Chris Sanders. Novatec

Transcrição

1 Chris Sanders Novatec

2 Copyright 2017 by Chris Sanders. Title of English-language original: Practical Packet Analysis, 3rd Edition: Using Wireshark to Solve Real-World Network Problems, ISBN , published by No Starch Press. Portuguese-language edition copyright 2017 by Novatec Editora Ltda. All rights reserved. Copyright 2017 por Chris Sanders. Título original em Inglês: Practical Packet Analysis, 3rd Edition: Using Wireshark to Solve Real-World Network Problems, ISBN , publicado pela No Starch Press. Edição em Português copyright 2017 pela Novatec Editora Ltda. Todos os direitos reservados. Novatec Editora Ltda Todos os direitos reservados e protegidos pela Lei de 19/02/1998. É proibida a reprodução desta obra, mesmo parcial, por qualquer processo, sem prévia autorização, por escrito, do autor e da Editora. Editor: Rubens Prates MP Tradução: Lúcia A. Kinoshita Revisão gramatical: Priscila A. Yoshimatsu Editoração eletrônica: Carolina Kuwabata ISBN: Histórico de impressões: Junho/2017 Primeira edição Novatec Editora Ltda. Rua Luís Antônio dos Santos São Paulo, SP Brasil Tel.: novatec@novatec.com.br Site: novatec.com.br Twitter: twitter.com/novateceditora Facebook: facebook.com/novatec LinkedIn: linkedin.com/in/novatec

3 SUMÁRIO Agradecimentos Introdução Por que escolher este livro? Conceitos e abordagem Como usar este livro...20 Sobre os exemplos de arquivos de captura...20 Rural Technology Fund (em inglês)...20 Como entrar em contato comigo (em inglês) Básico sobre análise de pacotes e redes Análise de pacotes e sniffers de pacotes Avaliando um sniffer de pacotes Como os sniffers de pacote funcionam Como os computadores se comunicam Protocolos O modelo OSI de sete camadas...26 Hardware de rede Classificações do tráfego Tráfego de broadcast Tráfego multicast...41 Tráfego unicast...41 Considerações finais Escutando uma transmissão Vivendo promiscuamente Sniffing nos hubs...44 Sniffing em um ambiente com switches

4 8 Análise de pacotes na prática Espelhamento de porta Hubbing out Usando um tap...51 Envenenamento de cache ARP...54 Sniffing em um ambiente roteado...60 Posicionamento do sniffer na prática Introdução ao Wireshark Uma breve história do Wireshark...64 As vantagens do Wireshark Instalando o Wireshark...66 Instalando em sistemas Windows Instalando em sistemas Linux Instalando em sistemas OS X...71 Básico sobre o Wireshark Sua primeira captura de pacotes A janela principal do Wireshark Preferências do Wireshark Código de cores para os pacotes...77 Arquivos de configuração Perfis de configuração Trabalhando com pacotes capturados Trabalhando com arquivos de captura...83 Salvando e exportando arquivos de captura...83 Combinando arquivos de captura Trabalhando com pacotes...86 Encontrando pacotes...86 Marcando pacotes...88 Imprimindo pacotes...88 Configurando formatos de exibição de horários e referências...89 Formatos de exibição de horários...89 Pacote como referência de tempo...91 Deslocamento de tempo Configurando opções de captura A aba Input Aba Output...94 Aba Options...95 Usando filtros... 97

5 Sumário 9 Filtros de captura...98 Filtros de exibição Salvando filtros Adicionando filtros de exibição em uma barra de ferramentas Recursos avançados do Wireshark Endpoints e conversas na rede Visualizando estatísticas dos endpoints Visualizando conversas na rede Identificando os top talkers com as janelas Endpoints e Conversations Estatísticas da hierarquia de protocolos Resolução de nomes Ativando a resolução de nomes Possíveis desvantagens da resolução de nomes Usando um arquivo hosts personalizado Resolução de nomes iniciada manualmente Dissecação de protocolos Alterando o dissecador Visualizando o código-fonte dos dissecadores Seguindo streams Seguindo streams SSL Tamanhos dos pacotes Gráficos Visualizando gráficos de ES Gráficos de tempos de ida e volta Gráfico de fluxos Informações especializadas Análise de pacotes na linha de comando Instalando o TShark Instalando o tcpdump Capturando e salvando pacotes Manipulando a saída Resolução de nomes Aplicando filtros Formatos de exibição de horários no TShark Estatísticas resumidas no TShark Comparação entre o TShark e o tcpdump...161

6 10 Análise de pacotes na prática 7 Protocolos da camada de rede ARP (Address Resolution Protocol, ou Protocolo de Resolução de Endereços) Estrutura do pacote ARP Pacote 1: requisição ARP Pacote 2: resposta ARP ARP gratuito IP (Internet Protocol, ou Protocolo de Internet) IPv4 (Internet Protocol version 4, ou Protocolo de Internet versão 4) IPv6 (Internet Protocol version 6, ou Protocolo de Internet versão 6) ICMP (Internet Control Message Protocol, ou Protocolo de Mensagens de Controle da Internet) Estrutura do pacote ICMP Tipos e mensagens ICMP Requisições e respostas de eco traceroute ICMPv6 (ICMP version 6, ou ICMP versão 6) Protocolos da camada de transporte TCP (Transmission Control Protocol, ou Protocolo de Controle de Transmissão) Estrutura do pacote TCP Portas TCP O handshake de três vias do TCP Desconexão TCP Resets TCP UDP (User Datagram Protocol, ou Protocolo de Datagrama de Usuários) Estrutura do pacote UDP Protocolos comuns da camada superior DHCP (Dynamic Host Configuration Protocol, ou Protocolo de Configuração Dinâmica de Hosts) Estrutura do pacote DHCP Processo de inicialização do DHCP Renovação DHCP in-lease Opções e tipos de mensagem DHCP DHCPv6 (DHCP version 6, ou DHCP versão 6) DNS (Domain Name System, ou Sistema de Nomes de Domínio) Estrutura do pacote DNS Uma consulta DNS simples

7 Sumário 11 Tipos de pergunta DNS Recursão DNS Transferências de zona DNS HTTP (Hypertext Transfer Protocol, ou Protocolo de Transferência de Hipertexto) Navegando com o HTTP Postando dados com HTTP SMTP (Simple Mail Transfer Protocol, ou Protocolo Simples de Transferência de Correio) Enviando e recebendo s Acompanhando uma mensagem de Enviando anexos via SMTP Considerações finais Cenários básicos no mundo real Conteúdo web faltando Escutando a transmissão Análise Lições aprendidas Serviço de meteorologia que não responde Escutando a transmissão Análise Lições aprendidas Sem acesso à internet Problemas de configuração de gateway Redirecionamento indesejado Problemas de upstream Impressora inconsistente Escutando a transmissão Análise Lições aprendidas Sem conectividade com a filial Escutando a transmissão Análise Lições aprendidas Dados de software corrompidos Escutando a transmissão Análise Lições aprendidas Considerações finais

8 12 Análise de pacotes na prática 11 Lutando contra uma rede lenta Recursos de recuperação de erros do TCP Retransmissões TCP Confirmações duplicadas e retransmissões rápidas de TCP Fluxo de controle do TCP Ajustando o tamanho da janela Interrompendo o fluxo de dados com uma notificação de janela zero A janela TCP deslizante na prática Aprendendo com pacotes de controle de erro e de fluxo do TCP Localizando a causa da alta latência Comunicação normal Comunicações lentas: latência na transmissão Comunicações lentas: latência no cliente Comunicações lentas: latência no servidor Framework para localização de latência Base de referência para redes Base de referência para um local Base de referência para hosts Base de referência para aplicações Observações adicionais sobre as bases de referência Considerações finais Análise de pacotes visando à segurança Reconhecimento Scan SYN Fingerprinting do sistema operacional Manipulação de tráfego Envenenamento de cache ARP Sequestro de sessão Malware Operação Aurora Cavalo de Troia com acesso remoto Kit de exploits e ransomware Considerações finais Análise de pacotes sem fio Considerações físicas Sniffing de um canal de cada vez Interferência no sinal wireless...368

9 Sumário 13 Detectando e analisando interferências em sinais Modos das placas wireless Sniffing de dados wireless no Windows Configurando o AirPcap Capturando tráfego com o AirPcap Sniffing de dados wireless no Linux Estrutura do pacote Adicionando colunas específicas para wireless no painel Packet List Filtros específicos para wireless Filtrando tráfego de um BSS ID específico Filtrando tipos específicos de pacotes wireless Filtrando uma frequência específica Salvando um perfil para wireless Segurança em redes wireless Autenticação WEP com sucesso Autenticação WEP com falha Autenticação WPA com sucesso Autenticação WPA com falha Considerações finais A Leitura complementar Ferramentas para análise de pacotes CloudShark WireEdit Cain & Abel Scapy TraceWrangler Tcpreplay NetworkMiner CapTipper ngrep libpcap Npcap hping Python Recursos para análise de pacotes Página inicial do Wireshark Curso online de análise de pacotes na prática Curso de segurança Intrusion Detection In-Depth do SANS Blog de Chris Sanders

10 14 Análise de pacotes na prática Análise de tráfego de malware de Brad Duncan Site da IANA A série TCP/IP Illustrated de W. Richard Stevens O livro The TCP/IP Guide B Navegando pelos pacotes Representação dos pacotes Usando diagramas de pacote Navegando por um pacote misterioso Considerações finais