Που εμποδίζουν την ανίχνευση με δίκτυο αναλυτών - ανδρείκελα

A αναλυτή δικτύου να είναι ένα εργαλείο που σας επιτρέπει να αναζητήσετε ένα δίκτυο και να αποφύγετε τα hacks αναλύοντας δεδομένα περνώντας από το καλώδιο για λόγους βελτιστοποίησης δικτύου, ασφάλειας και / ή αντιμετώπισης προβλημάτων. Ένας αναλυτής δικτύου είναι βολικός για πακέτα sniffing στο καλώδιο. Λειτουργεί με την τοποθέτηση της κάρτας δικτύου σε μη εύχρηστη λειτουργία, , η οποία επιτρέπει στην κάρτα να δει όλη την κίνηση στο δίκτυο.

Αποτυπώνει όλη την κυκλοφορία δικτύου

• Ερμηνεύει ή αποκωδικοποιεί τι βρίσκεται σε μορφή αναγνώσιμη από άνθρωπο

• Εμφανίζει το περιεχόμενο σε χρονολογική σειρά > Κατά την αξιολόγηση της ασφάλειας και την ανταπόκριση σε συμβάντα ασφαλείας, ένας αναλυτής δικτύου μπορεί να σας βοηθήσει

Αναπτύξτε μια βασική γραμμή της δραστηριότητας και των επιδόσεων του δικτύου, όπως τα πρωτόκολλα που χρησιμοποιούνται, οι τάσεις χρήσης και οι διευθύνσεις MAC, προτού συμβεί κάποιο συμβάν ασφάλειας.

• Όταν το δίκτυό σας συμπεριφέρεται εσφαλμένα, ένας ανιχνευτής δικτύου μπορεί να σας βοηθήσει

• Παρακολουθήστε και απομονώστε τη χρήση κακόβουλου δικτύου

Εντοπισμός κακόβουλων εφαρμογών Δούρειου ίππου

• Παρακολουθήστε και εντοπίστε επιθέσεις DoS

• Τα προγράμματα ανάλυσης δικτύου

  Μπορείτε να χρησιμοποιήσετε ένα από τα παρακάτω προγράμματα για ανάλυση δικτύου:

Το OmniPeek WildPackets

Κάνει ό, τι χρειάζεστε και πολλά άλλα και είναι πολύ απλό στη χρήση. Το OmniPeek είναι διαθέσιμο για λειτουργικά συστήματα Windows.

• Το CommView της TamoSoft είναι μια εναλλακτική λύση χαμηλού κόστους, βασισμένη στα Windows.

• Το Cain & Abel είναι ένα δωρεάν πολυλειτουργικό εργαλείο ανάκτησης κωδικού πρόσβασης για τη δηλητηρίαση με ARP, τη λήψη πακέτων, την κατάργηση κωδικών πρόσβασης και πολλά άλλα.

• Το Wireshark , παλαιότερα γνωστό ως Ethereal, είναι μια δωρεάν εναλλακτική λύση. Δεν είναι τόσο φιλικό προς το χρήστη όσο τα περισσότερα από τα εμπορικά προϊόντα, αλλά είναι πολύ ισχυρό εάν είστε πρόθυμοι να μάθετε τα in ins και outs. Το Wireshark είναι διαθέσιμο τόσο για τα Windows όσο και για το OS X.

• Το ettercap είναι ένα άλλο ισχυρό βοηθητικό πρόγραμμα για την ανάλυση δικτύων και πολλά άλλα για τα Windows, το Linux και άλλα λειτουργικά συστήματα.

• Ακολουθούν μερικές προειδοποιήσεις για τη χρήση ενός αναλυτή δικτύου: Για να καταγράψετε όλη την κίνηση, πρέπει να συνδέσετε τον αναλυτή σε ένα από τα παρακάτω:

Ένας κόμβος στο δίκτυο

• Μια οθόνη / θύρα σε διακόπτη

  • Ένας διακόπτης που έχετε εκτελέσει μια επίθεση δηλητηρίασης ARP σε

  • Εάν θέλετε να δείτε κυκλοφορία παρόμοια με αυτή που βλέπει ένα IPS που βασίζεται στο δίκτυο, θα πρέπει να συνδέσετε τον αναλυτή δικτύου σε ένα διανομέα θύρα στο εξωτερικό του τείχους προστασίας. Με αυτόν τον τρόπο, οι έλεγχοι σας επιτρέπουν την προβολή

  • Τι εισέρχεται στο δίκτυό σας

• πριν από

  • τα φίλτρα τείχους προστασίας εξαλείφουν την κυκλοφορία ανεπιθύμητης αλληλογραφίας. Τι φεύγει από το δίκτυό σας μετά από

  • η κίνηση περνάει από το τείχος προστασίας. Μπορεί να είναι μια συντριπτική ποσότητα πληροφοριών, αλλά μπορείτε να αναζητήσετε πρώτα αυτά τα θέματα: Μονή κίνηση

    

όπως:

• Μια ασυνήθιστη ποσότητα πακέτων ICMP Υπερβολικές ποσότητες multicast

  • Πρωτόκολλα που δεν επιτρέπονται από την πολιτική ή δεν θα έπρεπε να υπάρχουν δεδομένης της τρέχουσας διαμόρφωσης δικτύου

  • συνήθειες χρήσης του διαδικτύου

  • που μπορούν να βοηθήσουν να επισημανθεί η κακόβουλη συμπεριφορά ενός αθέμιτου εσωτερικού χρήστη ή συστήματος που έχει παραβιαστεί, όπως:

• Περιήγηση στο Web και κοινωνικά μέσα Ηλεκτρονικό ταχυδρομείο

  • Άμεση αποστολή μηνυμάτων και άλλο λογισμικό P2P

  • Αμφισβητήσιμη χρήση

  • όπως:

• τα εργαλεία ή το κακόβουλο λογισμικό Κατανάλωση υψηλού εύρους ζώνης που μπορεί να δείχνει σε έναν ιστό ή διακομιστή FTP που δεν ανήκει

  • Ανιχνευτές ανίχνευσης και προφίλ συστήματος από σαρωτές λιμένων και εργαλεία αξιολόγησης ευπάθειας,

  • εισερχόμενη κίνηση από άγνωστους κεντρικούς υπολογιστές - ειδικά σε λιμάνια που δεν χρησιμοποιούνται πολύ, s ως FTP ή telnet.

• Hacking in progress, όπως τόνους εισερχόμενων αιτήσεων echo UDP ή ICMP, πλημμύρες SYN ή υπερβολικές εκπομπές.

• Μη τυποποιημένα ονόματα κεντρικών υπολογιστών στο δίκτυό σας. Για παράδειγμα, εάν τα συστήματά σας ονομάζονται Computer1, Computer2 κ.ο.κ., ένας υπολογιστής που ονομάζεται GEEKz4evUR πρέπει να θέσει κόκκινη σημαία.

• Κρυφό διακομιστές που μπορεί να τρώνε εύρος ζώνης δικτύου, να εξυπηρετούν παράνομο λογισμικό ή να έχουν πρόσβαση στους οικοδεσπότες του δικτύου μας.

• Επιθέσεις σε συγκεκριμένες εφαρμογές που εμφανίζουν τέτοιες εντολές ως / bin / rm, / bin / ls, echo και cmd. exe καθώς και ερωτήματα SQL και ένεση JavaScript.

• Εάν ο ανιχνευτής δικτύου σας το επιτρέπει, ρυθμίστε το ώστε να χρησιμοποιεί ένα buffer πρώτης εισόδου και πρώτης εξόδου. Εάν ο ανιχνευτής δικτύου σας το επιτρέπει, καταγράψτε όλη την κίνηση σε ένα αρχείο καταγραφής και αποθηκεύστε το στο σκληρό δίσκο.

• Αυτό είναι το ιδανικό σενάριο - ειδικά αν έχετε ένα μεγάλο σκληρό δίσκο, όπως 500GB ή περισσότερο.

• Όταν η κυκλοφορία δικτύου δεν φαίνεται σωστή σε έναν αναλυτή δικτύου, πιθανότατα δεν είναι. Είναι καλύτερο να είσαι ασφαλής παρά συγγνώμη.

• Μπορείτε να ελέγξετε ότι είναι τα κορυφαία ομιλητικά

στο δίκτυο. Εάν κάποιος κάνει κάτι κακόβουλο στο δίκτυο, όπως η φιλοξενία ενός διακομιστή FTP ή η εκτέλεση λογισμικού κοινής χρήσης αρχείων στο Διαδίκτυο, χρησιμοποιώντας έναν αναλυτή δικτύου είναι συχνά ο μόνος τρόπος για να μάθετε γι 'αυτό. Ένας αναλυτής δικτύου είναι επίσης ένα καλό εργαλείο για την ανίχνευση συστημάτων που έχουν προσβληθεί από κακόβουλο λογισμικό, όπως ιό ή δούρειος ίππος. Η εξέταση των στατιστικών στοιχείων του δικτύου σας, όπως τα byte ανά δευτερόλεπτο, η χρήση του δικτύου και ο αριθμός των εισερχόμενων / εξερχόμενων πακέτων, είναι επίσης ένας καλός τρόπος για να προσδιορίσετε αν συμβαίνει κάτι ψαράκι. Το TamoSoft - ο κατασκευαστής του CommView - έχει ένα άλλο προϊόν που ονομάζεται NetResident που μπορεί να παρακολουθήσει τη χρήση γνωστών πρωτοκόλλων, όπως HTTP, e-mail, FTP και VoIP. Μπορείτε να χρησιμοποιήσετε το NetResident για να παρακολουθείτε τις συνεδρίες ιστού και να τις αναπαράγετε.

Το NetResident έχει επίσης τη δυνατότητα να εκτελεί δηλητηρίαση ARP, το οποίο επιτρέπει στο NetResident να δει τα πάντα στο τμήμα τοπικού δικτύου.

Ανίχνευση αναλυτή δικτύου

Μπορείτε να χρησιμοποιήσετε ένα βοηθητικό πρόγραμμα που βασίζεται σε δίκτυο ή κεντρικό υπολογιστή για να προσδιορίσετε αν κάποιος εκτελεί μη εξουσιοδοτημένο αναλυτή δικτύου στο δίκτυό σας:

Sniffdet

για συστήματα βασισμένα σε UNIX

• PromiscDetect για Windows

• Ορισμένα IPSs μπορούν επίσης να ανιχνεύσουν αν ένας αναλυτής δικτύου εκτελείται στο δίκτυό σας. Αυτά τα εργαλεία σάς επιτρέπουν να παρακολουθείτε το δίκτυο για κάρτες Ethernet που εκτελούνται σε αδιέξοδη λειτουργία. Απλώς φορτώνετε τα προγράμματα στον υπολογιστή σας και τα προγράμματα σας ειδοποιούν αν βλέπουν διακριτικές συμπεριφορές στο δίκτυο (Sniffdet) ή στο τοπικό σύστημα (PromiscDetect).