PCAP: Packet Capture, mi ez és mit kell tudni

Csomag elfog vagy PCAP (más néven libpcap) egy olyan alkalmazásprogramozási felület (API), amely rögzíti az OSI 2-7. rétegből származó élő hálózati csomag adatokat. A hálózati elemzők, mint például a Wireshark .pcap fájlokat hoznak létre, hogy összegyűjtsék és rögzítsék a csomagkapcsolt adatokat egy hálózatból. A PCAP számos formátumban kapható, beleértve libpcap, WinPcap, és PCAPng.

Ezek a PCAP-fájlok felhasználhatók a TCP / IP és UDP hálózati csomagok megtekintésére. Ha rögzíteni akarja a hálózati forgalmat, akkor létre kell hoznia .pcapfilet. A .pcapfile létrehozhat egy hálózati elemzővel vagy olyan csomag-szippantási eszközzel, mint a Wireshark vagy a tcpdump. Ebben a cikkben megvizsgáljuk, mi a PCAP, és hogyan működik.

Miért kell használni a PCAP-t?? 

A PCAP értékes forrás a fájlelemzéshez és a hálózati forgalom figyeléséhez. A csomaggyűjtő eszközök, mint például a Wireshark, lehetővé teszik a hálózati forgalom összegyűjtését és az emberi olvashatóságú formátumba történő lefordítását. Számos oka van annak, hogy a PCAP-t a hálózatok figyelésére használják. A leggyakoribbak közé tartozik a sávszélesség-felhasználás figyelése, a szélhámos DHCP-kiszolgálók azonosítása, a rosszindulatú programok észlelése, a DNS felbontása és az eseményekre adott válaszok.

A hálózati rendszergazdák és a biztonsági kutatók számára a csomagfájlok elemzése jó módszer a hálózati behatolások és más gyanús tevékenységek észlelésére. Például, ha egy forrás sok rosszindulatú forgalmat küld a hálózatnak, azonosíthatja azt a szoftver ügynökön, majd megteheti a támadás visszaszorítását..

Hogyan működik a csomagos sniffer??

A PCAP-fájlok rögzítéséhez csomagos szippantót kell használni. A csomagszippantó elfogja a csomagokat, és könnyen érthető módon bemutatja azokat. PCAP-szippantás használatakor először meg kell határoznia, hogy melyik felületet szeretné szimatolni. Ha Linux rendszeren van, ezek lehetnek eth0 vagy wlan0. Kiválaszthat egy felületet a ifconfig parancs.

Miután tudta, hogy melyik felületet szeretné szimatolni, akkor kiválaszthatja, hogy milyen forgalmat szeretne figyelni. Például, ha csak a TCP / IP csomagokat kívánja figyelni, akkor szabályokat hozhat létre ehhez. Számos eszköz olyan szűrőket kínál, amelyek lehetővé teszik az összegyűjtött forgalom ellenőrzését.

A Wireshark például lehetővé teszi a látható forgalom szűrését az elfogási szűrőkkel és a megjelenítő szűrőkkel. A rögzítési szűrők lehetővé teszik a rögzített forgalom szűrését, a megjelenített szűrők pedig a látható forgalom szűrését. Szűrheti például a protokollokat, folyamatokat vagy gazdagépeket.

A szűrt forgalom összegyűjtése után elkezdheti keresni a teljesítménygel kapcsolatos problémákat. A célzottabb elemzéshez szűrhet a forrás- és a célportok alapján az egyes hálózati elemek tesztelésére. Az összes rögzített információ ezután felhasználható a hálózati teljesítménygel kapcsolatos problémák elhárításához.

A PCAP verziói

Mint fentebb említettük, sokféle PCAP fájl létezik, beleértve:

• libpcap
• WinPcap
• PCAPng
• Npcap

Minden verziónak megvannak a saját felhasználási esetei, és a különféle típusú hálózati megfigyelő eszközök támogatják a PCAP fájlok különféle formáit. A Libpcap például egy hordozható, nyílt forráskódú c / C ++ könyvtár, amelyet Linux és Mac OS felhasználók számára terveztek. A Libpcap lehetővé teszi az adminisztrátorok számára a csomagok rögzítését és szűrését. A csomagszippantó eszközök, mint például a tcpdump, a Libpcap formátumot használják.

A Windows felhasználók számára a WinPcap formátum létezik. A WinPcap egy másik hordozható csomaggyűjtő könyvtár, amelyet Windows-eszközökre terveztek. A WinpCap a hálózatból összegyűjtött csomagokat is elfoghatja és szűrheti. Szerszámok, mint Wireshark, Nmap, és Horkant használjon WinPCap-ot az eszközök figyelésére, de maga a protokoll megszakadt.

A Pcapng vagy .pcap Next Generation Capture File Format a PCAP fejlettebb verziója, amely alapértelmezés szerint a Wireshark programmal rendelkezik. A Pcapng adatokat gyűjthet és tárolhat. A pcapng által gyűjtött adatok típusa kiterjed az időbélyegzés pontosságára, a felhasználói megjegyzésekre és a rögzítési statisztikákra, hogy a felhasználót kiegészítő információkkal látják el..

Az olyan eszközök, mint a Wireshark, a PCAPng-t használják, mert több információt tud felvenni, mint a PCAP. A PCAPng problémája azonban az, hogy az nem kompatibilis olyan sok eszközzel, mint a PCAP.

Az Npcap egy hordozható csomagszippantási könyvtár a Windows számára, amelyet az Nmap, az egyik legismertebb csomagszippantás-szállító gyártja. A könyvtár gyorsabb és biztonságosabb, mint a WinpCap. Az Npcap támogatja a Windows 10 rendszert és a hurokcsomag-visszatartási injekciót, így hurokcsomagokat küldhet és szimatolhat. Az Npcap-ot a Wireshark is támogatja.

A csomagrögzítés és a PCAP előnyei 

A csomagok rögzítésének legnagyobb előnye, hogy láthatóságot biztosít. A csomagkapcsolt adatok segítségével meghatározhatja a hálózati problémák kiváltó okait. Figyelemmel kísérheti a forgalmi forrásokat, és azonosíthatja az alkalmazások és eszközök használati adatait. A PCAP-adatok valós idejű információkat nyújtanak a teljesítmény-problémák megkereséséhez és megoldásához, hogy a hálózat a biztonsági esemény után is működjön.

Például a rosszindulatú forgalom és más rosszindulatú kommunikáció nyomon követésével azonosíthatja, hogy egy darab rosszindulatú program megsértette-e a hálózatot. PCAP és csomagmegfogó eszköz nélkül nehezebb lenne nyomon követni a csomagokat és kezelni a biztonsági kockázatokat.

Egyszerű fájlformátumként a PCAP előnye, hogy kompatibilis szinte bármilyen csomagszippantási programmal, amelyre gondolhat, a Windows, Linux és Mac OS számos változatával. A csomaggyűjtés szinte bármilyen környezetben megvalósítható.

A csomaggyűjtés és a PCAP hátrányai 

Bár a csomagok rögzítése értékes megfigyelési technika, ennek megvannak a korlátai. A csomagok elemzése lehetővé teszi a hálózati forgalom figyelését, de nem mindent figyel. Számos olyan számítógépes támadás történik, amelyet nem a hálózati forgalom indít el, ezért más biztonsági intézkedésekre van szükség.

Például néhány támadó USB-t és más hardver-alapú támadásokat használ. Következésképpen a PCAP-fájlelemzésnek ki kell képeznie a hálózati biztonsági stratégia részét, de nem ez lehet az egyetlen védelmi vonal.

A csomagok rögzítésének másik jelentős akadálya a titkosítás. Számos számítógépes támadó titkosított kommunikációt használ a hálózatok támadásainak elindításához. A titkosítás megakadályozza, hogy a csomagszippantó hozzáférhessen a forgalmi adatokhoz és azonosítsa a támadásokat. Ez azt jelenti, hogy a titkosított támadások elcsúsznak a radar alatt, ha a PCAP-re támaszkodik.

Arra is probléma van, hogy hol található a csomag-szippantó. Ha egy csomagszippantót helyezünk a hálózat szélére, akkor ez korlátozza a felhasználó számára a láthatóságot. Például, a felhasználó nem észlelheti a DDoS támadás vagy malware kitörés kezdetét. Ezenkívül, még ha a hálózat központjában is adatokat gyűjt, fontos, hogy győződjön meg arról, hogy az összesített beszélgetést nem összefoglaló adatok helyett gyűjtötte-e..

Nyílt forráskódú elemző eszköz: Hogyan használja a Wireshark a PCAP fájlokat?? 

A Wireshark a legnépszerűbb forgalom elemző a világon. A Wireshark .pcap fájlokat használ a hálózati szkennelésből kinyert csomag adatok rögzítésére. A csomagos adatokat a .pcap fájlkiterjesztésű fájlokban rögzítik, és ezek felhasználhatók a hálózaton jelentkező teljesítményproblémák és cyberattacks keresésére..

Más szavakkal, a PCAP fájl létrehoz egy olyan hálózati adatrekordot, amelyet megnézhet a Wireshark-on keresztül. Ezután felmérheti a hálózat állapotát, és meghatározhatja, vannak-e olyan szolgáltatási problémák, amelyekre meg kell válaszolni.

Fontos megjegyezni, hogy a Wireshark nem az egyetlen eszköz, amely képes megnyitni .pcap fájlokat. Más széles körben használt alternatívák közé tartozik a tcpdump és a WinDump, a hálózati megfigyelő eszközök, amelyek a PCAP-t is használják, hogy nagyítóként szolgáljanak a hálózati teljesítményhez.

Példa a saját csomag elemző eszközre

SolarWinds hálózati teljesítményfigyelő (INGYENES Kísérlet)

SolarWinds hálózati teljesítményfigyelő példa egy olyan hálózati megfigyelő eszközre, amely PCAP-adatokat képes rögzíteni. Telepítheti a szoftvert egy eszközre, majd figyelemmel kísérheti a teljes hálózatból kihúzott csomag adatokat. A csomag adatok lehetővé teszik a hálózat válaszidejének mérését és a támadások diagnosztizálását.

A felhasználó a csomagadatokat a Minőség a tapasztalat irányítópultján, amely a hálózati teljesítmény összefoglalását tartalmazza. A grafikus kijelzők megkönnyítik a tüskék pontos meghatározását a forgalomban vagy a rosszindulatú forgalomban, amelyek számítógépes támadást jelezhetnek.

A program elrendezése azt is lehetővé teszi, hogy a felhasználó megkülönböztesse az alkalmazásokat a feldolgozott forgalom nagysága alapján. Olyan tényezők, mint a Átlagos hálózati válaszidő, Az alkalmazás átlagos válaszideje, Teljes adatmennyiség, és Tranzakciók összes száma segítse a felhasználót, hogy lépést tartson a hálózat változásaival, amint azok élőben előfordulnak. Letölthető egy 30 napos ingyenes próbaverzió.

SolarWinds Network Performance MonitorTöltse le a 30 napos INGYENES próbaverziót

PCAP fájl elemzése: Támadások elkapása a hálózati forgalomban 

A csomagszippantás minden olyan szervezet számára kötelező, amely rendelkezik hálózattal. A PCAP-fájlok egyike azoknak az erőforrásoknak, amelyeket a hálózati rendszergazdák használhatnak mikroszkóp készítéséhez és a támadások felfedezéséhez. A csomagok elfogása nemcsak a támadások alapvető okainak eléréséhez vezet, hanem a lassú teljesítmény hibaelhárításához is..

A nyílt forráskódú csomagmegfogó eszközök, mint például a Wireshark és a tcpdump, a hálózati rendszergazdák számára eszközöket biztosítanak a rossz hálózati teljesítmény megtérítésére, vagyonköltségek nélkül. Számos szabadalmaztatott eszköz áll rendelkezésre a cégek számára, amelyek fejlettebb csomag-elemzési élményt akarnak.

A PCAP-fájlok segítségével a felhasználó bejelentkezhet egy csomag-szippantóba, amely forgalmi adatokat gyűjthet, és megnézheti, hol használják a hálózati erőforrásokat. A megfelelő szűrők használata sokkal könnyebbé teszi a fehér zaj és a legfontosabb adatok kiegyenlítésének kiküszöbölését.