Сетевая криминалистика с Wireshark

Сетевая криминалистика анализирует захваченные данные пакетов (файлы PCAP), чтобы восстановить действия злоумышленника на уровне сети: перемещение по сети, взаимодействие с инфраструктурой управления и контроля, кражу учётных данных, вывод данных и аномалии протоколов, невидимые при криминалистическом анализе узлов.

Собирайте сетевые доказательства с помощью Wireshark (интерактивный анализ), tcpdump (CLI) или специализированных сетевых ответвителей. До возникновения инцидентов разверните зеркалирование портов или сетевые ответвители в критически важных сегментах. Ретроспективный анализ требует заранее созданной инфраструктуры захвата.

Фильтры отображения сужают область анализа: http показывает HTTP, tcp.port==443 — HTTPS, ip.addr==10.0.0.5 — определённый узел, dns — запросы имён, а tcp.flags.syn==1 && tcp.flags.ack==0 — только пакеты SYN (обнаружение сканирования портов).

Щёлкните правой кнопкой мыши по пакету и выберите «Следовать» → «Поток TCP», чтобы восстановить весь диалог в удобном для чтения виде. Для HTTP это показывает полное содержимое запросов и ответов, что полезно для восстановления выведенных данных или команд инфраструктуры управления и контроля.

Маячки управления и контроля проявляются как регулярные периодические соединения с одним и тем же внешним IP. Примените ip.dst == [suspicious_ip] и проверьте временные интервалы между кадрами: постоянные интервалы (каждые 60, 300 или 600 секунд) при небольших объёмах данных характерны для поведения маячка.

Запросы DNS выявляют домены инфраструктуры управления и контроля, шаблоны алгоритма генерации доменов (DGA) и туннелирование DNS. Доменные имена с высокой энтропией (например, a1b2c3d4e5f6.evil.com), необычные запросы записей TXT и необычно большие ответы DNS указывают на управление через DNS или вывод данных.

Протоколы, передающие данные в открытом виде (HTTP, FTP, SMTP, LDAP, Telnet), передают учётные данные в незашифрованном виде, видимом в захватах пакетов. Используйте фильтр http contains "password" или ftp contains "PASS", чтобы обнаружить раскрытие учётных данных в период инцидента.

Зашифрованный трафик TLS невозможно расшифровать без закрытых ключей или предварительных секретов. Однако отпечатки JA3 позволяют определить библиотеки клиента TLS (для вредоносного ПО характерны определённые хеши JA3), альтернативные имена субъекта в сертификатах раскрывают инфраструктуру управления и контроля, а временные характеристики трафика остаются видимыми.

Признаки вывода данных: большие исходящие передачи на необычные адресаты, запросы HTTP POST с телами, закодированными в base64, необычно большие ответы DNS (туннелирование DNS), пакеты ICMP с большими полезными нагрузками и исходящий трафик в нерабочее время.

NetworkMiner пассивно восстанавливает переданные файлы из PCAP: изображения, документы и исполняемые файлы, переданные по HTTP или SMB, появляются как доступные для извлечения файлы. Он также автоматически извлекает из захваченного трафика учётные данные, сертификаты и сообщения.

Извлекайте временные метки ключевых сетевых событий: первого соединения с инфраструктурой управления и контроля, передачи учётных данных, перемещения по сети (попыток аутентификации на внутренних узлах), а также подготовки и вывода данных. Эти сетевые временные метки сопоставляются с артефактами на узлах и позволяют построить полную временную шкалу инцидента.

Сетевая криминалистика с помощью Wireshark восстанавливает действия злоумышленника в сети по доказательствам PCAP. Обнаружение маячков управления и контроля, анализ DNS на предмет туннелирования, кража учётных данных в незашифрованных протоколах, создание отпечатков JA3 для TLS и распознавание шаблонов вывода данных в совокупности раскрывают доказательства атаки на сетевом уровне.