z paska narzędzi lub z polecenia Capture

Transkrypt

1 Rodzaje testów i pomiarów pasywnych 40 ZAGADNIENIA Na czym polegają pomiary pasywne sieci? Jak przy pomocy sniffera przechwycić dane przesyłane w sieci? W jaki sposób analizować dane przechwycone przez sniffer? Podczas wykonywania testów pasywnych administrator tylko obserwuje funkcjonowanie sieci. W wielu sytuacjach jest to wystarczające do zebrania informacji o sposobie działania sieci. Dużo informacji dotyczących funkcjonowania sieci, administrator może uzyskać, monitorując ruch pakietów pomiędzy urządzeniami. Zawartości nagłówków jednostek danych umożliwiają dokładną analizę ruchu i jego zawartości. Sniffer - program komputerowy lub urządzenie, którego zadaniem jest przechwytywanie i analizowanie danych przepływających w sieci. W normalnym trybie pracy każda karta sieciowa odbiera tylko ramki adresowane na jej adres fizyczny MAC oraz ramki rozgłoszeniowe. Sniffer przełącza kartę sieciową w tryb mieszany (pro-miscuous), w którym urządzenie odbiera wszystkie ramki z segmentu sieci. Sniffery wykorzystywane są do analizowania ruchu w sieci przez administratorów, jak i hakerów. Z tego powodu podczas pracy w sieci nie wolno bez powodu uruchamiać tego typu programów. Administrator sieci po wykryciu uruchomionego sniffera na komputerze może potraktować użytkownika jako potencjalnego intruza i odłączyć jego komputer od sieci. Działanie snifferów: ustalenie aktywności użytkowników w sieci, zabezpieczenie sieci przed nadużyciami ze strony użytkowników, wykrycie włamania do sieci. Wireshark - popularnym program typu sniffer. Jest dostępny w wersji na platformę Windows, Linux i MacOS X. Program można bezpłatnie pobrać ze strony Program pracuje w środowisku graficznym, ale w środowisku Windows wymaga zainstalowanej biblioteki WinPcap (najnowsze wersje dostarczane są razem z biblioteką). PRZYKŁAD 1. Przechwytywanie danych i analiza nagłówków Aby przechwycić dane przesyłane w sieci i przeanalizować nagłówki, należy: " I. Uruchomić program Wireshark. 2. Wybrać z paska narzędzi polecenie Capture, a następnie Interfaces (rys.2). 3. W oknie wyboru interfejsu (rys. 1) wskazać, który interfejs ma być ustawiony w trybie przechwytywania danych, i kliknąć przycisk Start. 4. Uruchomić dowolny program generujący przepływ danych w sieci, np. polecenie ping, albo zaczekać na pojawienie się ruchu w sieci. 5. Obserwować w oknie głównym programu przychwytywane dane. Po zebraniu wymaganej ilości danych zatrzymać przechwytywanie poleceniem Capture/ Stop. W oknie rozwinąć gałęzie Ethernet II i Internet Protocol Version 4. Wybór Interfacu Symbol z paska narzędzi lub z polecenia Capture 1

2 Rys. 1. Okno wyboru interfejsu do przechwytywania danych Rys. 2. Włączenie przechwytywania danych (Capture rzechwytywanie) Analiza przechwytywanych danych po uruchomieniu polecenia ping 2

3 Na rysunku 3 strzałkami zaznaczone są ważne informacje uzyskane z analizy nagłówków: - adres docelowy MAC - strzałka l, - adres źródłowy MAC - strzałka 2, - adres źródłowy IP - strzałka 3, - adres docelowy IP - strzałka 4, - parametr TTL - strzałka 5. Analiza ta pozwala na ustalenie adresów fizycznych i logicznych komputerów biorących udział w transmisji danych. Rys. 3. Analiza nagłówków przechwyconych danych PRZYKŁAD 2. Analiza danych przesyłanych w Aby przeanalizować dane przesyłane w sieci, należy wykonać następujące czynności: 1. Uruchomić program Wireshark. 2. Wybrać z paska narzędzi polecenie Capture, a następnie Interfaces. 3. Wybrać interfejs i włączyć tryb przechwytywania danych - przycisk Start. 4. Uruchomić dowolny program przesyłający dane w sieci, np. nawiązać połączenie z serwerem FTP. 5. Obserwować w oknie głównym programu przychwytywane dane. Po zebraniu wymaganej ilości danych zatrzymać przechwytywanie poleceniem Capture/Stop. 6. Odszukać w oknie dowolny fragment transmisji związanej z nawiązywaniem połączenia FTP. Na rysunku 4 pakiety o numerach 10 i 11 związane są z zapytaniem odpowiedzią protokołu ARP. W pakiecie 12 rozpoczyna się proces nawiązywania sesji między klientem a serwerem FTP (jest to jeden z pakietów związanych z transmisją) - można kliknąć ten pakiet lub inny należący do tej samej sesji. 7. Z paska poleceń wybrać Analyze/Follow TCP Stream. W nowym oknie zostaną zebrane dane z całego strumienia danych, a następnie wyświetlone w postaci tekstowej (rys. 5). Przesyłane dane wyświetlone w postaci tekstowej 3

4 Rys. 4. Wyszukiwanie pakietów związanych z połączeniem FTP Rys. 5. Przesyłane dane w postaci tekstowej Uwaga Jeżeli dane były wysyłane bez stosowania szyfrowania, to zostaną wyświetlone łącznie z nazwami użytkowników i hasłami, jak na rysunku 5. Programy do analizy ruchu w sieci Do analizy ruchu sieciowego są przeznaczone m.in. oprogramowania: Advanced IP Scanner, Next Worx i The Dude. Advanced IP Scanner to zaawansowany skaner protokołu IP dostępny w systemie MS Windows i rozpowszechniany na licencji freeware. Wynikiem działania programu jest lista urządzeń podłączonych do sieci wraz z nazwą zwyczajową, adresem MAC i IP. Na rysunku 6 pokazano wynik skanowania przez program Advanced IPScanner z widocznym serwerem wydruku firmy EDIMAX i ruterem Cisco. 4

5 Serwer wydruku (urządzenia EDIMAX) IPv Serwer mediów i udostępnione katalogi Rys. 6. Wynik skanowania sieci przez program Advanced IP Scanner NetWorx to program dostarczający informacje na temat używanego łącza internetowego oraz wykorzystania pasma. Ułatwia identyfikację potencjalnych źródeł problemów z siecią oraz śledzi podejrzaną działalność w sieci, np. koni trojańskich i ataków hakerów. Program NetWorx monitoruje wszystkie połączenia sieciowe lub tylko wybrane (np. Ethernet lub PPP). The Dude to aplikacja do zarządzania i kontrolowania sieci lokalnej. Program odnajdzie każdego typu urządzenia dostępne w danej pod-sieci: drukarki, rutery, przełączniki, serwery DNS, serwery FTP, serwery IMAP4, serwery NTP, SMTP i WWW. Graficzną prezentację wyniku działania programu The Dudę przedstawiono na rys. 7. Wynik ten możemy zapisać jako plik graficzny lub w formacie PDF. Rys. 7. Graficzna prezentacja urządzeń pracujących w sieci w The Dudę 3.6 5

6 Podsumowanie Przed oddaniem sieci komputerowej do eksploatacji oraz w trakcie jej użytkowania należy sprawdzić jej parametry. W tym celu ustalamy, jakiego typu sieć będzie testowana, jakie parametry będą mierzone oraz jakich przyrządów do tego użyjemy. Parametry kabla typu skrętka tłumienie sygnału opóźnienie propagacji długość toru transmisyjnego kanał transmisyjny przesłuchy NEXT Tab.l. Dobór testerów i analizatorów okablowania do pomiarów parametrów mediów transmisyjnych Przyrządy Skrętka Światłowód Analizator okablowania + + Tester okablowania + Reflektometr + + Miernik uniwersalny + PSNEXT ELFEXT Tab. 2. Dobór programów do testowania i analizy sieci komputerowej Nazwa programu Speedtest DSL.CZ Advanced IP scanner Next Worx The Dude Wireshar netstat tracet ping Funkcje programu sprawdza szybkość połączenia w sieci między komputerem użytkownika a serwerem mierzy szybkość pobierania i wysyłania danych i z przeglądarki internetowej analizuje ruch w sieci dostępny w systemie MS Windows; skanując sieć lokalną, tworzy listę urządzeń podłączonych do sieci wraz z nazwą, adresem MC i IP analizuje ruch w sieci, dostarczając informacje o używanym łączu internetowym oraz wykorzystanym paśmie; identyfikuje źródła problemów z siecią; wykrywa włamania do sieci zarządza i kontroluje sieć lokalną analizuje pakiety w wielu systemach operacyjnych; śledzi przesyłanie pakietów przez wybrany interfejs sieciowy; umożliwia rozwiązanie problemów z aplikacjami sieciowymi wyświetla listę połączeń TCP dostępnych w systemie operacyjnym; diagnozuje działanie połączeń sieciowych z poziomu pleceń systemu dostępny w systemie operacyjnym; tworzy prezentację trasy, którą pokonuje pakiet między komputerami nadawcy i odbiorcy pozwala na sprawdzenie, czy istnieje połączenie pomiędzy dwoma punktami w sieci. Umożliwia on zmierzenie liczby zgubionych pakietów oraz opóźnień w ich transmisji. SPRAWDŹ 1. Przechwyć i przeanalizuj przebieg transmisji danych związanych z uzyskiwaniem adresu za pomocą protokołu DHCP. W transmisji zlokalizuj: - adres MAC i IP klienta przed i po uzyskaniu adresu, l - komunikaty: DHCPDISCOYER, DHCPOFFER, DHCPREQUEST, DHCPACK. Uwaga Sniffer należy uruchomić na serwerze DHCP lub pobrać dane dla klienta w maszynie witrualnej. 6