Что такое прослушивание сетевого трафика?

Что такое прослушивание сетевого трафика?

Прослушивание сетевого трафика является методом, с помощью которого нарушитель может скомпрометировать безопасность сети в пассивном режиме. Анализатор трафика (sniffer) – программа, которая пассивно наблюдает компьютерную сеть на предмет ключевой информации, интересующей нарушителя. В большинстве случаев эта информация является информацией аутентификации, например имена пользователей и пароли, которые могут быть использованы для получения доступа к системе или ресурсу. Анализаторы трафика включены в состав большинства инструментариев для получения прав администратора / суперпользователя (rootkits). Если ваша UNIX-система подверглась взлому, скорее всего анализатор трафика на ней уже запущен.

Как это работает?

Существуют два метода прослушивания сетевого трафика: метод «старой школы» и метод «новой школы». В старые времена компьютеры соединялись посредством общей среды. Все они совместно использовали один и тот же локальный провод, и сетевой трафик был виден всем всеми компьютерами. Сетевые карты фильтровали трафик таким образом, что присоединенные компьютеры видели только свой трафик, а не чей-либо еще. Это не являлось функциональностью безопасности, а было разработано во избежание перегрузки машины. Программное обеспечение прослушивания сетевого трафика блокирует этот фильтр, переводя карту в так называемый «безразличный режим» («promiscuous mode»). Программное обеспечение специально настроено так, чтобы работать с большим потоком трафика и далее либо анализировать, либо захватывать его.

В настоящие дни все больше и больше компьютеров соединены с помощью коммутаторов. Вместо того чтобы распространять сетевой трафик по всей сети, коммутаторы фильтруют трафик на концентраторе. Это не дает компьютеру видеть чей-либо еще трафик даже в случае перевода адаптера в «безразличный режим». Нарушители должны либо активно атаковать коммутатор / маршрутизатор, для того чтобы перенаправить поток трафика (который мы опишем позже), либо довольствоваться наблюдением трафика, проходящего через уже скомпрометированный ими компьютер.

Когда сетевой трафик входит в компьютер, он сначала обрабатывается Ethernet-драйвером. Драйвер далее передает трафик стеку протоколов TCP/IP (Transmission Control Protocol / Internet Protocol), который в свою очередь передает его приложениям. Программное обеспечение прослушивания сетевого трафика соединяется напрямую с Ethernet-драйвером и создает его копию. Для реализации этого UNIX предоставляет более открытый набор интерфейсов, несмотря на то что Windows-системы также предоставляют несколько инструментов. Таким образом, анализаторы трафика обычно являются частью UNIX-инструментариев для получения прав администратора / суперпользователя и редко частью Windows-инструментариев для получения прав администратора / суперпользователя.

Данный текст является ознакомительным фрагментом.