Hindre hackere med nettverksanalysatorer - dummies

En nettverksanalysator er et verktøy som lar deg se på et nettverk og forhindre hack ved å analysere data går over ledningen for nettverksoptimalisering, sikkerhet og / eller feilsøkingsformål. En nettverksanalysator er praktisk for sniffing pakker på ledningen. Det fungerer ved å plassere nettverkskortet i promiskuøs modus, som gjør at kortet kan se all trafikken på nettverket.

Nettverksanalysatoren utfører følgende funksjoner:

• Fanger all nettverkstrafikk

• Tolker eller dekoder det som finnes i et lesbart format.

• Viser innholdet i kronologisk rekkefølge > Når du vurderer sikkerhet og svarer på sikkerhetshendelser, kan en nettverksanalysator hjelpe deg

• Utvikle en grunnlinje for nettverksaktivitet og ytelse, for eksempel protokoller i bruk, brukstrender og MAC-adresser, før det oppstår en sikkerhetshendelse.

• Når nettverket ditt virker uregelmessig, kan en nettverksanalysator hjelpe deg

Spor og isoler skadelig nettverksbruk

• Oppdag skadelige trojanske hesteprogrammer

• Overvåk og sper opp DoS-angrep

• Nettverksanalysatorprogrammer

Du kan bruke ett av følgende programmer for nettverksanalyse:

WildPackets 'OmniPeek

• Det gjør alt du trenger og mer og er veldig enkelt å bruke. OmniPeek er tilgjengelig for Windows-operativsystemer. TamoSoft's CommView

• er et billig Windows-basert alternativ. Cain & Abel

• er et gratis multifunksjonelt passordgjenoppretting verktøy for å utføre ARP forgiftning, fange pakker, cracking passord og mer. Wireshark

• , tidligere kjent som Ethereal, er et gratis alternativ. Det er ikke like brukervennlig som de fleste kommersielle produktene, men det er veldig kraftig hvis du er villig til å lære sine innsatser og outs. Wireshark er tilgjengelig for både Windows og OS X. ettercap

• er et annet kraftig verktøy for å utføre nettverksanalyse og mye mer på Windows, Linux og andre operativsystemer. Her er noen advarsler for bruk av en nettverksanalysator:

For å fange all trafikk må du koble analysatoren til ett av følgende:

• Et nav på nettverket

  • En skjerm / spenning / speil port på bryter

  • En bryter som du har utført et ARP-forgiftningsangrep på

  • Hvis du vil se trafikk på samme måte som en nettverksbasert IPS ser, bør du koble nettverksanalysatoren til en nav eller bytte skjerm port på utsiden av brannmuren. På denne måten kan testen din vise

• Hva skriver inn ditt nettverk

  • før brannmurfiltrene eliminerer søppelprofilen. Hva forlater nettverket ditt

  • etter trafikken går gjennom brannmuren. Det kan være en overveldende mengde informasjon, men du kan se etter disse problemene først:

    

Ulig trafikk,

• som: En uvanlig mengde ICMP-pakker

  • Overdriven mengder multicast eller kringkastingstrafikk

  • Protokoller som ikke er tillatt etter retningslinjene, eller som ikke bør eksistere, er gitt din nåværende nettverkskonfigurasjon

  • Bruksvaner,

• som kan bidra til å påpeke skadelig oppførsel av en skurkinnsaker eller et system som er blitt kompromittert, for eksempel: Websurfing og sosiale medier

  • E-post

  • Instant messaging og annen P2P-programvare

  • Tvilsom bruk,

• som: Mange tapte eller overdimensjonerte pakker, som indikerer hacking verktøy eller skadelig programvare er tilstede

  • Forbruker med høy båndbredde som kan peke på en web- eller FTP-server som ikke tilhører

  • Rekognosjonsprober og systemprofilering fra portskannere og sårbarhetsvurderingsverktøy,

• som en betydelig mengde innkommende trafikk fra ukjente verter - spesielt over porter som ikke brukes veldig mye, s uch som FTP eller telnet. Hacking under utførelse,

• som tonn innkommende UDP- eller ICMP-ekko-forespørsler, SYN-oversvømmelser eller overdrevent sendinger. Ikke-standardiserte vertsnavn på nettverket ditt.

• For eksempel, hvis systemene dine heter Computer1, Computer2 og så videre, skal en datamaskin med navnet GEEKz4evUR øke et rødt flagg. Skjulte servere

• som kan spise nettverksbåndbredde, servere ulovlig programvare, eller få tilgang til nettverksverten. Angrep på spesifikke applikasjoner

• som viser slike kommandoer som / bin / rm, / bin / ls, echo og cmd. exe samt SQL-spørringer og JavaScript-injeksjon. Hvis nettverksanalysatoren tillater det, konfigurerer du det for å bruke en først-i, først-ut buffer.

• Hvis nettverksanalysatoren tillater det, må du registrere all trafikken i en fangstfil og lagre den på harddisken.

• Dette er det ideelle scenariet - spesielt hvis du har en stor harddisk, for eksempel 500 GB eller mer. Når nettverkstrafikken ikke ser riktig ut i en nettverksanalysator, er det sannsynligvis ikke.

• Det er bedre å være trygg enn beklager. Du kan sjekke om er

topptalere på nettverket. Hvis noen gjør noe ondsinnet på nettverket, for eksempel hosting av en FTP-server eller kjøring av Internett-fildelingsprogramvare, er det ofte den eneste måten du finner ut om det er å bruke en nettverksanalysator. En nettverksanalysator er også et godt verktøy for å oppdage systemer som er smittet med skadelig programvare, for eksempel et virus eller en trojansk hest. Når du ser på nettverksstatistikken, for eksempel bytes per sekund, nettverksutnyttelse og innkommende / utgående pakktelling, er det også en god måte å avgjøre om det er noe fisket på.

TamoSoft - produsenten av CommView - har et annet produkt som heter NetResident som kan spore bruken av kjente protokoller, som HTTP, e-post, FTP og VoIP. Du kan bruke NetResident til å overvåke web-økter og spille dem tilbake.

NetResident har også muligheten til å utføre ARP-forgiftning, noe som gjør at NetResident kan se alt på det lokale nettverkssegmentet.

Deteksjon av nettverksanalysator

Du kan bruke et nettverks- eller vertsbasert verktøy for å finne ut om noen driver en uautorisert nettverksanalysator på nettverket ditt:

Sniffdet

• for UNIX-baserte systemer PromiscDetect

• for Windows Enkelte IPSer kan også oppdage om en nettverksanalysator kjører på nettverket ditt. Disse verktøyene lar deg overvåke nettverket for Ethernet-kort som kjører i promiskuøs modus. Du laster bare inn programmene på datamaskinen, og programmene varsler deg om de ser promiskuøse atferd på nettverket (Sniffdet) eller lokalt system (PromiscDetect).