Sniffing, em rede de computadores, é o procedimento realizado por uma ferramenta conhecida como Sniffer (também conhecido como Packet Sniffer, Analisador de Rede, Analisador de Protocolo, Ethernet Sniffer em redes do padrão Ethernet ou ainda Wireless Sniffer em redes wireless). Esta ferramenta, constituída de um software ou hardware, é capaz de interceptar e registrar o tráfego de dados em uma rede de computadores. Conforme o fluxo de dados trafega na rede, o sniffer captura cada pacote e eventualmente decodifica e analisa o seu conteúdo de acordo com o protocolo definido em um RFC ou uma outra especificação.
O sniffing pode ser utilizado com propósitos maliciosos por invasores que tentam capturar o tráfego da rede com diversos objetivos, dentre os quais podem ser citados, obter cópias de arquivos importantes durante sua transmissão, e obter senhas que permitam estender o seu raio de penetração em um ambiente invadido ou ver as conversações em tempo real.
Port Mirror – Port Spam – Port Monitor
Esta opção é desejável se o administrador da rede pretende conectar um analisador de protocolo diretamente à uma porta do switch, e monitorar o tráfego de outras portas do equipamento.
Deve-se definir uma porta que será monitorada (Port Mirror) e o seu espelho, que é a porta onde o analisador de protocolo será conectado.
Uma vez que esta funcionalidade for ativada, todo o tráfego oriundo ou destinado à porta monitorada será espelhado na porta espelho.
O Espelhamento de Tráfego torna-se necessário se o administrador de rede não quiser monitorar o tráfego de um determinado segmento, sem modificar as características físicas do segmento monitorado, ao se conectar um analisador de protocolo ao segmento.
Analisador de Protocolos – Wireless
Existem diversos analisadores de protocolo que funcionam em conexões wireless. Algumas alterações nas configurações do analisador de protocolo em uso, talvez devam ser realizadas, como a habilitação da opção de captura em modo de monitoração, pois o modo promíscuo pode não ser suficiente.
A captura ocorrerá da mesma maneira que ocorreria se estivesse numa conexão cabeada? O que pode ocorrer é alguma restrição do próprio sistema operacional que se está utilizando, bem como da interface de rede 802.11. A limitação de alguns sistemas operacionais é a de não capturar pacotes que não sejam de dados, o que ocorre também com alguns drivers dos adaptadores de rede.
É importante mencionar que o fato de uma interface de rede estar executando em modo de monitoração, nem sempre ela estará habilitada para funcionar como uma interface de rede comum, pois ela estará capturando os pacotes em modo passivo. Com isso, as tentativas de resolução de nomes através de um servidor DNS, por exemplo, provavelmente estarão bloqueadas, pois o equipamento não estará habilitado para se comunicar com qualquer DNS server.
Um dos analisadores de protocolo que funciona em conexões wireless que pode ser citado como exemplo é o “Kismet”. O “Kismet” é uma ferramenta free e que funciona com os sistemas operacionais Linux, FreeBSD, NetBSD, OpenBSD, Mac OS X e Windows.
Outra ferramenta freeware que pode ser utilizada é o “Wireshark”, uma atualização do tão conhecido Ethereal. De acordo com as especificações dos desenvolvedores, as limitações de captura de pacote através de um dispositivo wireless em modo de monitoração, são as mesmas já citadas: depende do sistema operacional, adaptador de rede e driver em uso. Funciona com os sistemas operacionais Linux, FreeBSD, NetBSD, OpenBSD, Mac OS X, Windows e Solaris.
Analisador de protocolos
O analisador de protocolos gratuito mais conhecido é o Ethereal, que desde junho de 2006 passou a se chamar Wireshark. O nome pode ser diferente, mas o software é o mesmo. O Wireshark foi desenvolvido por especialistas em rede de todo o mundo, mostrando a força dos softwares de código aberto. Este analisador roda em Windows, Linux, UNIX, entre outras plataformas.
O Wireshark faz análise dos pacotes no momento da recepção e da transmissão das informações, permite organizar os dados de acordo com os protocolos utilizados (suporte para centenas de protocolos), possui função para filtrar apenas os resultados que interessam, exporta os dados capturados para arquivos de texto, além de outras funcionalidades.
Analisadores de Protocolos Dedicados
A seguir, são descritos dois exemplos de analisadores de protocolos dedicados atualmente comercializados.
OptiView Series III Integrated Network Analyzer: Fabricado pela empresa Fluke Networks, é um aparelho portátil que tem como função análisar, monitorar e solucionar problemas de redes LAN, WAN, VoIP e WLAN, permitindo ter uma visão geral da rede. Dispõe de recursos de análise de protocolo, análise de dispositivo SNMP e análise de tráfego RMON2, gera relatórios em HTML e dispõe de opções wireless (sem fio), VoIP (Voz sobre IP) e Application Troubleshooting Expert (Especialista em Resolução de Problemas de Aplicativos) para o usuário.
GigaStor Security Forensics: Fabricado pela Network Instruments, é um analisador de segurança da rede, facilitador da determinação detalhada da natureza do problema. O GigaStor opera como uma câmera de segurança, gravando cada ação que ocorre na rede. Em caso de suspeita de alguma violação da segurança, faz a comparação com milhares de ataques e anomalias de rede, com a funcionalidade de IDS. Faz também análise detalhada no nível do pacote para determinar a origem e o horário da ocorrência.
O sniffing pode ser utilizado com propósitos maliciosos por invasores que tentam capturar o tráfego da rede com diversos objetivos, dentre os quais podem ser citados, obter cópias de arquivos importantes durante sua transmissão, e obter senhas que permitam estender o seu raio de penetração em um ambiente invadido ou ver as conversações em tempo real.
Port Mirror – Port Spam – Port Monitor
Esta opção é desejável se o administrador da rede pretende conectar um analisador de protocolo diretamente à uma porta do switch, e monitorar o tráfego de outras portas do equipamento.
Deve-se definir uma porta que será monitorada (Port Mirror) e o seu espelho, que é a porta onde o analisador de protocolo será conectado.
Uma vez que esta funcionalidade for ativada, todo o tráfego oriundo ou destinado à porta monitorada será espelhado na porta espelho.
O Espelhamento de Tráfego torna-se necessário se o administrador de rede não quiser monitorar o tráfego de um determinado segmento, sem modificar as características físicas do segmento monitorado, ao se conectar um analisador de protocolo ao segmento.
Analisador de Protocolos – Wireless
Existem diversos analisadores de protocolo que funcionam em conexões wireless. Algumas alterações nas configurações do analisador de protocolo em uso, talvez devam ser realizadas, como a habilitação da opção de captura em modo de monitoração, pois o modo promíscuo pode não ser suficiente.
A captura ocorrerá da mesma maneira que ocorreria se estivesse numa conexão cabeada? O que pode ocorrer é alguma restrição do próprio sistema operacional que se está utilizando, bem como da interface de rede 802.11. A limitação de alguns sistemas operacionais é a de não capturar pacotes que não sejam de dados, o que ocorre também com alguns drivers dos adaptadores de rede.
É importante mencionar que o fato de uma interface de rede estar executando em modo de monitoração, nem sempre ela estará habilitada para funcionar como uma interface de rede comum, pois ela estará capturando os pacotes em modo passivo. Com isso, as tentativas de resolução de nomes através de um servidor DNS, por exemplo, provavelmente estarão bloqueadas, pois o equipamento não estará habilitado para se comunicar com qualquer DNS server.
Um dos analisadores de protocolo que funciona em conexões wireless que pode ser citado como exemplo é o “Kismet”. O “Kismet” é uma ferramenta free e que funciona com os sistemas operacionais Linux, FreeBSD, NetBSD, OpenBSD, Mac OS X e Windows.
Outra ferramenta freeware que pode ser utilizada é o “Wireshark”, uma atualização do tão conhecido Ethereal. De acordo com as especificações dos desenvolvedores, as limitações de captura de pacote através de um dispositivo wireless em modo de monitoração, são as mesmas já citadas: depende do sistema operacional, adaptador de rede e driver em uso. Funciona com os sistemas operacionais Linux, FreeBSD, NetBSD, OpenBSD, Mac OS X, Windows e Solaris.
Analisador de protocolos
O analisador de protocolos gratuito mais conhecido é o Ethereal, que desde junho de 2006 passou a se chamar Wireshark. O nome pode ser diferente, mas o software é o mesmo. O Wireshark foi desenvolvido por especialistas em rede de todo o mundo, mostrando a força dos softwares de código aberto. Este analisador roda em Windows, Linux, UNIX, entre outras plataformas.
O Wireshark faz análise dos pacotes no momento da recepção e da transmissão das informações, permite organizar os dados de acordo com os protocolos utilizados (suporte para centenas de protocolos), possui função para filtrar apenas os resultados que interessam, exporta os dados capturados para arquivos de texto, além de outras funcionalidades.
Analisadores de Protocolos Dedicados
A seguir, são descritos dois exemplos de analisadores de protocolos dedicados atualmente comercializados.
OptiView Series III Integrated Network Analyzer: Fabricado pela empresa Fluke Networks, é um aparelho portátil que tem como função análisar, monitorar e solucionar problemas de redes LAN, WAN, VoIP e WLAN, permitindo ter uma visão geral da rede. Dispõe de recursos de análise de protocolo, análise de dispositivo SNMP e análise de tráfego RMON2, gera relatórios em HTML e dispõe de opções wireless (sem fio), VoIP (Voz sobre IP) e Application Troubleshooting Expert (Especialista em Resolução de Problemas de Aplicativos) para o usuário.
GigaStor Security Forensics: Fabricado pela Network Instruments, é um analisador de segurança da rede, facilitador da determinação detalhada da natureza do problema. O GigaStor opera como uma câmera de segurança, gravando cada ação que ocorre na rede. Em caso de suspeita de alguma violação da segurança, faz a comparação com milhares de ataques e anomalias de rede, com a funcionalidade de IDS. Faz também análise detalhada no nível do pacote para determinar a origem e o horário da ocorrência.
