Czytanie protokołów

Ruch sieciowy jest zorganizowany w warstwy. Każdy pakiet opakowuje protokół wyższej warstwy w protokół niższej warstwy, niczym koperty umieszczone jedna w drugiej.

Odczytywanie ruchu polega na zdejmowaniu tych warstw we właściwej kolejności.

Połączenie TCP rozpoczyna się od trójstronnego uzgadniania: SYN, SYN-ACK, ACK. Jego obecność potwierdza ustanowienie rzeczywistego połączenia.

Pakiet SYN bez odpowiedzi SYN-ACK często oznacza zamknięty port albo odrzucenie pakietu przez zaporę sieciową.

Flagi TCP ujawniają stan połączenia. Warto poznać najczęściej używane, aby śledzić przebieg komunikacji.

• SYN: rozpoczęcie.
• ACK: potwierdzenie.
• FIN: kontrolowane zamknięcie.
• RST: nagłe zresetowanie.

Wireshark może śledzić strumień TCP, aby odtworzyć rozmowę w postaci czytelnego tekstu zamiast rozproszonych pakietów.

Proszę kliknąć pakiet prawym przyciskiem myszy i wybrać opcję Follow, aby zobaczyć całe żądanie i odpowiedź razem.

Ruch HTTP jest zapisany jawnym tekstem, jeśli nie został zaszyfrowany. Można bezpośrednio odczytać metodę, ścieżkę, nagłówki i treść.

Sprawia to, że nieszyfrowany protokół HTTP jest cennym źródłem informacji do analizy, a zarazem zagrożeniem dla właściciela sieci.

HTTPS opakowuje HTTP w TLS, dlatego treść danych jest zaszyfrowana. Nadal widoczne są uzgadnianie TLS, nazwa hosta SNI oraz certyfikat.

Bez kluczy nie można odczytać treści, ale metadane nadal opowiadają pewną historię.

Zapytania DNS ujawniają domeny, z którymi host próbuje się połączyć, często zanim dojdzie do nawiązania połączenia.

Zapytanie i jego odpowiedź pokazują żądaną nazwę oraz rozpoznany adres.

DNS jest kopalnią informacji dla analityków. Wyszukiwanie znanych złośliwych domen, długie losowo wyglądające subdomeny lub wyjątkowo duża liczba zapytań wskazują na podejrzane zachowanie.

Podczas wyszukiwania anomalii będziemy intensywnie korzystać z tych oznak.

Nie wszystko opiera się na TCP. UDP nie wymaga ustanawiania połączenia i jest używany przez DNS, DHCP oraz QUIC, natomiast ICMP przenosi komunikaty sterujące, takie jak żądania ping i błędy informujące o niedostępności.

Nietypowo duża liczba komunikatów ICMP może sygnalizować skanowanie lub tunelowanie.

Menu Statystyki w Wiresharku podsumowuje przechwycone dane: hierarchię protokołów, rozmowy i punkty końcowe.

Warto rozpocząć analizę właśnie tutaj, aby sprawdzić, które protokoły dominują i które hosty komunikują się najczęściej.

Dobrzy analitycy budują obraz tego, co jest normalne dla danej sieci. Gdy zna się normę, anomalie od razu rzucają się w oczy.

Biegłe odczytywanie protokołów jest podstawą wszystkiego, co nastąpi później.

Proszę sprawdzić swoją wiedzę na temat odczytywania protokołów.

Dowiedział się Pan lub dowiedziała się Pani, jak odczytywać protokoły sieciowe.

• Ruch sieciowy jest warstwowy: Ethernet, IP, TCP/UDP i warstwa aplikacji.
• TCP rozpoczyna się od SYN, SYN-ACK i ACK, a flagi ujawniają stan połączenia.
• Funkcja Follow TCP Stream odtwarza przebieg rozmów.
• HTTP można odczytać, natomiast HTTPS ujawnia tylko metadane TLS i SNI.
• DNS ujawnia miejsca docelowe, a menu Statystyki pomaga określić normę.

W następnej części będzie Pan lub będzie Pani wykrywać anomalie i złośliwy ruch.