التحليل الجنائي للشبكات باستخدام Wireshark

يحلل التحليل الجنائي للشبكة بيانات الحزم الملتقطة (ملفات PCAP) لإعادة بناء نشاط المهاجم على مستوى الشبكة: التحرك الجانبي، واتصالات C2، وسرقة بيانات الاعتماد، واستخراج البيانات، والشذوذ في البروتوكولات الذي لا يظهر في التحليل الجنائي المستند إلى المضيف.

اجمع أدلة الشبكة باستخدام Wireshark (تفاعليًا) أو tcpdump (عبر CLI) أو مجسات الشبكة المخصصة. انشر منافذ SPAN أو مجسات الشبكة على المقاطع المهمة قبل وقوع الحوادث. ويتطلب التحليل اللاحق وجود بنية تحتية للالتقاط مسبقًا.

تضيّق مرشحات العرض نطاق التحليل: http يعرض HTTP، وtcp.port==443 يعرض HTTPS، وip.addr==10.0.0.5 يعرض مضيفًا محددًا، وdns يعرض استعلامات الأسماء، وtcp.flags.syn==1 && tcp.flags.ack==0 يعرض الحزم التي تحتوي على SYN فقط (لاكتشاف فحص المنافذ).

انقر بزر الماوس الأيمن على حزمة، ثم اختر Follow ← TCP Stream لإعادة بناء المحادثة الكاملة بصيغة يمكن قراءتها. وبالنسبة إلى HTTP، يعرض ذلك نصوص الطلبات والاستجابات كاملة، وهو مفيد لإعادة بناء البيانات المستخرجة أو أوامر C2.

يظهر إرسال إشارات C2 في صورة اتصالات منتظمة ودورية بعنوان IP الخارجي نفسه. طبّق ip.dst == [suspicious_ip] وتحقق من توقيت الإطارات؛ فالفواصل الزمنية المتسقة (كل 60 أو 300 أو 600 ثانية) مع أحجام بيانات صغيرة تُعد سمة مميزة لسلوك إرسال الإشارات.

تكشف استعلامات DNS عن نطاقات C2 وأنماط خوارزمية إنشاء النطاقات (DGA) ونفق DNS. تشير أسماء النطاقات عالية العشوائية (مثل a1b2c3d4e5f6.evil.com) واستعلامات سجلات TXT غير المعتادة واستجابات DNS الكبيرة على نحو غير مألوف إلى C2 قائم على DNS أو استخراج البيانات.

تنقل البروتوكولات ذات النص الواضح (HTTP وFTP وSMTP وLDAP وTelnet) بيانات الاعتماد بنص صريح يمكن رؤيته في التقاطات الحزم. استخدم http contains "password" أو ftp contains "PASS" لتحديد انكشاف بيانات الاعتماد خلال الفترة الزمنية للحادثة.

لا يمكن فك تشفير حركة مرور TLS المشفرة دون المفاتيح الخاصة أو الأسرار السابقة للمفتاح. ومع ذلك، تحدد بصمات JA3 مكتبات عميل TLS (إذ تمتلك البرمجيات الخبيثة تجزئات JA3 مميزة)، وتكشف أسماء Subject Alternative Names في الشهادات عن البنية التحتية لـ C2، بينما يظل توقيت حركة المرور ظاهرًا.

تشمل مؤشرات استخراج البيانات: عمليات نقل بيانات صادرة كبيرة إلى وجهات غير معتادة، وطلبات HTTP POST ذات نصوص مشفرة بترميز base64، واستجابات DNS كبيرة على نحو غير معتاد (نفق DNS)، وحزم ICMP ذات حمولات كبيرة، وحركة المرور الصادرة خلال ساعات غير العمل.

يعيد NetworkMiner بناء الملفات المنقولة من ملفات PCAP بصورة سلبية؛ فتظهر الصور والمستندات والملفات التنفيذية المنقولة عبر HTTP أو SMB كملفات يمكن استخراجها. كما يستخرج تلقائيًا بيانات الاعتماد والشهادات والرسائل من حركة المرور الملتقطة.

استخرج الطوابع الزمنية لأحداث الشبكة الأساسية: أول اتصال بـ C2، ونقل بيانات الاعتماد، والتحرك الجانبي (محاولات المصادقة مع المضيفين الداخليين)، وتجهيز البيانات واستخراجها. واربط هذه الطوابع الزمنية للشبكة بالأدلة المستندة إلى المضيف لإنشاء الخط الزمني الكامل للحادثة.

يعيد التحليل الجنائي للشبكة باستخدام Wireshark بناء نشاط المهاجم على الشبكة من أدلة PCAP. ويكشف اكتشاف إرسال إشارات C2 وتحليل DNS للأنفاق وسرقة بيانات الاعتماد عبر البروتوكولات ذات النص الواضح وبصمات TLS من نوع JA3 والتعرف على أنماط استخراج البيانات، مجتمعةً، أدلة الهجوم على مستوى الشبكة.