שלום
יש לי קובץ הקלטה של wireshark, מי שמכיר ומבין, אשמח לדעת באילו דרכים אני יכול לנתח עפי אותו קובץ התקפה שיש לי מחוץ לרשת, אני צריך לזהות עפי אותו קובץ מאיזו כתובת IP אני מותקף.
תודה
wireshark
- sys_admin
-
- חבר מביא חבר
- תגובות: 4307
- הצטרף: ינואר 2014
- מיקום: גליל מערבי
- נתן תודות: 10 פעמים
- קיבל תודות: 903 פעמים
לא מובן מהיכן מחוץ לרשת הקובץ נרשם. אבל קובץ של wireshark הוא לא הכלי שנועד או מתאים בכדי לזהות התקפות.
בכל מקרה אתה צריך לסנן לפי הכתובת IP של ההתקן רשת שתוקפים אותו והוא צריך להיות כיעד של תקשורת. כמובן גם שאם הקובץ הוקלט מחוץ לרשת, אז הכתובת יעד היא הכתובת החיצונית של רגל WAN , אם הנתב שלך מבצע NAT.
בכל מקרה אתה צריך לסנן לפי הכתובת IP של ההתקן רשת שתוקפים אותו והוא צריך להיות כיעד של תקשורת. כמובן גם שאם הקובץ הוקלט מחוץ לרשת, אז הכתובת יעד היא הכתובת החיצונית של רגל WAN , אם הנתב שלך מבצע NAT.
- NegativeIQ
-
- חבר מביא חבר
- תגובות: 4485
- הצטרף: דצמבר 2005
- נתן תודות: 12 פעמים
- קיבל תודות: 578 פעמים
קודם כל, השאלה הטרוייאלית - יש לך Wireshark מותקן? אם לא אז wireshark.orgאלונסו69 כתב:שלום
יש לי קובץ הקלטה של wireshark, מי שמכיר ומבין, אשמח לדעת באילו דרכים אני יכול לנתח עפי אותו קובץ התקפה שיש לי מחוץ לרשת, אני צריך לזהות עפי אותו קובץ מאיזו כתובת IP אני מותקף.
תודה...
ברגע שטענת אותו אז יש לך את שורת הפילטר בחלק העליון של המסך. אם אתה יודע משהו לגבי ההתקפה שעברת אז סנן לפי זה, אם אתה לא יודע אז תתחיל לסנן החוצה דברים שאתה יודע שהם לא רלוונטיים ותראה עם מה אתה נשאר.
בהצלחה.
. הוקלט מתוך הרשת הפנימית על הראוטר.
בקובץ בעיקר רואים "דו-שיח" בין שני מחשבים, כן יש לי wireshark מותקן.
השאלה היא אם אני אמור לקרוא את ה-HEADER שמופיע כשאני עומד על שורה ושם אמור להיות המידע ?
האם יש כלים שמנתחים קובץ הקלטה?
המטרה שלי היא לנסות להבין איזו כתובת חיצונית תוקפת את הנתב שלי
בקובץ בעיקר רואים "דו-שיח" בין שני מחשבים, כן יש לי wireshark מותקן.
השאלה היא אם אני אמור לקרוא את ה-HEADER שמופיע כשאני עומד על שורה ושם אמור להיות המידע ?
האם יש כלים שמנתחים קובץ הקלטה?
המטרה שלי היא לנסות להבין איזו כתובת חיצונית תוקפת את הנתב שלי
- sys_admin
-
- חבר מביא חבר
- תגובות: 4307
- הצטרף: ינואר 2014
- מיקום: גליל מערבי
- נתן תודות: 10 פעמים
- קיבל תודות: 903 פעמים
אנסה להסביר את הדברים הפשוטים בהקשר של שימוש ב SNIFFER ברשת.
דבר ראשון, בשביל שאפשר יהיה להקליט קובץ תעבורה על הראוטר, נדרש שהוא יתמוך באפשרות זו, צירתתי צילום מסך של ממשק רלוונטי של אפשרות זו. אפשרות נוספת, היא שנהתב צריך לדעת לשלוח בזמן אמת את התעבורה למחשב שמריץ את wireshark . אופצייה נוספת, היא שהנתב צריך לתמוך ב netflow או ב SFLOW . אם בנתב שלך אין אף אחת מהאפשרויות אלה, אז על נתב אתה לא יכול להקליט כלום.
דבר שני, אם אתה לא יכול לבצע את ההקלטה על נתב, אז אפשר לנסות לבצע את זה ברשת פנימית בהתחברות למתג שכל המחשבים מחוברים עליו. גם כאן מתג צריך לתמוך באפשרות של SPAN או RSPAN או ERSPAN או בכל אפשרות של Port Mirroring ואתה צריך להגדיר את השיקוף זה. אם אין לך אף אחת מאפשרויות אלה במתג שלך, אז אתה גם לא יכול להקליט את התעבורה בתוך הרשת שלך בחיבור למתג. וכל מה שאתה יכול לעשות, זה רק להקליט את התעבורה על המחשב שאותו מנסים "לתקוף"
, כי כל מחשב ברשת לא מנוהלת כזו יכול לקלוט רק את המידע שמיועדת לו ושום דבר אחר.
ועכשיו נחזור על מה שכבר כתבתי בהסבר הקודם. בשביל שניתן יהיה לתקוף או בכלל לתקשר עם המחשב ברשת הפנימית, דבר ראשון צריך שבמנגנון NAT של הנתב תהיה הפנייה מוגדרת של הפורט שפתוח במחשב זה, דבר שלא קורה מעצמו או מחוץ לרשת והכי חשוב שבמחשב זה שתוקפים אותו ירוץ שירות כזה שניתן לתקוף. עכשיו אתה לא כתבתה מה השירות שמנסים לתקוף, האם זה שרת FTP ? , האם זה שרת HTTP ? או על מה בכלל מדובר ?
גם כמו שכבר כתבתי מקודם wireshark כלל לא הכלי לזיהוי של תקיפות ברשת ויש לכך מספק של סיבות. תקיפות ברשת ניתן לזהות למשל במודול שמותקן בנתב והוא גם מזהה וגם מונע אותן.
ואם בכל זאת משתמשים ב wireshark, אז אתה יודע מה הכתובת של המחשב שמנסים לתקוף, אתה מסנן את הקובץ המוקלט לפי כתובת יעד זו ואתה מייד מקבל את הכתובת המקור של שממנו מנסים לתקוף את המחשב המסכן, כמובן גם אתה תבין מזה מה שהירות שמנסים לתקוף.
צירפתי כמה צילומי מסך שממחישים את הנושא:
דבר ראשון, בשביל שאפשר יהיה להקליט קובץ תעבורה על הראוטר, נדרש שהוא יתמוך באפשרות זו, צירתתי צילום מסך של ממשק רלוונטי של אפשרות זו. אפשרות נוספת, היא שנהתב צריך לדעת לשלוח בזמן אמת את התעבורה למחשב שמריץ את wireshark . אופצייה נוספת, היא שהנתב צריך לתמוך ב netflow או ב SFLOW . אם בנתב שלך אין אף אחת מהאפשרויות אלה, אז על נתב אתה לא יכול להקליט כלום.
דבר שני, אם אתה לא יכול לבצע את ההקלטה על נתב, אז אפשר לנסות לבצע את זה ברשת פנימית בהתחברות למתג שכל המחשבים מחוברים עליו. גם כאן מתג צריך לתמוך באפשרות של SPAN או RSPAN או ERSPAN או בכל אפשרות של Port Mirroring ואתה צריך להגדיר את השיקוף זה. אם אין לך אף אחת מאפשרויות אלה במתג שלך, אז אתה גם לא יכול להקליט את התעבורה בתוך הרשת שלך בחיבור למתג. וכל מה שאתה יכול לעשות, זה רק להקליט את התעבורה על המחשב שאותו מנסים "לתקוף"
, כי כל מחשב ברשת לא מנוהלת כזו יכול לקלוט רק את המידע שמיועדת לו ושום דבר אחר. ועכשיו נחזור על מה שכבר כתבתי בהסבר הקודם. בשביל שניתן יהיה לתקוף או בכלל לתקשר עם המחשב ברשת הפנימית, דבר ראשון צריך שבמנגנון NAT של הנתב תהיה הפנייה מוגדרת של הפורט שפתוח במחשב זה, דבר שלא קורה מעצמו או מחוץ לרשת והכי חשוב שבמחשב זה שתוקפים אותו ירוץ שירות כזה שניתן לתקוף. עכשיו אתה לא כתבתה מה השירות שמנסים לתקוף, האם זה שרת FTP ? , האם זה שרת HTTP ? או על מה בכלל מדובר ?
גם כמו שכבר כתבתי מקודם wireshark כלל לא הכלי לזיהוי של תקיפות ברשת ויש לכך מספק של סיבות. תקיפות ברשת ניתן לזהות למשל במודול שמותקן בנתב והוא גם מזהה וגם מונע אותן.
ואם בכל זאת משתמשים ב wireshark, אז אתה יודע מה הכתובת של המחשב שמנסים לתקוף, אתה מסנן את הקובץ המוקלט לפי כתובת יעד זו ואתה מייד מקבל את הכתובת המקור של שממנו מנסים לתקוף את המחשב המסכן, כמובן גם אתה תבין מזה מה שהירות שמנסים לתקוף.
צירפתי כמה צילומי מסך שממחישים את הנושא:
