Открыть сервисСервис
Главная → Блог → Сниффер — анализ сетевого трафика

Сниффер — анализ сетевого трафика

Сниффер (от англ. sniff — «нюхать, принюхиваться») — программа или аппаратное устройство для перехвата и анализа сетевого трафика, циркулирующего в компьютерной сети. Термин описывает как инструменты легального сетевого мониторинга и отладки, так и средства несанкционированного перехвата данных, используемые в компьютерной преступности.

Принцип работы

Сетевой интерфейс компьютера в обычном режиме обрабатывает только те пакеты, которые адресованы ему (или широковещательные/мультискастовые). Сниффер переводит адаптер в так называемый промискуитетный режим (promiscuous mode), при котором перехватываются все пакеты, проходящие через сегмент сети, независимо от адреса получателя.

В сетях с централизованной топологией (общий канал, концентраторы) перехват возможен с любого узла. В коммутируемых (switched) сетях трафик распределяется по портам, поэтому для полного перехвата применяют дополнительные приёмы:

  • ARP-спуфинг — подмена MAC-адреса шлюза, чтобы весь трафик хоста проходил через машину злоумышленника;
  • порт-мирroring (SPAN) — настройка коммутатора на дублирование трафика на выбранный порт;
  • подключение к оптическим разветвителям (taps) на линиях связи;
  • перехват Wi-Fi-трафика в открытом (незашифрованном) эфире.

Классификация

По назначению:

  • Программные — приложения, работающие на обычном компьютере или сервере;
  • Аппаратные — отдельные устройства (например, портативные анализаторы, встроенные в кабельные линии).

По типу анализируемого трафика:

  • Сетевые (пакетные) — перехватывают IP-пакеты (Wireshark, tcpdump, Ettercap);
  • Протокольные — фокусируются на конкретном протоколе (HTTP, FTP, DNS);
  • Телефонные — перехватывают голосовую и сигнальную информацию в телефонных сетях (исторически — устройства для прослушки линий);
  • Беспроводные — анализируют Wi-Fi-трафик (Aircrack-ng, Kismet).

По отношению к закону:

  • Легитимные — инструменты сетевых администраторов и специалистов по информационной безопасности;
  • Злоумышленные — используются для перехвата паролей, сессий и прочих чувствительных данных.

Сетевые анализаторы — стандартный инструмент администрирования и безопасности:

В России профессиональный перехват трафика без согласия владельца сети и абонента может квалифицироваться по статье 138 УК РФ («Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений») и статье 272 УК РФ («Неправомерный доступ к компьютерной информации»).

Злоумышленное использование

В киберпреступности снифферы применяются для:

  • перехвата паролей и учётных данных в незашифрованных протоколах (FTP, Telnet, HTTP, POP3);
  • кражи сессионных куки и токенов аутентификации;
  • сбора персональных данных пользователей;
  • перехвата трафика в открытых Wi-Fi-сетях (аэропорты, кафе, отели).

Ключевой защитой от перехвата является шифрование транспортного уровня: TLS/SSL для веб-трафика, SSH для удалённого администрирования, VPN для туннелирования. Дополнительно применяют средства обнаружения ARP-спуфинга и контроль сетевой активности.

История

Термин «сниффер» вошёл в обиход в конце 1980-х годов. Одной из первых известных программ стал EtherPeek (1990-е), а стандартом отрасли стал tcpdump (1988, Лоуренс Беркли), позже дополненный графической оболочкой Wireshark (развивался из Ethereal с 1998 года). Аппаратные снифферы выпускались компаниями Network General (Network General Sniffer, 1986) и Tektronix.

См. также

  • Пакетный анализатор
  • ARP-спуфинг
  • Информационная безопасность
  • Пентест

Источники

  • Таненбаум Э., Уэзеролл Д. — «Компьютерные сети»
  • Комаров О. — «Основы информационной безопасности»
  • RFC 1761 — Snoop Version 2 Packet Capture File Format
  • Статьи 138 и 272 Уголовного кодекса РФ

Похожие материалы

Заметили ошибку или не согласны с информацией в статье? Напишите нам support@bfometr.ru