er en gratis og åpen kildekode-pakkeanalysator som lar deg undersøke nettverksdataoverføringer i sanntid. Dette verktøyet gjør det mulig for nettverksledere å undersøke nettverket på et mikroskopisk nivå for å finne kilden til trafikkproblemer og feil. Det er et flott verktøy som krever en solid forståelse av nettverkskonsepter.
Funksjoner:
- Det fungerer praktisk talt med alle operativsystemer, inkludert Windows, Linux-distribusjoner, Mac OS X, etc.
- Lag rapporter basert på gjeldende statistiske data.
- Filtrering av utdataene kan gjøres med en rekke alternativer, for eksempel tidtakere og filtre.
- Visualiser nettverkspakker med IO-grafer og diagrammer.
- Den kan også ta opp USB-trafikk.
- Den tilbyr et bredt spekter av bruksområder, inkludert fingeravtrykk av uautorisert trafikk, pakkefiltreringsinnstillinger og så videre.
- Fargekodingsregler kan brukes for å identifisere trafikktypene.
- Detaljert VoIP (Voice over Internet Protocol) forskning.
Tapte datapakker, problemer med nettverksforsinkelse, applikasjonsavhengigheter og ineffektive vindusstørrelser er de vanlige feilsøkingsutfordringene som Wireshark kan hjelpe med. Dette verktøyet lar deg overvåke nettverkstrafikk og gir mekanismer for å søke og finne kilden til et problem.
Unicast (tilkoblingsløs) trafikk som ikke sendes til nettverkets MAC-adressegrensesnitt kan også overvåkes med Wireshark-verktøyet.
Besøk gjerne denne artikkelen om feilsøking av nettverksforsinkelse med Wireshark.
Arkime
Arkime opererer i samarbeid med det eksisterende sikkerhetssystemet for å samle og indeksere nettverkstrafikk og dataoverføringer i standard PCAP-format.
Alle registrerte datapakker lagres og eksporteres i vanlig PCAP-format, slik at du kan bruke dine favoritt-PCAP-inntaksverktøy, for eksempel Wireshark eller tcpdump, i din analytiske prosess.
PCAP-retensjon bestemmes av mengden tilgjengelig sensordiskplass, mens API-retensjon bestemmes av størrelsen på Elasticsearch-klyngen. Begge disse parameterne kan endres når som helst.
Arkime er designet for å fungere på tvers av flere systemer og skalaer for å imøtekomme titalls gigabit per sekund med trafikk. Alle PCAP-formatfiler som er lagret på Arkime-sensorene kan installeres og kan kun nås via Arkimes webgrensesnitt eller API. PCAP-filer kan krypteres i hvile med Arkime.
Funksjoner:
- Gir et brukervennlig webgrensesnitt for å undersøke, finne og trekke ut PCAP-filer.
- Gratis og åpen kildekode
- Lar andre PCAP-inntaksverktøy inspisere de lagrede PCAP-filene.
PCAP-data og JSON-formaterte transaksjonsdata kan hentes direkte gjennom APIer. Se den komplette API-dokumentasjonen for Arkime her.
Konklusjon
Analyse av pakkefangstdata krever vanligvis et høyt nivå av teknisk ekspertise, som kan oppnås ved hjelp av disse verktøyene.
Jeg håper du fant denne artikkelen veldig nyttig når du skal lære Full Packet Capture and Analysis-verktøy for små til store nettverk.
Du kan også være interessert i å lære om de beste programvareverktøyene for Wi-Fi Analyzer.