Mengekstrak Artefak

Artefak adalah item penting yang tersembunyi di dalam tangkapan: berkas yang ditransfer, kredensial, gambar, dan data sesi.

Memulihkannya mengubah aliran paket menjadi bukti konkret tentang apa yang dikirim dan dilihat.

Satu berkas dipecah menjadi banyak segmen TCP. Untuk memulihkannya, Anda harus menyusun kembali aliran sesuai urutan.

Wireshark dan alat khusus menangani proses ini secara otomatis saat Anda mengikuti aliran atau mengekspor objek.

Wireshark dapat menampilkan setiap berkas yang ditransfer melalui HTTP dan mengekspornya dengan satu klik.

Dengan cara ini, dokumen, gambar, bahkan sampel malware yang diunduh dapat dipulihkan langsung dari tangkapan.

Protokol seperti HTTP, FTP, dan Telnet mengirim kredensial dalam teks biasa. Mengikuti aliran akan menampilkan nama pengguna dan kata sandi secara langsung.

Hal ini menunjukkan dengan tepat mengapa protokol-protokol tersebut berbahaya pada jaringan yang tidak tepercaya.

Filter tampilan dengan cepat menampilkan lalu lintas autentikasi sehingga Anda tidak perlu mencarinya secara manual.

Filter formulir masuk, header autentikasi dasar, dan protokol kredensial yang dikenal.

Autentikasi Dasar HTTP mengirim kredensial yang disandikan dengan Base64, bukan dienkripsi. Mendekode header tersebut akan langsung menampilkannya.

Base64 adalah pengodean, bukan keamanan.

Saat suatu protokol tidak didukung secara bawaan, Anda dapat mengekstrak berkas dari byte mentah dengan mengenali tanda tangan berkas, atau angka ajaib.

Alat seperti foremost atau binwalk memindai muatan tangkapan untuk menemukan penanda tersebut.

NetworkMiner adalah alat yang dibuat untuk mengekstrak artefak. Masukkan pcap ke dalamnya, lalu alat ini secara otomatis mengambil berkas, gambar, kredensial, dan detail host.

NetworkMiner merupakan pemeriksaan awal yang cepat sebelum melakukan penelusuran manual di Wireshark.

Gambar yang dipulihkan dapat mengungkapkan apa yang dilihat atau diunggah pengguna. Ekspor Objek di Wireshark dan NetworkMiner sama-sama dapat merekonstruksi gambar dari lalu lintas web dan surel.

Melihatnya dapat secara langsung membuktikan data apa yang keluar dari jaringan.

Jika lalu lintas dienkripsi TLS, Anda tidak dapat mengekstrak artefak tanpa kunci sesi. Dengan berkas log kunci, Anda dapat mendekripsinya lalu mengekstraknya seperti biasa.

Tanpa kunci, enkripsi melindungi muatan, dan itulah tujuan HTTPS.

Artefak hasil ekstraksi dapat menjadi barang bukti. Hash setiap berkas, catat di mana dan kapan berkas tersebut dipulihkan, lalu simpan tanpa perubahan.

Rantai penguasaan barang bukti yang terdokumentasi menjaga agar temuan Anda tetap kredibel dan dapat diterima sebagai bukti.

Anda telah belajar mengekstrak artefak dari tangkapan.

• Susun kembali aliran TCP untuk memulihkan berkas.
• Ekspor Objek HTTP; ikuti aliran untuk menemukan kredensial dalam teks biasa.
• Autentikasi dasar menggunakan Base64, bukan enkripsi.
• Ekstrak berkas berdasarkan angka ajaib; gunakan NetworkMiner untuk ekstraksi cepat.
• Dekripsi TLS hanya dengan kunci sesi; pertahankan rantai penguasaan barang bukti.

Anda telah menyelesaikan kursus Analisis Lalu Lintas Jaringan.