Hacks met netwerkanalysators voorkomen - dummies

Een netwerkanalysator is een hulpmiddel waarmee u in een netwerk kunt zoeken en hacks kunt voorkomen door gegevens te analyseren over de draad gaan voor netwerkoptimalisatie, beveiliging en / of probleemoplossing. Een netwerkanalysator is handig voor pakketten snuiven op de draad. Het werkt door de netwerkkaart in promiscuous-modus te plaatsen, waarmee de kaart al het verkeer op het netwerk kan bekijken.

De netwerkanalysator voert de volgende functies uit:

• Legt alle netwerkverkeer vast

• Interpreteert of decodeert wat wordt gevonden in een door mensen leesbaar formaat

• Geeft de inhoud weer in chronologische volgorde > Bij het beoordelen van de beveiliging en het reageren op beveiligingsincidenten kan een netwerkanalysator u helpen

• Ontwikkel een basislijn van netwerkactiviteit en prestaties, zoals gebruikte protocollen, gebruikstrends en MAC-adressen, voordat een beveiligingsincident plaatsvindt.

• Wanneer uw netwerk zich onregelmatig gedraagt, kan een netwerkanalysator u helpen

Misbruik van het schadelijke netwerk

• Detecteren en opsporen van schadelijke toepassingen van Trojaanse paarden

• DoS-aanvallen

• Netwerkanalyserprogramma's

U kunt een van de volgende programma's gebruiken voor netwerkanalyse:

WildPackets 'OmniPeek

• Het doet alles wat u nodig heeft en meer en is zeer eenvoudig te gebruiken. OmniPeek is beschikbaar voor Windows-besturingssystemen. CommView

• van TamoSoft is een goedkoop, op Windows gebaseerd alternatief. Cain & Abel

• is een gratis hulpprogramma voor het herstellen van wachtwoorden voor het uitvoeren van ARP-vergiftiging, het vastleggen van pakketten, kraken van wachtwoorden en meer. Wireshark

• , voorheen bekend als Ethereal, is een gratis alternatief. Het is niet zo gebruikersvriendelijk als de meeste commerciële producten, maar het is zeer krachtig als je bereid bent om zijn ins en outs te leren. Wireshark is beschikbaar voor zowel Windows als OS X. ettercap

• is een ander krachtig hulpprogramma voor het uitvoeren van netwerkanalyse en nog veel meer op Windows, Linux en andere besturingssystemen. Hier zijn een paar kanttekeningen bij het gebruik van een netwerkanalysator:

Om alle verkeer vast te leggen, moet u de analysator op een van de volgende manieren aansluiten:

• Een hub op het netwerk

  • Een monitor / span / spiegel poort op een switch

  • Een switch waarmee u een ARP-aanval op

  • hebt uitgevoerd Als u verkeer wilt zien dat lijkt op wat een IPS op het netwerk ziet, moet u de netwerkanalysator aansluiten op een hub of schakelen tussen monitor poort aan de buitenkant van de firewall. Op deze manier kunt u met uw tests

• bekijken Wat uw netwerk binnenkomt

  • vóór de firewallfilters elimineren het ongewenste verkeer. Wat uw netwerk achterlaat

  • na het verkeer passeert door de firewall. Het kan een overweldigende hoeveelheid informatie zijn, maar u kunt eerst op deze problemen letten:

    

vreemd verkeer,

• zoals: een ongebruikelijke hoeveelheid ICMP-pakketten

  • overmatige hoeveelheden multicast of broadcast-verkeer

  • Protocollen die niet zijn toegestaan ​​door het beleid of die niet mogen bestaan ​​gezien uw huidige netwerkconfiguratie

  • Gewoonten voor internetgebruik

• die kunnen helpen bij het aanwijzen van kwaadwillig gedrag van een bedrieglijke insider of systeem dat is gecompromitteerd, zoals: Surfen op het web en sociale media

  • E-mail

  • Instant Messaging en andere P2P-software

  • Twijfelachtig gebruik,

• zoals: Veel verloren of overmaatse pakketten, waarmee wordt aangegeven dat ze worden gehackt er zijn hulpprogramma's of malware aanwezig

  • Verbruik met hoge bandbreedte die kan verwijzen naar een web- of FTP-server die niet tot

  • verkenningssondes en systeemprofilering van poortscanners en hulpmiddelen voor beoordeling van kwetsbare plekken behoort,

• zoals een aanzienlijk aantal inkomend verkeer van onbekende hosts - vooral via poorten die niet veel worden gebruikt, s uch als FTP of telnet. Bezig met hacken,

• zoals tonnen binnenkomende UDP- of ICMP-echoaanvragen, SYN-overstromingen of overmatige uitzendingen. Niet-standaard hostnamen in uw netwerk.

• Als uw systemen bijvoorbeeld Computer1, Computer2 enzovoort heten, moet een computer met de naam GEEKz4evUR een rode vlag oplichten. Verborgen servers

• die mogelijk netwerkbandbreedte gebruiken, illegale software gebruiken of toegang hebben tot onze netwerkhosts. Aanvallen op specifieke toepassingen

• met opdrachten als / bin / rm, / bin / ls, echo en cmd. exe evenals SQL-query's en JavaScript-injectie. Als uw netwerkanalysator dit toestaat, configureert u deze om een ​​first-in, first-out buffer te gebruiken.

• Als uw netwerkanalysator dit toestaat, registreer dan al het verkeer in een capture-bestand en sla het op de harde schijf op.

• Dit is het ideale scenario - vooral als u een grote harde schijf hebt, zoals 500 GB of meer. Wanneer netwerkverkeer er niet goed uitziet in een netwerkanalysator, is dit waarschijnlijk niet het geval.

• Het is beter om veilig te zijn dan sorry. U kunt controleren of de

toppraatgroepen op het netwerk werken. Als iemand iets kwaadaardigs doet op het netwerk, zoals het hosten van een FTP-server of het uitvoeren van software voor het delen van internetbestanden, is het gebruik van een netwerkanalyser vaak de enige manier om erachter te komen. Een netwerkanalysator is ook een goed hulpmiddel voor het detecteren van systemen die zijn geïnfecteerd met malware, zoals een virus of een Trojaans paard. Kijken naar uw netwerkstatistieken, zoals bytes per seconde, netwerkgebruik en inkomende / uitgaande pakketaantallen, is ook een goede manier om vast te stellen of er iets vreemds aan de hand is.

TamoSoft - de maker van CommView - heeft een ander product met de naam NetResident dat het gebruik van bekende protocollen, zoals HTTP, e-mail, FTP en VoIP, kan volgen. U kunt NetResident gebruiken om websessies te volgen en ze af te spelen.

NetResident heeft ook de mogelijkheid om ARP-vergiftiging uit te voeren, waardoor NetResident alles in het lokale netwerksegment kan zien.

Netwerkanalysatorherkenning

U kunt een netwerk- of hostgebaseerd hulpprogramma gebruiken om te bepalen of iemand een niet-geautoriseerde netwerkanalysator in uw netwerk gebruikt:

Sniffdet

• voor UNIX-systemen PromiscDetect

• voor Windows Bepaalde IPS's kunnen ook detecteren of een netwerkanalysator op uw netwerk wordt uitgevoerd. Met deze hulpmiddelen kunt u het netwerk controleren op Ethernet-kaarten die in de promiscueuze modus worden uitgevoerd. U laadt gewoon de programma's op uw computer en de programma's waarschuwen u als zij promiscue gedragingen op het netwerk (Sniffdet) of lokaal systeem (PromiscDetect) zien.