Pakkefangst og -analyse er ekstremt nyttigt til at undersøge netværksinteraktioner og identificere ineffektive transmissioner samt farlige cybertrusler.
Packet Capture refererer til at opsnappe og indsamle en datapakke, når den bevæger sig over en netværksforbindelse. Datapakker registreres og inspiceres for at identificere og håndtere netværksproblemer som høj latenstid og fejl. Oplysningerne fra pakkeanalyse bruges til at hjælpe en netværksadministrator med at fejlfinde og rette netværksfejl på kortere tid.
Pakkeanalyse bruges til nogle af følgende opgaver.
- Opdagelse af sikkerhedsrisici
- Fejlfinding af DNS-problemer
- Identifikation og løsning af problemer med netværksforbindelse
- Registrerer netværksfejl
- Registrering og reparation af pakkelækage
- Malware detektion og forebyggelse
Det er muligt at fange hele datapakker eller bestemte segmenter af en pakke. En fuld datapakke består af to dele: en nyttelast og en header. Nyttelastsegmentet indeholder pakkens faktiske indhold, hvorimod headersegmentet indeholder information såsom pakkens kilde- og destinationsadresse.
Vi har opsummeret en liste over nogle få applikationer til at udføre Full Packet Capture og Analysis.
Lad os komme i gang.
Indholdsfortegnelse
Colasoft Capsa
Capsa er et bærbart netværksanalysator, overvågnings- og diagnoseværktøj i realtid til både kablede og trådløse netværk. Datapakkeinspektioner kan planlægges til at køre på et bestemt tidspunkt, såsom regelmæssigt eller månedligt. Regelmæssige scanninger sikrer, at du ikke går glip af eventuelle problemer med ydeevnen. Hvis du ender med at gå glip af noget, vil e-mail- og lydadvarsler give dig besked, hver gang en netværkssession kræver, at du deltager.
Capsa hjælper brugeren med at holde sig opdateret om sårbarheder og trusler, der kan resultere i en tjenesteafbrydelse. Alle kritiske VoIP (Voice over Internet Protocol) metrics, såsom opkaldscodec-type og hændelsesdistribution, spores godt ved hjælp af dette værktøj. Det er et fremragende værktøj for enkeltpersoner, der ønsker at deltage i pakkeinspektion og lære, hvordan man opdager netværksproblemer og forbedrer netværkssikkerheden.
Funktioner:
- Gratis indbyggede værktøjer til oprettelse og afspilning af pakker, samt scanning og ping af IP-adresser.
- Diagnostiserer netværksproblemer og anbefaler automatisk løsninger.
- Understøtter VoIP- og TCP-flowanalyse, som kan bruges til at diagnosticere netværksproblemer såsom langsom responstid og CRM-transaktioner (Customer Relationship Management).
- DDoS-angreb, ARP-angreb og TCP-portscanning kan detekteres, og det giver også brugeren mulighed for at få øje på de tekniske fejl i netværket.
- Dette værktøj understøtter over 1800 protokoller, hvilket gør det nemt at undersøge protokoller i et netværk og forstå, hvad der foregår.
- Den indsamler alle datapakker og viser fuld pakkesekvensinformation i Hex- og ASCII-format. (dybdegående pakkeafkodning)
- Netværkstrafik og gennemløbsinformation kan vises i grafformater.
Colasoft leverer andre værktøjer såsom Network Performance Analysis System (nChronos) og Unified Performance Management Solution (Colasoft UPM). Det giver en 30-dages gratis prøveperiode for at tjekke funktionerne, før du køber.
TCPDump
TCPDump er et open source og kraftfuldt kommandolinje-pakkeanalysatorværktøj, der fanger protokoller som TCP, UDP og ICMP (Internet Control Message Protocol). Dette værktøj kommer forudinstalleret på alle Unix-lignende operativsystemer. TCPDump udgives under BSD-licensen. Du kan nemt inspicere headerne på TCP/IP-pakker med tcpdump. Det udsender oplysningerne for hver datatransmission, og scriptet kører, indtil du afslutter det med Ctrl+C-indstillingen.
Tcpdump er meget enkel at sætte op, og hvis du lærer brugen af værktøjet, flagene og argumenterne, kan du bruge dette værktøj til at fejlfinde forbindelsesproblemer og sikre netværket. Optagede datapakker vil blive gemt i en fil til yderligere analyse med tcpdump. Det gemmer filen i PCAP-udvidelsesformat, som nemt kan inspiceres med tcpdump eller Wireshark, der læser PCAP (forkortelse af packet capture) formatfiler.
Funktioner:
- Det er muligt at filtrere de opsamlede datapakker efter kilde, destination og protokol.
- Gratis og open source
Her er en artikel om, hvordan man fanger og analyserer netværkstrafik med tcpdump.
Paessler PRTG
Et af de mest populære værktøjer til netværksovervågning og trafikanalyse er Paessler PRTG Network Monitor. Dette værktøj giver afgørende information om dit netværks infrastruktur og dets ydeevne.
Den er kompatibel med Windows. Det omfatter en række overvågningsmuligheder, herunder båndbreddeovervågning og trafikanalyse. En gratis version af Paessler PRTG er tilgængelig. For at rapportere netværkets ydeevnemålinger anvender den en kombination af en pakkesniffer, WMI og SNMP.
Funktioner:
- Fleksibel alarmering – PRTG har over ti designede teknologier, herunder SMS, push-meddelelser, e-mails, udløsende HTTP-anmodninger osv.
- Flere brugergrænseflader – bygget på AJAX med stærke sikkerhedskrav, højtydende, som kan tilskrives Single Page Application (SPA) teknologi,
- Cluster failover-løsning – At udgøre en let forhøjet overvågningsløsning.
- Kort og dashboards – Brug kort i realtid med aktuelle liveoplysninger til at visualisere netværket.
- Distribueret overvågning – Ved hjælp af bærbare interceptorer kan du overvåge adskillige netværk på forskellige steder og flere netværk i din organisation.
- Dybderapportering i form af tal, statistik og grafer
Dette værktøj understøtter en række advarselsmetoder, herunder SMS, e-mails og tredjepartsforbindelser til platforme som Slack. PRTG er tilgængelig i en ubegrænset version i 30 dage. Efter den gratis periode vil den vende tilbage til den gratis form.
Wireshark
Wireshark er en gratis og open source pakkeanalysator, der giver dig mulighed for at undersøge netværksdatatransmissioner i realtid. Dette værktøj gør det muligt for netværksadministratorer at undersøge netværket på et mikroskopisk niveau for at lokalisere kilden til trafikproblemer og fejl. Det er et fantastisk værktøj, der kræver en solid forståelse af netværkskoncepter.
Funktioner:
- Det fungerer praktisk talt med ethvert operativsystem, inklusive Windows, Linux-distributioner, Mac OS X osv.
- Opret rapporter baseret på aktuelle statistiske data.
- Filtrering af output kan udføres med en række muligheder, såsom timere og filtre.
- Visualiser netværkspakker med IO-grafer og diagrammer.
- Den kan også optage USB-trafik.
- Det tilbyder en bred vifte af anvendelser, herunder fingeraftryk af uautoriseret trafik, pakkefiltreringsindstillinger og så videre.
- Farvekodningsregler kan anvendes til at identificere trafiktyperne.
- Detaljeret VoIP (Voice over Internet Protocol) forskning.
Tabte datapakker, netværksforsinkelsesproblemer, applikationsafhængigheder og ineffektive vinduesstørrelser er de almindelige fejlfindingsudfordringer, som Wireshark kan hjælpe med. Dette værktøj giver dig mulighed for at overvåge netværkstrafik og giver mekanismer til at søge og lokalisere kilden til et problem.
Unicast-trafik (forbindelsesfri), der ikke sendes til netværkets MAC-adressegrænseflade, kan også overvåges med Wireshark-værktøjet.
Du er velkommen til at besøge denne artikel om fejlfinding af Network Latency med Wireshark.
Arkime
Arkime opererer i samarbejde med det eksisterende sikkerhedssystem for at indsamle og indeksere netværkstrafik og datatransmissioner i standard PCAP-format.
Alle optagede datapakker gemmes og eksporteres i almindeligt PCAP-format, så du kan bruge dine foretrukne PCAP-indtagelsesværktøjer, såsom Wireshark eller tcpdump i din analytiske proces.
PCAP-retention bestemmes af mængden af tilgængelig sensordiskplads, hvorimod API-retention bestemmes af størrelsen af Elasticsearch-klyngen. Begge disse parametre kan ændres til enhver tid.
Arkime er designet til at fungere på tværs af adskillige systemer og skalaer for at rumme snesevis af gigabit pr. sekund af trafik. Alle PCAP-formatfiler, der er gemt på Arkime-sensorerne, kan installeres og kan kun tilgås via Arkimes webgrænseflade eller API. PCAP-filer kan krypteres i hvile med Arkime.
Funktioner:
- Giver en brugervenlig webgrænseflade til at undersøge, finde og udpakke PCAP-filer.
- Gratis og open source
- Tillader andre PCAP-indtagelsesværktøjer at inspicere de gemte PCAP-filer.
PCAP-data og JSON-formaterede transaktionsdata kan hentes direkte gennem API’er. Se Arkimes komplette API-dokumentation her.
Konklusion
Analyse af pakkefangstdata kræver normalt et højt niveau af teknisk ekspertise, som kan opnås ved hjælp af disse værktøjer.
Jeg håber, du fandt denne artikel meget nyttig til at lære Full Packet Capture- og analyseværktøjer til små til store netværk.
Du kan også være interesseret i at lære om de bedste Wi-Fi Analyzer-softwareværktøjer.