Paket Yakalama Nasıl Çalışır

Bir ağ arayüz kartı normalde kendi MAC adresine yöneltilmeyen paketleri atar. Karma mod bu filtreyi devre dışı bırakarak NIC'nin aldığı tüm çerçeveleri, hedeflerinden bağımsız olarak işletim sistemine iletmesini sağlar. Yönetici ayrıcalıklarıyla çalışan herhangi bir uygulama, arayüzü karma moda geçirerek yalnızca o makineye yöneltilen trafiği değil, ağ bölümünde görülebilen tüm trafiği alabilir.

libpcap, Unix benzeri sistemlerde paket yakalama için standart bir API sağlayan taşınabilir bir C kütüphanesidir. WinPcap ve onun ardılı Npcap, Windows üzerinde eşdeğer işlevi sağlar. Wireshark, tcpdump ve Snort da dâhil olmak üzere neredeyse tüm paket yakalama ve ağ analizi araçları, temel yakalama motoru olarak libpcap kullanır. libpcap, işletim sistemiyle düşük düzeyli etkileşimi yönetir ve belirli paketleri seçmek için bir filtre dili sunar.

Wireshark, en yaygın kullanılan grafiksel paket analizi aracıdır. Canlı trafiği yakalar veya kaydedilmiş PCAP dosyalarını açar; yüzlerce protokolü çözümler, TCP akışlarını yeniden birleştirir ve anahtarlar mevcut olduğunda şifresi çözülmüş içeriği görüntüler. Renklerle kodlanmış paket satırları, görüntüleme filtreleri, akış izleme ve protokol istatistikleri, Wireshark'ı hem ağ sorunlarını gidermek hem de güvenlik analizi yapmak için vazgeçilmez bir araç hâline getirir.

tcpdump, neredeyse tüm Unix sistemlerinde bulunan bir komut satırı paket yakalama aracıdır. tcpdump -i eth0 port 80 gibi basit bir komut, eth0 arayüzündeki tüm HTTP trafiğini yakalar ve her paketin özetini yazdırır. -w seçeneği, ham paketleri daha sonra Wireshark'ta analiz edilmek üzere bir PCAP dosyasına yazar. tcpdump'ın BPF filtre dili, trafiğin protokole, bağlantı noktasına, adrese ve bayraklara göre kesin biçimde seçilmesini sağlar.

Modern anahtarlı ağlarda anahtar, paketleri yalnızca doğru hedef bağlantı noktasına iletir; bu nedenle karma moddaki bir NIC yalnızca yayın trafiğini ve kendi MAC adresine yöneltilen trafiği görür. ARP zehirleme bu durumu aşar. Saldırgan, kurbana saldırganın MAC adresinin ağ geçidine ait olduğunu ve ağ geçidine de saldırganın MAC adresinin kurbana ait olduğunu söyleyen karşılıksız ARP yanıtları gönderir. Böylece tüm trafik saldırganın makinesinden geçer.

ARP zehirleme başarılı olduktan sonra saldırganın makinesi hem kurbandan hem de ağ geçidinden gelen paketleri alır. İletişimin kesilmesini önlemek için saldırgan, içeriği okurken veya değiştirirken paketleri iki taraf arasında iletir. dsniff paketindeki arpspoof ve Ettercap gibi araçlar ARP zehirlemeyi ve trafik iletimini otomatikleştirir. Saldırı yerel ağ bölümünde sessizce çalışır ve özel ARP izleme yapılmadığında kurbanların bunu fark etmesi zordur.

Anahtarlar standart hâle gelmeden önce ağlarda, her paketi tüm bağlantı noktalarına yayınlayan hub'lar kullanılırdı. Hub tabanlı bir ağ bölümünde herhangi bir zehirleme yapmadan karma modu etkinleştirmek, tüm ana bilgisayarlardan gelen trafiğin tamamını yakalamak için yeterliydi. Günümüzde eski sistemlerin bulunduğu ortamlar ve bazı endüstriyel kontrol ağları dışında hub'lara nadiren rastlanır. Ancak Wi-Fi ağları, aynı kablosuz kanal içindeki trafik bakımından hub gibi davranır; bu da izleme modunda pasif yakalamayı kolaylaştırır.

Ağ yöneticileri, izleme ve sorun giderme amacıyla trafiği meşru biçimde yakalamak için bağlantı noktası yansıtmayı (Cisco terminolojisinde SPAN olarak da adlandırılır) kullanır. Yönetilebilir bir ağ anahtarı, belirtilen bağlantı noktalarından veya VLAN'lardan geçen tüm trafiği, bir izleme cihazına bağlı özel bir yansıtma bağlantı noktasına kopyalayacak şekilde yapılandırılır. Bu yöntem, ARP zehirleme olmadan trafiğin tamamını görmeyi sağlar ve saldırı tespit sensörleri ile ağ dinleme cihazları için onaylanmış yöntemdir.

Erişme yetkiniz olmayan ağ trafiğini yakalamak, US Computer Fraud and Abuse Act ve UK Computer Misuse Act de dâhil olmak üzere çoğu yargı bölgesindeki yasaları ihlal eder. Bir kuruluş içinde bile çalışan trafiğini yakalamak, çalışanların onayını ve HR politikalarına uyumu gerektirebilir. Sızma testi yapanların, paket yakalamayı kapsayan açık ve yazılı bir yetkiye sahip olması gerekir. IT yöneticileri, ağ izleme uygulamasını devreye almak için genellikle kuruluş politikası onayı almalıdır.

Birkaç dakikalık ağ etkinliğinin paket yakalaması bile HTTP User-Agent üstbilgilerinden uygulama sürümlerini, TCP yığını davranışından işletim sistemi parmak izlerini, DNS sorgularından iç ana bilgisayar adlarını, eski protokollerden kimlik doğrulama bilgilerini, HTTP trafiğinden oturum çerezlerini ve iletişim kuran tüm sistem ve hizmetlerin haritasını ortaya çıkarabilir. Bu keşif değeri, paket yakalamayı başlıca saldırı araçlarından biri hâline getirir.

Paket yakalamaya karşı temel savunma, yakalanan paketlerin yalnızca şifreli metin içermesi için tüm ağ trafiğini şifrelemektir. Yönetilebilir anahtarlardaki Dinamik ARP Denetimi, ARP yanıtlarını güvenilir bir DHCP eşleme tablosuna göre doğrulayarak ARP zehirlemeyi önler. Bağlantı noktası güvenliği, her anahtar bağlantı noktasında hangi MAC adreslerinin görünebileceğini sınırlar. Ağ bölümlendirmesi, ARP saldırıları gerçekleştiren tek bir ele geçirilmiş makinenin etkileyebileceği alanı sınırlar.

Anahtarlı bir ağdaki paket yakalama saldırısında ARP zehirlemenin amacı nedir?

Karma mod, bir NIC'nin ağ bölümündeki tüm çerçeveleri almasını sağlar. libpcap, başlıca tüm yakalama araçlarının temelidir. Wireshark ve tcpdump, başlıca analiz araçlarıdır. ARP zehirleme, ortadaki adam saldırısıyla yakalama yapılabilmesi için anahtarlı trafiği bir saldırganın makinesine yönlendirir. Bağlantı noktası yansıtma, zehirleme olmadan meşru izleme sağlar. Şifreleme temel savunmadır; Dinamik ARP Denetimi zehirleme saldırısını önler.