Analisi forense della rete con Wireshark

L'analisi forense della rete esamina i dati dei pacchetti acquisiti (file PCAP) per ricostruire l'attività dell'attaccante a livello di rete: movimento laterale, comunicazione C2, furto di credenziali, esfiltrazione di dati e anomalie nei protocolli invisibili all'analisi forense basata sugli host.

Raccolga le prove di rete con Wireshark (interattivo), tcpdump (CLI) o apposite sonde di rete. Implementi porte SPAN o sonde di rete nei segmenti critici prima che si verifichino incidenti. L'analisi retrospettiva richiede un'infrastruttura di acquisizione preesistente.

I filtri di visualizzazione restringono l'analisi: http mostra HTTP, tcp.port==443 mostra HTTPS, ip.addr==10.0.0.5 filtra un host specifico, dns mostra le richieste di risoluzione dei nomi e tcp.flags.syn==1 && tcp.flags.ack==0 mostra solo i pacchetti SYN (rilevamento della scansione delle porte).

Faccia clic con il pulsante destro del mouse su un pacchetto → Follow → TCP Stream per ricostruire l'intera conversazione in una forma leggibile. Per HTTP, questa operazione mostra i corpi completi delle richieste e delle risposte, utili per ricostruire dati esfiltrati o comandi C2.

Il beaconing C2 si manifesta come connessioni regolari e periodiche allo stesso indirizzo IP esterno. Applichi ip.dst == [suspicious_ip] e controlli la temporizzazione dei frame: intervalli costanti (ogni 60, 300 o 600 secondi) con piccoli volumi di dati sono caratteristici del comportamento di beaconing.

Le query DNS rivelano domini C2, pattern degli algoritmi di generazione dei domini (DGA) e tunneling DNS. Nomi di dominio ad alta entropia (ad esempio a1b2c3d4e5f6.evil.com), query insolite di record TXT e risposte DNS insolitamente grandi indicano C2 basato su DNS o esfiltrazione di dati.

I protocolli in chiaro (HTTP, FTP, SMTP, LDAP, Telnet) trasmettono le credenziali in plaintext, visibili nelle catture di pacchetti. Applichi il filtro http contains "password" o ftp contains "PASS" per identificare l'esposizione delle credenziali durante l'intervallo temporale dell'incidente.

Il traffico TLS crittografato non può essere decifrato senza chiavi private o segreti pre-master. Tuttavia, le impronte JA3 identificano le librerie client TLS (il malware presenta hash JA3 caratteristici), i Subject Alternative Names dei certificati rivelano l'infrastruttura C2 e la temporizzazione del traffico rimane visibile.

Indicatori di esfiltrazione: grandi trasferimenti di dati in uscita verso destinazioni insolite, richieste HTTP POST con corpi codificati in base64, risposte DNS insolitamente grandi (tunneling DNS), pacchetti ICMP con payload di grandi dimensioni e traffico in uscita durante gli orari non lavorativi.

NetworkMiner ricostruisce passivamente i file trasferiti dai PCAP: immagini, documenti ed eseguibili trasferiti tramite HTTP o SMB vengono visualizzati come file estraibili. Estrae inoltre automaticamente credenziali, certificati e messaggi dal traffico acquisito.

Estragga i timestamp degli eventi di rete chiave: prima connessione al C2, trasmissione delle credenziali, movimento laterale (tentativi di autenticazione verso host interni) e preparazione o esfiltrazione dei dati. Questi timestamp di rete si correlano con gli artefatti basati sugli host per creare la timeline completa dell'incidente.

L'analisi forense della rete con Wireshark ricostruisce l'attività di rete dell'attaccante a partire dalle prove PCAP. Il rilevamento del beaconing C2, l'analisi DNS per il tunneling, il furto di credenziali nei protocolli in chiaro, il fingerprinting JA3 del traffico TLS e il riconoscimento dei pattern di esfiltrazione dei dati rivelano complessivamente le prove dell'attacco a livello di rete.