Monitorování dění ve vaší síti už není jen záležitostí velkých korporací nebo nadšenců do kybernetické bezpečnosti. Dnes každý, kdo spravuje systémy, má malou infrastrukturu nebo si prostě chce lépe chránit svůj domov či kancelář, může a měl by pravidelně auditovat zabezpečení své sítě , aby odhalil zranitelnosti dříve, než je udělají útočníci.
V tomto článku krok za krokem a velmi podrobně uvidíte, jak prakticky zkombinovat Nmap a Wireshark pro audit vaší sítě : od skenování portů a služeb až po zachycení a analýzu provozu, včetně reálných příkladů s Telnetem, SSH, HTTP a HTTPS, různých typů skenování Nmapem a mnoha právních a technických opatření, abyste se vyhnuli problémům.
Co je Nmap a co je Wireshark (a proč se používají společně)?
Než začnete šíleně používat příkazy, je dobré pochopit, co jednotlivé nástroje dělají a proč je jejich kombinace tak účinná pro audit zabezpečení sítě.
Nmap: Skener sítě a portů
Nmap (Network Mapper) je nástroj s otevřeným zdrojovým kódem, který se obvykle spouští z příkazového řádku a umožňuje vyhledávat hostitele, otevřené porty a aktivní služby v síti . Je k dispozici pro Windows, GNU/Linux, macOS a další platformy a má také grafické rozhraní s názvem Zenmap.
Jeho základní funkce spočívá v odesílání speciálně navržených paketů na řadu IP adres a analýze odpovědí. To mu umožňuje určit:
- Které stroje jsou zapnuté v segmentu sítě (ping sweep).
- Které TCP/UDP porty jsou otevřené? na konkrétním hostiteli.
- Jaké služby a verze jsou s těmito porty spojeny (například Apache 2.x, OpenSSH, MySQL atd.).
- Jaký je přibližný operační systém? provede týmovou operaci s využitím technik otisků prstů v TCP/IP stacku.
Pro auditora jsou tyto informace ryzím zlatem, protože mu umožňují měřit „povrch útoku“ vystavený jednotlivým zařízením . A ze stejného důvodu je útočníci používají i během fáze průzkumu, takže je lepší vědět, co je ve vaší síti otevřené, dříve než oni.
Wireshark: analyzátor provozu a protokolů
Wireshark je bezplatný a široce používaný analyzátor paketů, určený k zachycení a analýze síťového provozu v reálném čase nebo z uložených souborů (pcap, pcapng, tcpdump/libpcap a mnoho dalších formátů).
Umožňuje vám kontrolovat stovky různých protokolů na různých vrstvách (fyzické, linkové, síťové, transportní a aplikační): Ethernet, Wi-Fi (IEEE 802.11), PPP, Frame Relay, FDDI, IP, TCP, UDP, ICMP, HTTP, DNS, TLS, IPsec, Kerberos, SNMPv3, VoIP, Bluetooth, USB a mnoho dalších.
Mezi jeho nejužitečnější funkce pro bezpečnostní audit patří:
- Snímání v reálném čase ve fyzických i virtuálních rozhraních s možností promiskuitního režimu.
- Vysoce pokročilé filtry pro snímání a zobrazení ponechat si jen to, co vás zajímá.
- Podrobná vícevrstvá analýza balíčku, se specifickými poli a hodnotami pro každý protokol.
- Statistiky a grafy zobrazit dopravní vzorce, špičky, proudy atd.
- Dešifrovací schopnost určitých protokolů pokud máte klíče (TLS/SSL, IPsec, WEP, WPA/WPA2, Kerberos, SNMPv3…).
Wireshark lze ovládat pomocí grafického rozhraní nebo konzole pomocí TSharku, což usnadňuje automatizaci analýzy nebo práci přes SSH na vzdálených počítačích bez grafického prostředí.
Proč je kombinovat k auditu zabezpečení sítě
Nmap a Wireshark se skvěle doplňují: s Nmapem mapujete a vypíšete cíle (co se tam nachází, kde a v jakém stavu) a s Wiresharkem pomocí lupy sledujete, jak tyto služby komunikují a zda informace putují v otevřené nebo šifrované podobě, zda dochází k pokusům o hrubou sílu, anomálním vzorcům atd.
Typický pracovní postup při auditu s využitím těchto nástrojů je obvykle následující:
- S Nmapem, Zjistíte, která zařízení jsou aktivní a které porty/služby zpřístupňují..
- Ohledně těchto služeb, testovací připojení (Telnet, SSH, web, pošta, FTP atd.).
- Mezitím, v jiném týmu nebo ve stejném, Wireshark zachycuje provoz analyzovat, co se skutečně vidí „na kabelové televizi“.
- Na základě toho, co bylo pozorováno, Identifikujete nešifrované služby, nezabezpečené protokoly a zbytečné otevřené porty. a možné vektory útoku.
Základní instalace a doporučené testovací prostředí
Pro bezpečné procvičování bez rizika ohrožení vaší produkční sítě se důrazně doporučuje zřídit si malou laboratoř s virtuálními počítači . VirtualBox je pro to bezplatná a dostačující možnost.
Klasický praktický scénář využívá tři počítače s GNU/Linuxem v privátní síti:
- interní1 (například 192.168.100.11): klient, který navazuje připojení.
- interní2 (192.168.100.22): server s několika aktivními službami (web, SSH, Telnet, FTP, pošta, MySQL…).
- pozorovatele (192.168.100.33): počítač, ze kterého se spouští Nmap a Wireshark.
Mnoho šablon pro výuku již zahrnuje služby běžící na serverech ve výchozím nastavení, jako například Apache, Telnet, SSH, FTP, finger, MySQL, SMTP, POP3 a IMAP . Pokud laboratoř nastavujete od nuly, zkuste tyto služby replikovat, aby byl audit efektivnější.
Na systémech založených na Debianu nebo jeho derivátech je instalace nástrojů obvykle tak jednoduchá, jako:
- Nmap:
sudo apt install nmap - Wireshark:
sudo apt install wireshark(a přidejte svého uživatele do skupiny)wireshark(pokud chcete nahrávat bez nutnosti rootnutí)
Ve Windows a macOS si můžete stáhnout instalační programy z oficiálních webových stránek nmap.org a wireshark.org . Nezapomeňte, že ve Windows Wireshark instaluje Npcap, aby přepnul síťovou kartu do promiskuitního režimu a zachytil veškerý provoz.
Auditní služby s Wiresharkem: průhledný vs. šifrovaný provoz
Klíčovou součástí auditu zabezpečení vaší sítě je kontrola, které protokoly odesílají data v prostém textu a které jsou šifrované. To přímo ovlivňuje hesla, e-maily, webové formuláře, databázové dotazy a další.
Zachycení nezabezpečené relace Telnet
Telnet je perfektním příkladem toho, co byste již neměli používat. Je to protokol pro vzdálený přístup, který odesílá uživatelská jména a hesla v nešifrované podobě . Pro ukázku v praxi:
- En pozorovateleSpusťte Wireshark, vyberte správné rozhraní (například
enp0s3) a klikněte na Home k zahájení snímání. - En interní1, otevírá relaci Telnet pro interní2:
telnet 192.168.100.22 - Zadejte uživatelské jméno a heslo a poté spusťte jednoduchý příkaz (
ls -l(například) a odhlásí se pomocíexit. - Vraťte se do Wiresharku a zastavte snímání tlačítkem Stop.
Pokud použijete filtr zobrazení, například telnet nebo se řídíte tok TCP s Sledování TCP streamu Pokud jde o první paket směřující na port 23, uvidíte, že Veškerý dialog, včetně uživatelského jména a hesla, je snadno čitelnýNa sdílené síti je to dárek pro každého, kdo čichá.
Porovnejte s relací SSH
SSH byl vytvořen právě proto, aby nahradil Telnet a další nezabezpečené protokoly. Používá silné end-to-end šifrování , takže i když někdo zachytí provoz, nemůže si bez klíče zobrazit obsah.
Zopakujte předchozí experiment, ale nyní s použitím SSH:
- En pozorovatele, spustí nový záznam ve Wiresharku.
- En interní1připojení přes SSH k interní2:
ssh [email protected] - Zadejte heslo, vypiste si soubory, trochu si je projděte a ukončete.
exit.
Zpět ve Wiresharku, filtrovat podle ssh nebo podle portu (obvykle 22). Pakety uvidíte, ale Obsah relace je nečitelnýUvidíte pouze šifrovaná binární data. Můžete sledovat TCP stream, pokud chcete, ale stále to bude nečitelný blok bajtů, pokud nemáte správné klíče.
Tento příklad jasně ukazuje, že z bezpečnostního hlediska je Telnet nepřijatelný a v jakémkoli seriózním prostředí by měl být nahrazen SSH .
Analyzujte prostý HTTP z prohlížeče
Dalším velmi ilustrativním testem je zjistit, co se stane s nešifrovaným webovým provozem. Pokud interno2 naslouchá serveru Apache na portu 80, můžete provést následující:
- En interní2Ujistěte se, že Apache běží:
service apache2 restartv případě potřeby. - En pozorovateleWireshark se spustí a začne zachytávat data na síťovém rozhraní.
- En interní1Otevřete prohlížeč (například Midori) a přejděte na http://192.168.100.22.
Při prohlížení snímku s filtrem httpUvidíte požadavky GET/POST, hlavičky HTTP, soubory cookie, parametry formuláře atd. Pokud má web přihlašovací formulář bez HTTPS, Přihlašovací údaje budou také odeslány v prostém textu..
Povolte HTTPS (SSL/TLS) a zopakujte test
Chcete-li vidět rozdíl u šifrovaného provozu, můžete povolit SSL/TLS v Apache na interním počítači 2 pomocí certifikátu s vlastním podpisem pro testování:
- Vytvořte složku pro certifikát a vygenerujte certifikát s vlastním podpisem:
mkdir /etc/apache2/ssl/
make-ssl-cert /usr/share/ssl-cert/ssleay.cnf /etc/apache2/ssl/apache.pem - Edita
/etc/apache2/sites-available/default-ssl.confaby odkazovalo na certifikát a klíč:
SSLEngine on
SSLCertificateFile /etc/apache2/ssl/apache.pem
SSLCertificateKeyFile /etc/apache2/ssl/apache.pem - Ujistěte se, že v
/etc/apache2/ports.confje to zahrnuto Poslouchejte 443. - Povolte modul SSL a výchozí web SSL:
a2enmod ssl
a2ensite default-ssl
service apache2 restart
Nyní v observeru spusťte nový záznam certifikátu ve Wiresharku a v interno1 otevřete prohlížeč s odkazem na https://interno2.ssi.net (nebo IP adresu s https). Prohlížeč vás upozorní, že certifikát je podepsán nedůvěryhodnou CA; pro pokračování akceptujte výjimku.
Pokud ve Wiresharku filtrujete podle ssl proč tcp.port == 443uvidíte TLS handshake, vyjednávání klíčů a poté šifrovaný provozZde, i když někdo pakety zachytí, nebude moci jejich obsah vidět bez soukromého klíče serveru (a v závislosti na konfiguraci ani s ním).
Tato praktická ukázka jasně ilustruje rozdíl mezi prostým HTTP a šifrovaným HTTPS . V každém seriózním auditu síťové bezpečnosti je jedním z prvních kroků identifikace webových služeb, které stále používají pouze HTTP, a vynucení používání HTTPS.
Audit Nmap: výčet hostitelů, portů a služeb
Jakmile pochopíte, co je viditelné „přes kabel“, musíte vědět, jaké zařízení je viditelné a co nabízí okolnímu světu . A zde přichází na řadu Nmap.
Vyhledávání aktivních zařízení v síti (ping sweep)
Z počítače pozorovatele můžete spustit rychlé skenování celého segmentu lokální sítě a zjistit, které IP adresy odpovídají :
nmap -sP 192.168.100.0/24Tento příkaz odesílá požadavky ping na každou adresu v rozsahu a informuje vás, kteří hostitelé se zdají být aktivní. Je to první krok k získání představy o velikosti sítě a o tom, která zařízení jsou zapnutá.
Skenování TCP připojení (-sT): kompletní, ale s velkým šumem
Jakmile identifikujete počítače, které vás zajímají, můžete pomocí skenování TCP připojení zjistit, které porty jsou otevřené:
nmap -sT -v 192.168.100.11S možností -sTNmap provádí třícestné plné TCP navazování spojení (handshake) (SYN, SYN/ACK, ACK) s každým cílovým portem. Pokud je připojení úspěšné, port je označen jako otevřený; pokud obdrží RST, je označen jako uzavřený.
Tento typ skenování je velmi spolehlivý, ale Zanechává to jasnou stopu v systémových protokolech.Protože z pohledu serveru se jedná o normální připojení. Pokud se přihlásíte interní1 o interní2 soubory protokolu (například) /var/log/syslog nebo protokoly služeb jako Telnet), uvidíte položky odpovídající těmto připojením.
K tomuto skenování můžete přidat další inteligenci pomocí možností, jako například:
- -O pokusit se identifikovat operační systém hostitele.
- -sV k detekci konkrétních verzí služeb, které reagují.
Například:
nmap -sT -O -sV 192.168.100.11Získáte tak seznam portů, služeb, verzí a odhad platformy , což je nezbytné pro rychlé posouzení možných známých zranitelností ve veřejných databázích.
„Tišnější“ skenování: SYN skenování (-sS) a NULL skenování (-sN)
V prostředích, kde se obáváte zanechání zjevné stopy, nabízí Nmap techniky, které se snaží omezit stopy v aplikačních protokolech , ačkoli v dnešní době je mnoho firewallů a systémů IDS již detekuje.
SYN sken (-sS)
SYN Scan odesílá pouze první krok handshake (SYN paket). Pokud server odpoví SYN/ACK, Nmap označí port jako otevřený, ale spojení uzavře odesláním RST namísto dokončení handshake pomocí ACK.
Z pohledu některých aplikací se to nepovažuje za kompletní připojení, takže může generovat méně protokolů na úrovni služeb , ačkoli operační systém a firewall tyto pokusy obvykle zaznamenávají.
Příklad použití:
nmap -sS 192.168.100.11Pokud máte na interno1 nakonfigurovaný iptables pro protokolování nových SYN paketů, uvidíte, jak se pakety SYN Scan zobrazují také v /var/log/syslog , ale trasování se poněkud liší od connect scan.
NULL sken (-sN)
NULL Scan používá TCP pakety se všemi příznaky nastavenými na nulu . Spoléhá na chování definované v některých RFC, aby se pokusil odvodit, zda je port otevřený nebo filtrovaný na základě odpovědi (nebo její absence).
Spouští se to takto:
nmap -sN 192.168.100.11Tento typ skenování je neobvyklejší a může být užitečný ve velmi specifických situacích, ale není tak spolehlivý jako předchozí a mnoho moderních systémů jej bez problémů detekuje a blokuje . I tak je zajímavé vidět ho v laboratoři a studovat, co se zaznamenává v protokolech.
Použití firewallů a protokolů k analýze dopadu skenování
Abyste jasně viděli, co se děje při skenování, můžete nakonfigurovat pravidlo iptables na interno1 , které zaznamenává pokusy o připojení TCP s příznakem SYN na síťovém rozhraní:
iptables -A INPUT -i enp0s3 -p tcp --tcp-flags SYN SYN -m state --state NEW -j LOG --log-prefix "Inicio conex:"Pak na stejném počítači sledujte systémový protokol:
tail -f /var/log/syslogZatímco startujete z pozorovatele různé typy skenování (-sT, -sS, -sN), uvidíte, jak Každá technika generuje odlišné vzory paketů a záznamů.To vám pomůže lépe pochopit, co správce vidí, když obdrží skenovaný soubor, a jak může tento provoz detekovat nebo blokovat.
Wireshark pro reakci na incidenty a detekci útoků
Wireshark není užitečný jen pro „špiónování“ protokolů, ale je také velmi účinný v reakci na incidenty a detekci anomálního chování , zejména v souvislosti s kritickými službami, jako je SSH.
Vyplňování přihlašovacích údajů a útoky hrubou silou přes SSH
SSH je obvykle přístupný internetu, aby umožňoval vzdálenou správu. Díky tomu je ideálním cílem pro útoky hrubou silou a hromadné testování odcizených přihlašovacích údajů (credentials stuffing).
Přestože je obsah SSH relace šifrovaný, můžete pomocí Wiresharku hodně odvodit analýzou:
- Doba trvání tokuÚspěšné sezení obvykle trvají déle než neúspěšné pokusy.
- Velikost baleníOdpovědi na neúspěšná ověření jsou obvykle kratší a standardizovanější než provoz generovaný v interaktivní relaci.
- Čas mezi paketyAutomatizované skriptované útoky spouštějí pokusy ve velmi rychlých dávkách v pravidelných intervalech, zatímco lidské relace mají nepravidelnější vzorce.
- Počet pokusů ze stejné IP adresyNeobvyklý objem pokusů v krátkém čase z jedné externí adresy je známkou možného útoku.
Kombinací těchto indikátorů, a to i bez zobrazení obsahu, můžete detekovat vzorce útoků SSH a podniknout kroky: blokovat firewall, posílit zásady pro hesla, povolit ověřování veřejným klíčem, omezit zdrojové IP adresy atd.
Skenování a zneužívání vzdáleného přístupu
S nástupem internetu věcí a chytrých zařízení se mnoho zařízení dodává z výroby s povoleným SSH a výchozími přihlašovacími údaji . Pokud je kterékoli z těchto zařízení vystaveno internetu nebo dokonce špatně kontrolované interní síti, může se stát potenciálním vstupním bodem.
Pomocí Wiresharku můžete filtrováním interního SSH provozu analyzovat:
- Kdo iniciuje SSH připojení ke kterým cílům?.
- Pokud existují interní stroje fungující jako pivotpřipojování k zařízením, ke kterým normálně nemají přístup.
- Anomální objemy SSH provozu z jednoho stroje.
To pomáhá detekovat situace, kdy například útočník napadl počítač a používá ho k bočnímu pohybu po síti pomocí SSH.
Pokročilé funkce a možnosti přizpůsobení Wiresharku
Pro hlubší audity je velmi užitečné zvládnout přizpůsobení Wiresharku a porozumět jeho pokročilým možnostem.
Filtry, profily a sloupce
Wireshark vám umožňuje upravit téměř vše podle vašich představ, abyste si usnadnili analýzu:
- Filtry zobrazeníSložité filtry můžete vytvářet kombinací polí (například
ip.src == 192.168.100.11 && tcp.port == 22) a uložte je. - Konfigurační profilyRůzná barevná schémata, sloupce, filtry a předvolby lze uložit jako profily pro přepínání mezi „pracovními režimy“ v závislosti na typu auditu.
- Vlastní sloupceMůžete přidávat nebo odebírat sloupce (například zobrazit pole Název hostitele TLS SNI, TTL, délka paketu atd.) pro zobrazení relevantních informací na první pohled.
S trochou péče získáte rozhraní přizpůsobené přesně tomu, co potřebujete v každém auditním projektu vidět , což vám ušetří spoustu času.
Skripty, pluginy a automatizace
Wireshark podporuje rozšíření prostřednictvím skriptů Lua a Python , což umožňuje:
- Automatizujte opakované analýzy (detekce určitých vzorů, extrakce polí atd.).
- Vytvořte nové analyzátory protokolů neobvyklé nebo interní pro vaši organizaci.
- Přidejte si vlastní funkce pro vaše pracovní postupy.
Navíc prací se soubory pcap kompatibilními s dalšími nástroji (tcpdump, CloudShark atd.) můžete Wireshark integrovat do širších monitorovacích a analytických procesů.
Legalita, rizika a osvědčené postupy při auditu vaší sítě
Všechno, co jste dosud viděli, je technicky možné , ale ne všechno je v každém kontextu legální. Je nezbytné, abyste pochopili právní a etické důsledky používání Nmap, Wireshark a podobných nástrojů.
Je legální používat Nmap a Wireshark?
Samotné nástroje jsou naprosto legální. Trestným činem může být to, co uděláte s informacemi, které získáte . Ve Španělsku (a ve většině zemí) lze zachycování provozu nebo přístup k informacím někoho jiného bez jeho souhlasu považovat za trestný čin odhalování a vyzrazování tajemství.
Proto, abyste se vyhnuli rizikům:
- Omezte se na své vlastní sítě a systémy nebo pro ty, k nimž máte výslovné písemné povolení.
- Nezachytávat provoz z otevřených sítí Wi-Fi ani od třetích stran bez jejich svolení.
- Nesdílejte ani znovu nepoužívejte citlivé informace získané během auditu (hesla, osobní údaje, e-maily atd.).
I když je váš úmysl dobrý, prokázat ho později u soudu není triviální, takže nejmoudřejší je vždy jednat v rámci formálních autorizačních rámců (např. smluv o penetrackingu, schválených interních zásad atd.).
Technická opatření při používání Wiresharku
Při zachycování provozu pomocí Wiresharku je také vhodné dodržovat určité osvědčené postupy, abyste se vyhnuli riziku poškození nebo přetížení systémů :
- Respektujte soukromíPoužívejte vhodné filtry, abyste se vyhnuli zachycení nebo zobrazení polí, která nepotřebujete (např. osobní e-maily v podnikové síti), pokud to není nezbytně nutné pro rozsah auditu.
- Segmentace sítě Kdykoli je to možné, omezte objem zachyceného provozu na to, co je relevantní, a snižte dopad na výkon.
- Řízení doby snímáníVelmi dlouhé nahrávky s velkým provozem mohou spotřebovávat hodně paměti RAM a CPU a zpomalovat počítač.
- Ochrana souborů pcap které si uchováváte, protože obsahují citlivé informace; zacházejte s nimi jako s důvěrnými dokumenty.
Další nástroje, které doplňují Nmap a Wireshark
V mnoha auditech síťové bezpečnosti má smysl kombinovat Nmap a Wireshark s dalšími bezplatnými nástroji , které dále rozšiřují vaše možnosti analýzy a penetračního testování.
- tcpdump / WinDumpVerze pro příkazový řádek pro zachycení paketů, velmi užitečné na serverech bez grafického prostředí nebo pro automatizaci úloh. Vygenerované soubory lze poté otevřít pomocí Wiresharku.
- Aircrack-ng: sada zaměřená na audit Wi-Fi sítí (zachycení, vkládání dat, analýza provozu a prolomení klíčů WEP/WPA/WPA2).
- Kali Linux: Distribuce GNU/Linuxu orientovaná na bezpečnost a penetrační testování, která sdružuje desítky nástrojů (včetně Nmap, Wireshark, Aircrack-ng, skenerů zranitelností, webových nástrojů atd.).
- CloudShark, SmartSniff, ColaSoft Capsa, EtherApe: alternativní nebo doplňková řešení pro analýzu zachycených snímků, některá s webovým nebo vizuálnějším zaměřením.
I na mobilních zařízeních existují omezené možnosti pro zachycení provozu (tPacketCapture, Packet Capture nebo Shark pro Root na Androidu a aplikace jako Network Analyzer nebo HTTPCatcher na iOS), ačkoli pro seriózní audity je stále nejvíce doporučován počítač.
Kombinací všech výše uvedených prvků se Nmap jako skener a Wireshark jako analyzátor protokolů stávají téměř nepostradatelným párem pro jakýkoli síťový audit, od akademických cvičení s virtuálními počítači až po analýzy ve složitějších firemních prostředích. Díky promyšlené metodologii vám umožňují odhalit přeexponované služby, nešifrovanou komunikaci, vzorce útoků a strukturální slabiny, které můžete napravit dříve, než je objeví někdo se zlým úmyslem. Sdílejte tyto informace, aby se o tomto tématu dozvědělo více lidí.