Существует стереотип, что снифферами в основном пользуются хакеры. И многие опытные системные администраторы обходят стороной подобный инструментарий, хотя снифферы могут сильно облегчить их труд, а иногда и решить задачи, которые стандартными способами решить затруднительно.
Статья опубликована в журнале «IT Спец» №6, июнь 2008.
WireShark (ранее Ethereal)
Сайт: www.wireshark.org
Условия распространения: Freeware (GNU)
Один из наиболее развитых и удобных снифферов. Удобство заключается в наличии продуманного графического интерфейса и доступности версий для разных платформ: Windows, Linux и BSD. Функционал настолько обширен, что стоит один раз воспользоваться этой программой, она автоматически перейдет в разряд любимых.
Основные возможности
Просмотр всех проходящих через сетевой интерфейс пакетов. Перехват пакетов реализуются стандартным способом для пассивного сниффинга — переводом сетевого интерфейса в promiscuous mode. Анализатор протоколов — это, пожалуй, тот функционал, который выводит WireShark в лидеры среди аналогичного ПО. После поступления данных с сетевой карты WireShark анализирует полученные пакеты и выводит их содержимое в наглядном виде, что удобно для проведения дальнейших исследований.
WireShark выгодно использовать не только как эффективное средство перехвата трафика, но и как анализатор протоколов. Например, WireShark замечательно понимает файлы данных таких известных снифферов, как tcpdump, Sniffer Pro и др. Если есть сохраненные логи снифферов либо для перехвата трафика используется другой любимый инструментарий, то разбирать перехваченную информацию можно уже с помощью WireShark.
Список протоколов, которые WireShark в состоянии переварить: 802.11 MGT, 9P, ACN, ASP, DNS, DTLS, FTP, HTTP, GSM SMS, IMAP, IGAP и многие другие (полный список можно посмотреть на официальном сайте).
Количество поддерживаемых устройств, с которых могут быть считаны данные, также обширный: Ethernet, Token-Ring, FDDI, serial (PPP/SLIP), 802.11 wireless LAN и т. д.
В больших сетях происходит интенсивный обмен данными, поэтому при запуске сниффера логи растут быстро и дальнейший анализ затруднителен. Для решения этой проблемы в WireShark реализованы всевозможные фильтры. Фильтровать можно как по определенному протоколу, так и по отдельным полям его структуры. По завершению анализа можно сформировать сводные отчеты — графики, которые будут содержать итоговые данные.
Администраторы, которые занимаются обслуживанием VoIP-телефонии, по достоинству оценят возможность построения статистики разговоров. Статистику можно представить в виде графика, отфильтровать по определенному собеседнику и т. д.
Вердикт
WireShark — качественный и продуманный продукт, который придется по душе многим администраторам. Кроссплатформенность, наличие удобного графического интерфейса, бесплатность и умопомрачительная функциональность — ключевые элементы, ради которых стоит воспользоваться именно этой программой. К тому же используя WireShark, не нужно думать о подборе сниффера под ту или иную систему.
Network Protocol Analyzer
Сайт: www.softperfect.com
Условия распространения: Shareware
Профессиональный инструмент для захвата и анализа трафика. Программа сочетает в себе функциональность и простоту использования, которая понравится администраторам, security-специалистам и разработчикам сетевых решений.
Основные возможности
Захват трафика с сетевого интерфейса. Перехват трафика происходит за счет перевода сетевого интерфейса в смешанный режим, т. е. по сути используется пассивный сниффинг.
Имеется встроенный анализатор протоколов. Поддерживаются протоколы низкого (AH, ARP, ESP, ICMP, ICMPv6, IP, IPv6, IPX, LLC, MSG, REVARP, RIP, SAP, SER, SNAP, SPX, TCP, UDP) и высокого (http, ftp, telnet, pop, imap и т. д.) уровней.
Network Protocol Analyzer позволяет внести изменения в любой из захваченных пакетов и вновь их отправить. Эта возможность очень удобна при тестировании firewall, так как появляется возможность почувствовать себя в роли злоумышленника, попробовать создать «неправильные пакеты» и посмотреть реакцию брандмауэра.
Перехват трафика определенного приложения — эта возможность пригодится прежде всего программистам и security-специалистам. Первым — для отладки своих приложений, а вторым — для получения детальной информации об активности определенного приложения.
В программе реализовано несколько функций для визуального представления различных статистических данных. Вся информация отображаются либо на графиках, либо в сводных таблицах.
Вердикт
NPA подойдет администраторам, работающим с платформой Windows. В этом сниффере хорошо реализованы дополнительные функции вроде конструктора пакетов, перехват трафика определенного приложения и представление статистических данных. К минусам можно отнести малое количество протоколов, которые может разобрать анализатор, иногда встречающиеся «глюки» при продолжительном сниффинге, а оформление перехваченных данных менее наглядное, чем в том же WireShark.
CommView
Сайт: www.tamos.ru
Условия распространения: Shareware
Сниффер/анализатор протоколов от компании, специализирующейся на разработке сетевых анализаторов и программ для перехвата трафика.
Основные возможности
Перехват и анализ пакетов, проходящих через сетевой интерфейс. Любой пакет доступен для редактирования и повторной отправки. Для создания новых пакетов предусмотрен специальный конструктор. Особенность конструктора — наличие шаблонов для конструирования пакетов и удобного GUI.
Анализатор VoIP — эта функция позволяет перехватывать и анализировать различные данные VoIP (звонки, потоки, ошибки). Она незаменима для администраторов при развертывании и отладке IP-телефонии. Появляется возможность просматривать ошибки, возникающие в ходе совершения звонков, прослушивать звонки с целью оценки качества связи и т. д. В качестве сигнальных протоколов реализована поддержка наиболее популярных: SIP 2.0 и H.323.
Реконструкция TCP-сессий — функция, позволяющая проанализировать обмен данными между двумя хостами. Полученная в ходе анализа информация будет содержать все возникшие ошибки, задержки, фрагменты данных, попытки повторной отправки данных и т. д. CommView поддерживает подключение сторонних декодеров пакетов. На сайте можно найти примеры на C++ и Delphi. Необходимость в написании собственного декодера может возникнуть при отладке какого-нибудь нестандартного сетевого приложения. Как правило, в качестве подобных приложений выступают внутрикорпоративные разработки.
Для конечного анализа перехваченного трафика CommView позволяет сгенерировать подробный отчет, в который можно включить графики, диаграммы и т. д.
Вердикт
CommView заслуживает хорошей оценки и должен понравиться администраторам, которые ценят качество, но не любят копаться в большом количестве настроек программ типа WireShark. Особое внимание стоит обратить на возможность разбора (прослушивание) пакетов от VoIP — эта функция реализована на высоком уровне. Возможность формирования «красивых» отчетов пригодится для отчета перед начальством.
P.S.
У многих читателей может возникнуть вопрос, какая же все-таки программа лучше? Каждая хороша для решения определенной задачи. Для выявления фаворита, который будет отвечать именно вашим требованиям, рекомендуем скачать все представленные в обзоре программы и самостоятельно их протестировать на реальных задачах из вашей повседневной практики.
В обзор не вошли
HTTP AnalyzerFull (www.ieinspector.com) — сниффер, специализирующийся на перехвате заголовков HTTP протокола. В AnalyzerFull удобно анализировать заголовки http(s), cookies, отправляемую запросами POST и GET информацию, коды ответов web-сервера.
Etherscan Analyzer (www.etherscan.com) — многофункциональный сниффер. Имеет набор гибких фильтров, позволяющих выбирать из перехваченного трафика необходимые данные. Достаточно простой конструктор пакетов.
TCP Dump (www.microolap.com) — встроенный сниффер в дистрибутив любой UNIX-подобной системы. Удобный и быстрый, идеально подходит для быстрого захвата трафика. Не содержит «красивых» анализаторов. Все захваченные данные комфортнее смотреть через описанный WireShark.
Мнение экспертов
На вопросы редакции отвечали Зараза (автор проектов security.nnov.ru и 3proxy.ru) и Дмитрий (системный администратор крупной компании).
Какие снифферы вы рекомендуете?
Зараза: Для большинства целей годится WireShark. Среди преимуществ, конечно, бесплатность, наличие графического интерфейса и весьма глубокий анализ большого количества протоколов. В тех случаях, когда требуется активный перехват и декодирование данных, — Cain & Abel.
Дмитрий: Снифферов на данный момент написано великое множество, и какой использовать — целиком зависит от поставленной задачи. Универсальным является tcpdump, он встроен в любую UNIX-подобную систему, и есть версия для платформы win32.
Чем может быть полезен сниффер для профессионального администратора или security-специалиста?
Зараза: В настоящее время сети, как правило, строятся на коммутаторах, а не на хабах и перехватывать трафик от других машин может быть достаточно проблематично. Конечно, есть специализированные средства, например Cain & Abel, позволяющие перехватывать трафик путем ARP-спуфинга, но применяются они значительно реже, чем тот же WireShark или даже tcpdump. Я использую сниффер чаще всего для отладки сетевых приложений, в частности при разработке 3proxy. Часто сниффер служит для ответа на специфичные вопросы типа «кто генерирует большой трафик к такому-то серверу и что это за трафик». Но чаще в такой ситуации используются все-таки не снифферы, а средства анализа трафика от оборудования, например, основанные на Netflow. С помощью сниффера иногда приходится искать проблемы сетевой конфигурации, особенно в чужих сетях, когда они плохо документированы. И конечно, без сниффера просто невозможно обойтись в процессе обучения или самоподготовки — он позволяет «увидеть» сеть.
Дмитрий: Польза от сниффера в профессиональной деятельности админов и security-специалистов очевидна — это очень эффективный инструмент, который можно использовать для выяснения причин неполадок в работе и настройке любых сетевых сервисов, firewall. С его помощью определяются уязвимости сетевой инфраструктуры и детектируется нерегламентированный трафик в сети, создаваемый нерадивыми пользователями или их софтом.
Как обнаружить активный сниффер?
Зараза: Стопроцентно надежного способа обнаружения работающего сниффера нет, это можно сделать только по некоторым косвенным признакам: увеличение времени отклика на ping, DNS-запросы по IP-адресам пролетающих пакетов, иногда ответы на «чужие» пакеты, ARP-спуфинг. Если сниффер работает лишь на прослушку, обнаружить его невозможно. Защита от снифферов — это в первую очередь правильный выбор топологии сети, защита от ARP-спуфинга, физическая защита сети и компьютеров и минимизация привилегий пользователя (для сниффинга всегда требуются высокие привилегии).
Дмитрий: Классическим способом определения потенциального сниффера, действующего на конкретном узле, является выявление сетевых интерфейсов, работающих в promiscuous mode, когда интерфейс захватывает любые пакеты. Нельзя также забывать, что лучше предотвращать предпосылки для возможности установки сниффера. Одним из действенных способов является полный запрет на запуск и установку пользователями нерегламентированного ПО.
Каким образом можно защитить беспроводные сети от «ушей» снифферов?
Зараза: Я бы не сказал, что в правильно настроенной беспроводной сети трафик тривиально перехватывается. При правильной настройке точки доступа и, что немаловажно, клиентских устройств трафик будет шифроваться. Естественно, рекомендуется использовать сертификаты или генерировать разные ключи для разных клиентов (в небольших/домашних сетях), если это поддерживает точка доступа. Не могу не прорекламировать по этому поводу книгу Сергея Гордейчика «Безопасность беспроводных сетей».
Дмитрий: Защита беспроводных сетей эффективно осуществляется при помощи протоколов шифрования трафика, таких как WPA/WPA2 (из бесплатных).
В каких случаях эффективнее не программные, а аппаратные снифферы?
Зараза: Аппаратные снифферы (сетевые анализаторы) очень полезны, когда необходимо найти проблему, особенно низкого уровня, на большой сети, например для обнаружения «петли» в Ethernet-коммутаторах. Такой сниффер фактически является специализированным ноутбуком, имеет встроенный оптимизированный сетевой адаптер и встроенный хаб, чтобы можно было «прогнать» трафик через анализатор, и, конечно, специальный софт. С учетом того, что стоят такие аппараты весьма недешево, используются они, как правило, на сложных корпоративных сетях и в телекоммуникационных компаниях.
Дмитрий: Аппаратные снифферы обычно применяются для обеспечения безопасности периметра сети. Их преимуществом является более высокое быстродействие, так как подобная система специализированна и не выполняет никаких других задач; как правило, это коммерческие системы и имеют весьма развитые возможности управления и настройки.
Сканы статьи
