I-bob. Tarmoqqa ulangan sniffer

2.2. Sniffer analizatori va tarmoqdagi ahamiyat
Trafik analizatori yoki sniffer (inglizchadan sniff - hidlash uchun) - bu tarmoq trafigini (o'ziniki va/yoki birovning) ushlash va tahlil qilish uchun dastur yoki qurilma.
Sniffer faqat tarmoq kartasidan o'tgan narsalarni tahlil qilishi mumkin. Ethernet tarmog'ining bir segmentida barcha paketlar barcha mashinalarga yuboriladi, shuning uchun boshqa birovning ma'lumotlarini ushlab olish mumkin. Kalitlardan foydalanish (switch, switch-hub) va ularning vakolatli konfiguratsiyasi allaqachon eshitishdan himoya qilishdir. Ma'lumot segmentlar o'rtasida kalitlar orqali uzatiladi. Paketli kommutatsiya - bu alohida paketlarga bo'lingan ma'lumotlar turli yo'llar bilan manbadan belgilangan joyga yuborilishi mumkin bo'lgan uzatish shaklidir. Shunday qilib, agar boshqa segmentdagi kimdir uning ichidagi har qanday paketlarni yuborsa, u holda bu ma'lumotlarni sizning segmentingizga yubormaydi.

10-rasm: Paket almashish jarayoni
Yo'l harakati to'xtatilishi mumkin:

• 
  tarmoq interfeysini odatiy "tinglash" orqali (usul kommutatorlar (kalitlar) o'rniga markazlar (markazlar) segmentida ishlatilganda samarali bo'ladi), aks holda usul samarasiz, chunki snifferga faqat individual ramkalar tushadi);
  
• 
  snifferni kanal uzilishiga ulash;
  
• 
  tarmoq (dasturiy ta'minot yoki apparat) trafigini va uning nusxasini snifferga yuborish (Tarmoq krani);
  
• 
  soxta elektromagnit nurlanishni tahlil qilish va shu tarzda tinglangan trafikni tiklash orqali;
  
• 
  kanalga (2) (MAC-spoofing) yoki tarmoq (3) darajasiga (IP-spoofing) hujum qilish orqali, bu jabrlanuvchining trafigini yoki segmentning barcha trafigini snayferga yo'naltirishga olib keladi, keyinchalik qaytariladi. tegishli manzilga trafik.
  

11-rasm: Paketlarni qabul qilinishi va testlash jarayoni
1990-yillarning boshida u xakerlar tomonidan foydalanuvchi loginlari va parollarini qo'lga kiritish uchun keng qo'llanilgan, ular bir qator tarmoq protokollarida aniq yoki zaif shifrlangan shaklda uzatiladi. Hublarning keng taqsimlanishi aniqlanish xavfi kam yoki umuman bo'lmagan katta tarmoq segmentlarida trafikni ko'p harakat qilmasdan olish imkonini berdi. Sniffers ham halokatli, ham yaxshi maqsadlarda qo'llaniladi. Sniffer orqali o'tgan trafikni tahlil qilish sizga quyidagilarga imkon beradi:

• 
  Mavjudligi tarmoq uskunalari va aloqa kanallariga yukni oshiradigan parazit, virusli va orqaga qaytish trafigini aniqlang (bu erda snifferlar samarasiz; qoida tariqasida, bu maqsadlar uchun ular serverlar va faol tarmoq uskunalari va undan keyingi har xil statistik ma'lumotlarni to'plashdan foydalanadilar. tahlil). Tarmoqdagi zararli va ruxsat etilmagan dasturiy ta'minotni aniqlang, masalan, tarmoq skanerlari, flooderlar, troyanlar, peer-to-peer tarmoq mijozlari va boshqalar (bu odatda maxsus snifferlar - tarmoq faolligi monitorlari yordamida amalga oshiriladi).
  

• 
  Parollar va boshqa ma'lumotlarni olish uchun har qanday shifrlanmagan (va ba'zan shifrlangan) foydalanuvchi trafikini to'xtating.
  

• 
  Tarmoq xatosi yoki tarmoq agenti konfiguratsiyasi xatosini toping (snifferlar ko'pincha bu maqsadda tizim ma'murlari tomonidan qo'llaniladi).
  

"Klassik" sniffer faqat eng oddiy avtomatlashtirish vositalaridan (protokollarni tahlil qilish, TCP oqimini tiklash) foydalangan holda trafikni qo'lda tahlil qilganligi sababli, u faqat kichik hajmlarni tahlil qilish uchun javob beradi.