Сетевая криминалистика

ВОПРОСЫ ЗАНЯТИЯ
Основы мониторинга сетевой активности.
Криминалистический анализ сетевого трафика.
Domain Name System

Криминалистика

Digital evidence

Processing

Analysis

План

Основы мониторинга сетевой активности

Общая картина

Артефакты

Типы цифровых улик

Digital Evidence Types

Non-Volatile
(Энергонезависимые)

Volatile
(Энергозависимые)

Журналы

Сетевой трафик

Источники криминалистических улик

Сетевой трафик
Сбор на уровне хоста
Сбор с сетевых устройств в

Захват сетевого трафика

Захват сетевого трафика

На периметре

Сетевое оборудование ЛВС

На уровне хоста

Захват трафика c хоста

Гибкость настройки
Фильтрация трафика

Утилиты для захвата трафика

Cross-platform (wireshark, tshark)
*nix (tcpdump)
Windows (netsh)

Утилиты для захвата трафика

Wireshark

Tshark

Утилиты для захвата трафика

Tcpdump

Netsh

Фильтрация пакетов

Примитивы и логические операции

Общее: ip, tcp, udp, icmp, host, ether,

Захват с фильтрацией пакетов

Захват трафика

Захват трафика

Захват дампа трафика на исследование

Удаленный захват трафика с хоста

Удаленный захват трафика

Удаленный захват трафика

Захват с ЛВС

Прозрачность для хоста
Общая картина внутри сети (IDS/IPS позволяет собирать

Захват на периметре

Резюме

Не использовать DNS-lookup для каждого IP адреса
Записывать все байты пакета (snapshot

Криминалистический анализ сетевого трафика

Что искать?

Как искать?

На чем концентрироваться?

Арсенал

Арсенал

Domain Name System (DNS)

Domain Name System

Domain Name System

DNS типы записей

DNS common
A, AAAA, ALIAS, CNAME, MX, NS, PTR, SOA,

DNS типы записей

DNS common
A, AAAA, ALIAS, CNAME, MX, NS, PTR, SOA,

DNS практика

Посмотрим как в Wireshark можно исследовать DNS активность

ПО: Wireshark
Файл: task1.pcap

Создание фильтра

Все резолвы IPv4

Авторитетные ответы от DNS-серверов

Резюме

Ответы на DNS запросы с IP адресами веб-ресурсов (в т.ч. Проверка

Hypertext transfer protocol (HTTP)

HTTP

Методы запроса
Основные: GET, POST
Опциональные: OPTIONS, PUT, DELETE, HEAD, TRACE, CONNECT

Строка запроса
В

HTTP

Cookie: индекс обращения уникальным пользовательским данным, собираемым на стороне веб-сервера (веб-приложения)
Accept:

HTTP. Пример запроса

HTTP. Коды ответа (response codes)

HTTP. Коды ошибок

500

502

503

HTTP практика

Посмотрим как в Wireshark можно исследовать HTTP активность

ПО: Wireshark
Файл: task1.pcap

Просмотр всех HTTP пакетов

Просмотр всех HTTP запросов

HTTP запросы на определенный IP адрес

Экспорт объектов переданных по HTTP

Резюме

Пользовательская активность в ходе веб-браузинга (веб-контент, скачиваемые файлы)
Взаимодействие по REST API
Взаимодействие

Полезные фичи (1)

Полезные фичи (2)