Wireshark ile Ağ Adli İncelemesi

Ağ adli bilişimi, ana bilgisayar tabanlı adli bilişimde görünmeyen yanal hareketi, komuta ve kontrol iletişimini, kimlik bilgisi hırsızlığını, veri dışarı çıkarmayı ve protokol anormalliklerini yeniden oluşturmak için yakalanmış paket verilerini (PCAP dosyalarını) analiz eder.

Ağ kanıtlarını Wireshark (etkileşimli), tcpdump (CLI) veya özel ağ dinleme noktalarıyla toplayın. Olaylar gerçekleşmeden önce kritik segmentlere yansıtma portları veya ağ dinleme noktaları yerleştirin. Geriye dönük analiz için önceden kurulmuş bir yakalama altyapısı gerekir.

Görüntüleme filtreleri analizi daraltır: http HTTP'yi, tcp.port==443 HTTPS'yi, ip.addr==10.0.0.5 belirli bir ana bilgisayarı, dns ad sorgularını, tcp.flags.syn==1 && tcp.flags.ack==0 ise yalnızca SYN paketlerini (bağlantı noktası taraması tespiti) gösterir.

İnsanların okuyabileceği biçimde tüm iletişimi yeniden oluşturmak için bir pakete sağ tıklayın → İzle → TCP Akışı. HTTP için bu işlem, dışarı çıkarılan verileri veya komuta ve kontrol komutlarını yeniden oluşturmakta yararlı olan eksiksiz istek ve yanıt gövdelerini gösterir.

Komuta ve kontrol sinyalleşmesi, aynı dış IP adresine yapılan düzenli ve periyodik bağlantılar şeklinde görünür. ip.dst == [suspicious_ip] filtresini uygulayın ve çerçeve zamanlamasını kontrol edin; küçük veri hacimleriyle birlikte tutarlı aralıklar (her 60, 300 veya 600 saniyede bir) sinyalleşme davranışının tipik özelliğidir.

DNS sorguları komuta ve kontrol alan adlarını, alan adı üretme algoritması (DGA) örüntülerini ve DNS tünellemesini ortaya çıkarır. Yüksek entropili alan adları (ör. a1b2c3d4e5f6.evil.com), alışılmadık TXT kayıt sorguları ve olağandışı büyüklükteki DNS yanıtları, DNS tabanlı komuta ve kontrol iletişimine veya veri dışarı çıkarmaya işaret eder.

Açık metin protokolleri (HTTP, FTP, SMTP, LDAP, Telnet), kimlik bilgilerini paket yakalamalarında görülebilen düz metin olarak iletir. Olay zaman aralığında kimlik bilgisi açığa çıkmasını belirlemek için http contains "password" veya ftp contains "PASS" ile filtreleyin.

Şifrelenmiş TLS trafiği, özel anahtarlar veya ön ana sırlar olmadan çözülemez. Ancak JA3 parmak izleri TLS istemci kitaplıklarını belirler (kötü amaçlı yazılımlar kendilerine özgü JA3 karmalarına sahiptir), sertifikalardaki alternatif konu adları komuta ve kontrol altyapısını ortaya çıkarır ve trafik zamanlaması görünür kalır.

Dışarı çıkarma göstergeleri şunlardır: alışılmadık hedeflere yapılan büyük dışa giden veri aktarımları, base64 ile kodlanmış gövdeler içeren HTTP POST istekleri, olağandışı büyüklükteki DNS yanıtları (DNS tünellemesi), büyük yükler içeren ICMP paketleri ve iş saatleri dışındaki dışa giden trafik.

NetworkMiner, PCAP'lerden aktarılan dosyaları pasif olarak yeniden oluşturur; HTTP veya SMB üzerinden aktarılan görseller, belgeler ve yürütülebilir dosyalar çıkarılabilir dosyalar olarak görünür. Ayrıca yakalanan trafikten kimlik bilgilerini, sertifikaları ve iletileri otomatik olarak çıkarır.

Temel ağ olaylarının zaman damgalarını çıkarın: komuta ve kontrole ilk bağlantı, kimlik bilgisi aktarımı, yanal hareket (iç ana bilgisayarlara kimlik doğrulama denemeleri) ve veri hazırlama/dışarı çıkarma. Bu ağ zaman damgaları, eksiksiz olay zaman çizelgesini oluşturmak için ana bilgisayar tabanlı izlerle ilişkilendirilir.

Wireshark ile ağ adli bilişimi, PCAP kanıtlarından saldırganın ağ faaliyetlerini yeniden oluşturur. Komuta ve kontrol sinyalleşmesi tespiti, tünelleme için DNS analizi, açık metin protokollerinde kimlik bilgisi hırsızlığı, TLS JA3 parmak izi analizi ve veri dışarı çıkarma örüntülerinin tanınması, ağ katmanındaki saldırı kanıtlarını birlikte ortaya çıkarır.