Informatyka śledcza sieci z Wiresharkiem

Informatyka śledcza sieci analizuje przechwycone dane pakietowe (pliki PCAP), aby odtworzyć aktywność atakującego na poziomie sieci: ruch boczny, komunikację C2, kradzież danych uwierzytelniających, eksfiltrację danych i anomalie protokołów niewidoczne podczas analizy hostów.

Dowody sieciowe można gromadzić za pomocą Wireshark (interaktywnie), tcpdump (CLI) lub dedykowanych tapów sieciowych. Przed wystąpieniem incydentów należy wdrożyć porty SPAN lub tapy sieciowe w kluczowych segmentach. Analiza retrospektywna wymaga istniejącej wcześniej infrastruktury do przechwytywania danych.

Filtry wyświetlania zawężają analizę: http pokazuje HTTP, tcp.port==443 służy do filtrowania HTTPS, ip.addr==10.0.0.5 pozwala wyświetlić konkretny host, dns filtruje zapytania nazw, a tcp.flags.syn==1 && tcp.flags.ack==0 pokazuje wyłącznie pakiety SYN (wykrywanie skanowania portów).

Należy kliknąć pakiet prawym przyciskiem myszy i wybrać → Follow → TCP Stream, aby odtworzyć całą rozmowę w formie czytelnej dla człowieka. W przypadku HTTP zostaną wyświetlone kompletne treści żądań i odpowiedzi — jest to przydatne podczas odtwarzania eksfiltrowanych danych lub poleceń C2.

Beaconing C2 przejawia się regularnymi, okresowymi połączeniami z tym samym zewnętrznym adresem IP. Należy zastosować ip.dst == [suspicious_ip] i sprawdzić odstępy czasowe ramek — stałe interwały (co 60, 300 lub 600 sekund) przy małych ilościach danych są charakterystyczne dla zachowania beaconingowego.

Zapytania DNS ujawniają domeny C2, wzorce algorytmu generowania domen (DGA) oraz tunelowanie DNS. Nazwy domen o wysokiej entropii (np. a1b2c3d4e5f6.evil.com), nietypowe zapytania o rekordy TXT i wyjątkowo duże odpowiedzi DNS wskazują na C2 oparte na DNS lub eksfiltrację danych.

Protokoły przesyłające dane jawnym tekstem (HTTP, FTP, SMTP, LDAP, Telnet) przekazują dane uwierzytelniające w postaci widocznej w przechwyconych pakietach. Należy filtrować za pomocą http contains "password" lub ftp contains "PASS", aby wykryć ujawnienie danych uwierzytelniających w oknie czasowym incydentu.

Zaszyfrowanego ruchu TLS nie można odszyfrować bez kluczy prywatnych lub sekretów pre-master. Można jednak wykorzystać następujące informacje: odciski JA3 identyfikują biblioteki klienta TLS (złośliwe oprogramowanie ma charakterystyczne skróty JA3), nazwy Subject Alternative Names certyfikatów ujawniają infrastrukturę C2, a sygnatury czasowe ruchu pozostają widoczne.

Wskaźniki eksfiltracji to: duże transfery danych wychodzące do nietypowych miejsc docelowych, żądania HTTP POST z treścią zakodowaną w base64, wyjątkowo duże odpowiedzi DNS (tunelowanie DNS), pakiety ICMP z dużymi ładunkami oraz ruch wychodzący poza godzinami pracy.

NetworkMiner pasywnie odtwarza przesyłane pliki z plików PCAP — obrazy, dokumenty i pliki wykonywalne przesyłane przez HTTP lub SMB pojawiają się jako pliki możliwe do wyodrębnienia. Narzędzie automatycznie wyodrębnia również dane uwierzytelniające, certyfikaty i wiadomości z przechwyconego ruchu.

Należy wyodrębnić sygnatury czasowe kluczowych zdarzeń sieciowych: pierwszego połączenia z C2, transmisji danych uwierzytelniających, ruchu bocznego (prób uwierzytelnienia do hostów wewnętrznych) oraz przygotowania i eksfiltracji danych. Te sygnatury czasowe z sieci należy skorelować z artefaktami hostów, aby zbudować pełną oś czasu incydentu.

Informatyka śledcza sieci z użyciem Wireshark pozwala odtworzyć aktywność atakującego na podstawie dowodów w plikach PCAP. Wykrywanie beaconingu C2, analiza DNS pod kątem tunelowania, kradzież danych uwierzytelniających w protokołach przesyłających dane jawnym tekstem, odciski JA3 ruchu TLS oraz rozpoznawanie wzorców eksfiltracji danych wspólnie ujawniają dowody ataku na poziomie sieci.