АссистентНовый вопросИсторияОбласти знаний
Партнёрские проектыСпецпроектыСтать автором
Сменить язык
О РУВИКИ

Анализатор трафика

Анализатор трафика (англ. traffic analyzer), также известный как анализатор пакетов (англ. packet analyzer), сниффер (англ. sniffer), анализатор протоколов (англ. protocol analyzer), или анализатор сетевого трафика (англ. network analyzer), — это компьютерная программа или устройство для захвата пакетов (аппаратный анализатор), которая осуществляет анализ трафика и логирование (ведение журналов) сетевого трафика, проходящего через компьютерную сеть или её сегмент[1][2][3][4][5][6][7][8] Анализатор трафика осуществляет захват, остановку и фиксацию (логирование) сетевого трафика. Когда потоки данных проходят через сеть, анализатор перехватывает каждый сетевой пакет, при необходимости декодирует их содержимое и отображает значения разных полей, а также анализирует содержимое в соответствии с RFC или иными спецификациями.

Для перехвата трафика в беспроводных сетях применяются беспроводные анализаторы трафика или Wi-Fi анализаторы. Хотя понятия анализатора пакетов, анализатора протоколов и сетевого анализатора часто используются как синонимы, термин «анализатор протоколов» может также обозначать более широкий класс устройств и программ, охватывающий, в том числе, анализаторы трафика[9]. На практике эти термины зачастую употребляются взаимозаменяемо[10].

Возможности

В кабельных локальных вычислительных сетях, таких как Ethernet, Token Ring и FDDI, в зависимости от структуры сети (с использованием концентратора или коммутатора)[11], возможно захватывать весь проходящий по сети трафик с одной машины. В современных сетях данные чаще всего собираются с помощью коммутатора с поддержкой зеркалирования портов, когда все пакеты с выбранного порта дублируются на другой порт для анализа. Сетевые тапы считаются более надёжным решением по сравнению с зеркалированием, так как с меньшей вероятностью теряют пакеты при большой нагрузке.

В беспроводных локальных сетях захват трафика может вестись на одном или сразу нескольких каналах посредством использования нескольких адаптеров.

Для перехвата одновременного обмена данными между другими устройствами (юникаст-трафик) сетевой адаптер анализатора должен работать в промискуитетном режиме. В беспроводных сетях даже при включении промискуитетного режима возможно игнорирование пакетов, не адресованных данной точке; чтобы анализировать их, требуется перевод адаптера в мониторинговый режим. Для захвата многоадресного и широковещательного трафика дополнительных условий не требуется. Анализатор может записывать как весь пакет целиком, так и только его заголовки. Запись только заголовков уменьшает требования к объёму хранения и помогает избежать некоторых вопросов конфиденциальности, но обычно достаточна для диагностики сетевых проблем.

Полученные данные преобразуются в читаемый формат, что позволяет инженерам анализировать содержимое. Возможности по отображению и анализу информации варьируются в зависимости от анализатора.

Некоторые анализаторы протоколов могут не только захватывать, но и генерировать сетевой трафик, используясь в качестве тестовых устройств. Такие устройства создают корректный с точки зрения протокола трафик для функциональных тестов, а также могут намеренно вводить ошибки с целью проверки обработки исключительных ситуаций устройством под тестированием[12][13].

Анализаторы могут быть реализованы на аппаратном уровне с записью пакетов или их заголовков на дисковые массивы.

Применение

Анализаторы трафика позволяют:

  • Анализировать сетевые проблемы;
  • Обнаруживать попытки сетевых атак;
  • Выявлять нарушения или злоупотребления со стороны внутренних/внешних пользователей;
  • Документировать соответствие нормативным требованиям путём журналирования всего периметрального и конечного трафика;
  • Получать информацию для атаки на сеть (разведка при несанкционированном доступе);
  • Определять сбор и обмен данными программным обеспечением (например, операционными системами) для укрепления управления, приватности и безопасности;
  • Изолировать скомпрометированные системы путём сбора сведений о нарушениях;
  • Контролировать использование полосы пропускания WAN;
  • Отслеживать сетевую активность всех пользователей и устройств;
  • Наблюдать за данными «на лету»;
  • Определять состояние WAN-сетей и конечных точек;
  • Собирать и формировать отчёты по сетевой статистике;
  • Определять вредоносный или аномальный контент в трафике сети;
  • Диагностировать производительность приложений путём анализа сетевого трафика;
  • Служить основным источником данных для повседневного мониторинга и управления сетью;
  • Проводить мониторинг других пользователей сети, перехватывать критичные данные (например, логины, куки — только если используется незашифрованный протокол);
  • Реализовывать реверс-инжиниринг закрытых протоколов;
  • Отлаживать коммуникацию в типах клиент/сервер;
  • Отлаживать реализацию сетевых протоколов;
  • Подтверждать корректность изменений сети (добавление, перемещение, модификация);
  • Проверять эффективность работы межсетевых экранов, систем контроля доступа, веб-фильтров, антиспам-фильтров и прокси.

Технологии захвата сетевых данных используются правоохранительными органами по решению суда для прослушивания всего сетевого трафика, создаваемого конкретным лицом. Интернет-провайдеры и провайдеры голосовой связи в США обязаны обеспечивать выполнение требований закона Communications Assistance for Law Enforcement Act. Телекоммуникационные операторы, применяющие технологию захвата и хранения пакетов, могут обеспечивать юридически требуемый защищённый доступ к трафику и использовать эти системы для нужд внутренней безопасности. Сбор данных без разрешения суда является нарушением законодательства. Использование сквозного шифрования позволяет скрывать содержимое даже от операторов и государственных органов.

Процесс

Сбор/захват

Анализатор трафика включает сетевой интерфейс в промискуитетный режим. В этом режиме карта способна перехватывать все пакеты из заданного сегмента сети. Этот режим позволяет считывать сырые двоичные данные с линии для последующей обработки.

Преобразование

Перехваченные двоичные данные переводятся в человеко-читаемый формат, доступный для первичного анализа.

Анализ

На этом этапе проводится более глубокое изучение полученных данных. Анализатор трафика проверяет протокол обмена и анализирует специфические характеристики протокола на основании извлечённой информации.

Более сложный анализ осуществляет сравнение нескольких пакетов и элементов обмена в сети одновременно.

Известные анализаторы трафика

Примечания

  1. ↑ Chapple, Mike. (ISC)2 CISSP Certified Information Systems Security Professional Official Study Guide : [англ.] / Mike Chapple, James Michael Stewart, Darril Gibson. — John Wiley & Sons, 2018. — «A sniffer (also called a packet analyzer or protocol analyzer) is a software application that captures traffic traveling over the network.». — ISBN 978-1-119-47587-3.
  2. ↑ Hoque, Md Rakibul. Cross-Border E-Commerce Marketing and Management / Md Rakibul Hoque, R. Edward Bashaw. — IGI Global, 2020. — P. 186. — «Packet Sniffing: It is also known as packet analyzer, protocol analyzer». — ISBN 978-1-7998-5824-9.
  3. ↑ Trost, Ryan. Practical Intrusion Analysis: Prevention and Detection for the Twenty-First Century. — Pearson Education, 2009. — «A packet sniffer (also known as a packet analyzer, protocol analyzer, or networkanalyzer) monitors network traffic». — ISBN 978-0-321-59188-3.
  4. ↑ Cyber Law, Privacy, and Security: Concepts, Methodologies, Tools, and Applications. — IGI Global, 2019. — P. 58. — «Packet Sniffing: A packet analyzer, also called as a network analyzer, protocol analyzer or packet sniffer». — ISBN 978-1-5225-8898-6.
  5. ↑ Asrodia, Pallavi; Patel, Hemlata (2012). “Analysis of Various Packet Sniffing Tools for Network Monitoring and Analysis”. International Journal of Electrical, Electronics and Computer Engineering: 55. CiteSeerX 10.1.1.429.567. ISSN 2277-2626. Packet Sniffing... also known as Network or Protocol Analyzer or Ethernet Sniffer
  6. ↑ What is a Packet Sniffer? www.kaspersky.com (2018). Дата обращения: 12 октября 2023. Архивировано 30 августа 2023 года.
  7. ↑ What is Network Packet Capture? www.endace.com (2023). Дата обращения: 12 октября 2023. Архивировано 30 июля 2023 года.
  8. ↑ Definition of network analyzer. PCMAG. Дата обращения: 12 октября 2023. Архивировано 5 апреля 2023 года.
  9. ↑ Sikos, Leslie F. (2020). “Packet analysis for network forensics: A comprehensive survey”. Forensic Science International: Digital Investigation. 32: 200892. DOI:10.1016/j.fsidi.2019.200892. ISSN 2666-2817. S2CID 212863330. Those protocol analyzers that are designed for packet analysis are called packet analyzers (packet sniffers, sometimes network analyzers).
  10. ↑ Poulton, Don. MCTS 70-642 Cert Guide: Windows Server 2008 Network Infrastructure, Configuring. — Pearson Education, 2012. — «protocol analyzer. Also known as a network analyzer or packet analyzer, a protocol analyzer is a hardware device or software program that enables you to capture, store, and analyze each packet that crosses your network». — ISBN 978-0-13-280216-1.
  11. ↑ Network Segment Definition. www.linfo.org. Дата обращения: 14 января 2016. Архивировано 7 июня 2023 года.
  12. ↑ Lab Protocol Analyzers. www.amilabs.com. Дата обращения: 30 июня 2023. Архивировано 30 июня 2023 года.
  13. ↑ shivakumar Where is Protocol analyzer used? (англ.). Prodigy Technovations (18 декабря 2020). Дата обращения: 30 июня 2023. Архивировано 30 июня 2023 года.

Литература

  • Chris Sander. Practical Packet Analysis. — 3. — No Starch Press, 2017. — ISBN 9781593278021.

Ссылки

Категории