Cara Kerja Penangkapan Paket

Kartu antarmuka jaringan biasanya membuang paket yang tidak ditujukan ke alamat MAC-nya. Mode tanpa penyaringan menonaktifkan filter ini, sehingga NIC meneruskan semua bingkai yang diterimanya ke sistem operasi, apa pun tujuannya. Dengan hak administrator, aplikasi apa pun dapat mengatur antarmuka ke mode tanpa penyaringan dan menerima semua lalu lintas yang terlihat pada segmen jaringan, bukan hanya lalu lintas yang ditujukan ke mesin tersebut.

libpcap adalah pustaka C portabel yang menyediakan antarmuka pemrograman aplikasi standar untuk pengambilan paket pada sistem mirip Unix. WinPcap dan penerusnya, Npcap, menyediakan kemampuan yang setara pada Windows. Hampir semua alat pengambilan paket dan analisis jaringan, termasuk Wireshark, tcpdump, dan Snort, menggunakan libpcap sebagai mesin pengambilan yang mendasarinya. Pustaka ini menangani interaksi tingkat rendah dengan sistem operasi dan menyediakan bahasa penyaring untuk memilih paket tertentu.

Wireshark adalah alat analisis paket grafis yang paling banyak digunakan. Wireshark dapat menangkap lalu lintas langsung atau membuka berkas PCAP yang tersimpan, lalu menguraikan ratusan protokol, merakit ulang aliran TCP, dan menampilkan konten yang telah didekripsi jika kunci tersedia. Baris paket berkode warna, penyaring tampilan, penelusuran aliran, dan statistik protokol menjadikannya alat penting untuk pemecahan masalah jaringan maupun analisis keamanan.

tcpdump adalah alat pengambilan paket melalui baris perintah yang tersedia di hampir semua sistem Unix. Perintah sederhana seperti tcpdump -i eth0 port 80 mengambil semua lalu lintas HTTP pada antarmuka eth0 dan mencetak ringkasan setiap paket. Opsi -w menulis paket mentah ke berkas PCAP untuk dianalisis kemudian di Wireshark. Bahasa penyaring BPF pada tcpdump memungkinkan pemilihan lalu lintas secara tepat berdasarkan protokol, port, alamat, dan tanda.

Pada jaringan modern yang menggunakan switch, switch meneruskan paket hanya ke port tujuan yang benar, sehingga NIC dalam mode tanpa penyaringan hanya melihat lalu lintas siaran dan lalu lintas yang ditujukan ke MAC-nya sendiri. Peracunan ARP mengatasi hal ini. Penyerang mengirim balasan ARP spontan yang memberi tahu korban bahwa MAC penyerang adalah gateway, dan memberi tahu gateway bahwa MAC penyerang adalah korban. Semua lalu lintas mengalir melalui mesin penyerang.

Setelah peracunan ARP berhasil, mesin penyerang menerima paket dari korban dan gateway. Untuk mencegah gangguan komunikasi, penyerang meneruskan paket di antara keduanya sambil membaca atau mengubah isinya. Alat seperti arpspoof dari rangkaian dsniff dan Ettercap mengotomatiskan peracunan ARP serta penerusan lalu lintas. Serangan ini berjalan secara diam-diam pada segmen jaringan lokal dan sulit dideteksi korban tanpa pemantauan ARP khusus.

Sebelum switch menjadi standar, jaringan menggunakan konsentrator yang menyiarkan setiap paket ke semua port. Pada segmen berbasis konsentrator, mode tanpa penyaringan tanpa peracunan apa pun sudah cukup untuk menangkap semua lalu lintas dari semua host. Konsentrator kini jarang ditemukan di luar lingkungan lama dan beberapa jaringan kendali industri. Namun, jaringan Wi-Fi berperilaku seperti konsentrator untuk lalu lintas dalam kanal nirkabel yang sama, sehingga pengambilan pasif menjadi mudah dalam mode pemantauan.

Administrator jaringan menggunakan pencerminan port, yang juga disebut SPAN dalam terminologi Cisco, untuk menangkap lalu lintas secara sah demi pemantauan dan pemecahan masalah. Switch terkelola dikonfigurasi untuk menyalin semua lalu lintas yang melewati port atau VLAN tertentu ke port pencerminan khusus yang terhubung ke perangkat pemantauan. Cara ini memberikan visibilitas penuh terhadap lalu lintas tanpa peracunan ARP dan merupakan metode yang disetujui untuk sensor deteksi penyusupan serta alat penyadap jaringan.

Menangkap lalu lintas jaringan yang tidak berwenang Anda akses melanggar hukum di sebagian besar yurisdiksi, termasuk Undang-Undang Penipuan dan Penyalahgunaan Komputer US serta Undang-Undang Penyalahgunaan Komputer UK. Bahkan dalam organisasi, menangkap lalu lintas karyawan mungkin memerlukan persetujuan dan kepatuhan terhadap kebijakan HR. Penguji penetrasi harus memiliki otorisasi tertulis yang jelas dan mencakup pengambilan paket. Administrator IT biasanya memerlukan persetujuan kebijakan organisasi untuk menerapkan pemantauan jaringan.

Pengambilan paket dari aktivitas jaringan selama beberapa menit saja dapat mengungkap versi aplikasi melalui header User-Agent HTTP, sidik jari sistem operasi melalui perilaku tumpukan TCP, nama host internal melalui kueri DNS, kredensial autentikasi dari protokol lama, kuki sesi dari lalu lintas HTTP, serta peta semua sistem dan layanan yang berkomunikasi. Nilai pengintaian ini menjadikan pengambilan paket sebagai alat serangan utama.

Pertahanan utama terhadap serangan pengambilan paket adalah mengenkripsi semua lalu lintas jaringan agar paket yang ditangkap hanya berisi teks tersandi. Pemeriksaan ARP Dinamis pada switch terkelola memvalidasi balasan ARP terhadap tabel pengikatan DHCP tepercaya, sehingga mencegah peracunan ARP. Keamanan port membatasi alamat MAC yang dapat muncul pada setiap port switch. Segmentasi jaringan membatasi radius dampak dari satu mesin yang disusupi dan melakukan serangan ARP.

Mode tanpa penyaringan memungkinkan NIC menerima semua bingkai pada segmen. libpcap adalah dasar bagi semua alat pengambilan utama. Wireshark dan tcpdump adalah alat analisis utama. Peracunan ARP mengalihkan lalu lintas melalui switch melewati mesin penyerang untuk pengambilan saat penyerang berada di tengah komunikasi. Pencerminan port menyediakan pemantauan yang sah tanpa peracunan. Enkripsi adalah pertahanan utama; Pemeriksaan ARP Dinamis mencegah serangan peracunan.