Forhindre hackere med netværksanalysatorer - dummies

En netværksanalysator er et værktøj, der gør det muligt at se på et netværk og forhindre hack ved at analysere data går over ledningen til netværksoptimering, sikkerhed og / eller fejlfinding. En netværksanalysator er praktisk til sniffing pakker på ledningen. Det virker ved at placere netværkskortet i promiskuøs tilstand, , som gør det muligt for kortet at se al trafik på netværket.

Optager al netværkstrafik

Fortolker eller dekoder hvad der findes i et læseligt format.
Viser indholdet i kronologisk rækkefølge > Når du vurderer sikkerhed og responderer på sikkerhedshændelser, kan en netværksanalysator hjælpe dig

Udvikle en basislinje for netværksaktivitet og ydeevne, som f.eks. Protokoller i brug, brugstendenser og MAC-adresser, inden der opstår en sikkerhedshændelse.

Når dit netværk opfører sig uretmæssigt, kan en netværksanalysator hjælpe dig
Spor og isoler ondsindet netbrug

Registrér ondsindede trojanske hesteapplikationer

Overvåg og spor DoS-angreb
Netværksanalysatorprogrammer
Du kan bruge et af følgende programmer til netværksanalyse:

WildPackets 'OmniPeek

Det gør alt hvad du behøver og mere og er meget nemt at bruge. OmniPeek er tilgængelig til Windows operativsystemer.

TamoSoft's CommView er et billigt, Windows-baseret alternativ.
Cain & Abel er et gratis multifunktionelt adgangskode opsving værktøj til at udføre ARP forgiftning, indfangning pakker, cracking adgangskoder og mere.
Wireshark , tidligere kendt som Ethereal, er et gratis alternativ. Det er ikke så brugervenligt som de fleste af de kommercielle produkter, men det er meget kraftfuldt, hvis du er villig til at lære sine ins og outs. Wireshark er tilgængelig til både Windows og OS X.
eftercap er et andet kraftigt værktøj til udførelse af netværksanalyse og meget mere på Windows, Linux og andre operativsystemer.
Her er et par forbehold for at bruge en netværksanalysator: For at fange al trafik skal du forbinde analysatoren til et af følgende:

Et nav på netværket

En monitor / spænding / spejl port på en switch
- En switch, du har udført et ARP-forgiftningsangreb på
- Hvis du vil se trafik, som ligner en netværksbaseret IPS, skal du forbinde netværksanalysatoren til en hub eller skifte skærm port på ydersiden af brandvejen. På denne måde giver testen dig mulighed for at se
- Hvad der kommer ind i dit netværk
før
- firewallfiltrene eliminerer junk-trafikken. Hvad forlader dit netværk efter
- trafikken passerer gennem firewallen. Det kan være en overvældende mængde oplysninger, men du kan se efter disse problemer først: Udemærket trafik,

som:

En usædvanlig mængde ICMP-pakker Overdreven mængde multicast eller udsendelsestrafik
- Protokoller, der ikke er tilladt i henhold til politikken, eller som ikke findes, gives din nuværende netværkskonfiguration
- Brugsvaner,
- , som kan hjælpe med at påpege ondsindet opførsel af en skurkindvendig insider eller et system, der er blevet kompromitteret, såsom:
Websurfing og sociale medier E-mail
- Instant messaging og anden P2P-software
- Tvivlsom brug,
- som:
Mange tabte eller overdimensionerede pakker, der indikerer hacking værktøjer eller malware er til stede Forbrug af højbåndsbredde, der kan pege på en web- eller FTP-server, der ikke hører til
- Reconnaissance-sonder og systemprofilering fra portscannere og sårbarhedsvurderingsværktøjer,
- som en betydelig mængde indgående trafik fra ukendte værter - især over havne, der ikke bruges meget, s uch som FTP eller telnet.
Hacking i gang, såsom tonsvis af indgående UDP- eller ICMP-ekko-anmodninger, SYN-oversvømmelser eller overdrevne udsendelser.
Ikke-standardiserede værtsnavne på dit netværk. For eksempel, hvis dine systemer hedder Computer1, Computer2 osv., Skal en computer ved navn GEEKz4evUR hæve et rødt flag.
Skjulte servere der kan spise netværksbåndbredde, vise ulovlig software eller få adgang til vores netværksværter.
Angreb på specifikke applikationer , der viser sådanne kommandoer som / bin / rm, / bin / ls, echo og cmd. exe samt SQL forespørgsler og JavaScript indsprøjtning.
Hvis din netværksanalysator tillader det, skal du konfigurere den til at bruge en først-i, først-ud-buffer. Hvis din netværksanalysator tillader det, skal du registrere all trafik i en capture-fil og gemme den på harddisken.
Dette er det ideelle scenario - især hvis du har en stor harddisk, som f.eks. 500 GB eller mere.
Når netværkstrafik ikke ser rigtigt ud i en netværksanalysator, er det sikkert ikke. Det er bedre at være sikkert end undskyld.
Du kan tjekke for, at top talkers

er på netværket. Hvis nogen gør noget ondskabsfuldt på netværket, som f.eks. Hosting af en FTP-server eller kører Internet-fildelingssoftware, er det ofte den eneste måde, du kan finde ud af, at bruge en netværksanalysator. En netværksanalysator er også et godt værktøj til at registrere systemer inficeret med malware, såsom en virus eller trojansk hest. Det er også en god måde at kigge på, om noget fisket foregår, når man kigger på netværksstatistikkerne, som f.eks. Bytes per sekund, netværksudnyttelse og indgående / udgående pakketællinger. TamoSoft - skaberen af CommView - har et andet produkt kaldet NetResident, der kan spore brugen af velkendte protokoller, såsom HTTP, e-mail, FTP og VoIP. Du kan bruge NetResident til at overvåge websessioner og afspille dem igen.

NetResident har også evnen til at udføre ARP-forgiftning, som gør det muligt for NetResident at se alt på det lokale netværkssegment.

Detektering af netværksanalyser

Du kan bruge et netværk eller værtbaseret værktøj til at bestemme, om nogen kører en uautoriseret netværksanalysator på dit netværk:

Sniffdet

til UNIX-baserede systemer

PromiscDetect til Windows
Visse IPS'er kan også registrere, om en netværksanalysator kører på dit netværk. Disse værktøjer giver dig mulighed for at overvåge netværket til Ethernet-kort, der kører i promiskuøs tilstand. Du lægger blot programmerne på din computer, og programmerne giver dig besked, hvis de ser promiskuøse adfærd på netværket (Sniffdet) eller lokalt system (PromiscDetect).