Forensik Jaringan dengan Wireshark

Forensik jaringan menganalisis data paket yang ditangkap (berkas PCAP) untuk merekonstruksi aktivitas penyerang pada tingkat jaringan: pergerakan lateral, komunikasi komando dan kendali, pencurian kredensial, pengeluaran data, dan kejanggalan protokol yang tidak terlihat dalam forensik berbasis inang.

Kumpulkan bukti jaringan dengan Wireshark (interaktif), tcpdump (CLI), atau penyadap jaringan khusus. Pasang porta span atau penyadap jaringan pada segmen penting sebelum insiden terjadi. Analisis retrospektif memerlukan infrastruktur penangkapan yang sudah tersedia sebelumnya.

Filter tampilan mempersempit analisis: http menampilkan HTTP, tcp.port==443 untuk HTTPS, ip.addr==10.0.0.5 untuk host tertentu, dns untuk kueri nama, tcp.flags.syn==1 && tcp.flags.ack==0 untuk paket yang hanya memiliki SYN (deteksi pemindaian porta).

Klik kanan paket → pilih Ikuti → Aliran TCP untuk menyusun kembali percakapan lengkap dalam bentuk yang mudah dibaca. Untuk HTTP, langkah ini menampilkan isi permintaan dan tanggapan secara lengkap—berguna untuk merekonstruksi data yang dikeluarkan atau perintah komando dan kendali.

Beacon komando dan kendali tampak sebagai koneksi berkala dan teratur ke IP eksternal yang sama. Terapkan ip.dst == [suspicious_ip] dan periksa waktu bingkai—interval konsisten (setiap 60, 300, atau 600 detik) dengan volume data kecil merupakan ciri perilaku beacon.

Kueri DNS mengungkap domain komando dan kendali, pola algoritma pembangkitan domain (DGA), dan penerowongan DNS. Nama domain dengan entropi tinggi (misalnya, a1b2c3d4e5f6.evil.com), kueri rekaman TXT yang tidak lazim, dan tanggapan DNS yang sangat besar menunjukkan komando dan kendali berbasis DNS atau pengeluaran data.

Protokol teks jelas (HTTP, FTP, SMTP, LDAP, Telnet) mengirimkan kredensial dalam teks biasa yang terlihat dalam tangkapan paket. Saring dengan http contains "password" atau ftp contains "PASS" untuk mengidentifikasi kredensial yang terekspos selama rentang waktu insiden.

Lalu lintas TLS terenkripsi tidak dapat didekripsi tanpa kunci privat atau rahasia pramaster. Namun, sidik jari JA3 mengidentifikasi pustaka klien TLS (perangkat lunak berbahaya memiliki hash JA3 yang khas), Nama Alternatif Subjek pada sertifikat mengungkap infrastruktur komando dan kendali, dan waktu lalu lintas tetap terlihat.

Indikator pengeluaran data: transfer data keluar berukuran besar ke tujuan yang tidak lazim, permintaan HTTP POST dengan isi berkode base64, tanggapan DNS yang sangat besar (penerowongan DNS), paket ICMP dengan muatan besar, dan lalu lintas keluar di luar jam kerja.

NetworkMiner secara pasif merekonstruksi berkas yang ditransfer dari PCAP—gambar, dokumen, dan berkas yang dapat dieksekusi yang ditransfer melalui HTTP atau SMB muncul sebagai berkas yang dapat diekstrak. Alat ini juga secara otomatis mengekstrak kredensial, sertifikat, dan pesan dari lalu lintas yang ditangkap.

Ekstrak cap waktu peristiwa jaringan utama: koneksi pertama ke komando dan kendali, pengiriman kredensial, pergerakan lateral (upaya autentikasi ke host internal), serta penyiapan dan pengeluaran data. Cap waktu jaringan ini dikorelasikan dengan artefak berbasis inang untuk membangun garis waktu insiden yang lengkap.

Forensik jaringan dengan Wireshark merekonstruksi aktivitas jaringan penyerang dari bukti PCAP. Deteksi beacon komando dan kendali, analisis DNS untuk penerowongan, pencurian kredensial melalui protokol teks jelas, pembuatan sidik jari JA3 TLS, dan pengenalan pola pengeluaran data secara bersama-sama mengungkap bukti serangan pada lapisan jaringan.