Извлечение артефактов

Артефакты — это важные объекты, скрытые внутри захвата: переданные файлы, учётные данные, изображения и данные сеансов.

Их восстановление превращает поток пакетов в конкретные доказательства того, что было отправлено и просмотрено.

Один файл разделён на множество сегментов TCP. Чтобы восстановить его, необходимо собрать поток в правильном порядке.

Wireshark и специализированные инструменты делают это автоматически, когда вы отслеживаете поток или экспортируете объекты.

Wireshark может перечислить каждый файл, переданный по HTTP, и экспортировать его одним щелчком.

Так можно восстановить загруженные документы, изображения и даже образцы вредоносных программ непосредственно из захвата.

Такие протоколы, как HTTP, FTP и Telnet, передают учётные данные в открытом виде. Отслеживание потока напрямую раскрывает имена пользователей и пароли.

Это наглядно показывает, почему такие протоколы опасны в ненадёжных сетях.

Фильтры отображения быстро выделяют трафик аутентификации, поэтому вам не придётся искать его вручную.

Фильтруйте формы входа, заголовки базовой аутентификации и известные протоколы передачи учётных данных.

Аутентификация HTTP Basic передаёт учётные данные в кодировке Base64, а не в зашифрованном виде. Декодирование заголовка мгновенно раскрывает их.

Base64 — это кодирование, а не защита.

Если протокол не поддерживается напрямую, вы можете извлечь файлы из необработанных байтов, распознавая сигнатуры файлов, или так называемые магические числа.

Такие инструменты, как foremost или binwalk, сканируют полезную нагрузку захвата в поисках этих маркеров.

NetworkMiner — это инструмент для извлечения артефактов. Передайте ему файл pcap, и он автоматически извлечёт файлы, изображения, учётные данные и сведения об узлах.

Это быстрый первичный анализ перед подробным ручным исследованием в Wireshark.

Восстановленные изображения могут показать, что пользователь просматривал или загружал. Функция «Экспорт объектов» в Wireshark и NetworkMiner восстанавливают изображения из веб-трафика и почтового трафика.

Их просмотр может напрямую подтвердить, какие данные покинули сеть.

Если трафик зашифрован с помощью TLS, вы не сможете извлечь артефакты без ключей сеанса. Имея файл журнала ключей, вы можете расшифровать трафик, а затем выполнить обычное извлечение.

Без ключей шифрование защищает полезную нагрузку — именно для этого и нужен HTTPS.

Извлечённые артефакты могут стать доказательствами. Вычислите hash каждого файла, запишите, где и когда он был восстановлен, и храните его без изменений.

Документированная цепочка хранения доказательств сохраняет достоверность ваших выводов и делает их допустимыми в качестве доказательств.

Проверьте, насколько хорошо вы поняли извлечение артефактов.

Вы научились извлекать артефакты из захватов.

• Собирайте потоки TCP, чтобы восстанавливать файлы.
• Экспортируйте объекты HTTP и отслеживайте потоки для получения учётных данных в открытом виде.
• Базовая аутентификация использует Base64, а не шифрование.
• Извлекайте файлы по магическим числам, а для быстрого извлечения используйте NetworkMiner.
• Расшифровывайте TLS только с помощью ключей сеанса и сохраняйте цепочку хранения доказательств.

Вы завершили курс «Анализ сетевого трафика».