Information Security - Sniffing 실습

Outline Network Packet Capturing Sniffing Tool 소개 Sniffing Tool 실습 Packet Capture의 원리 Data Link Layer의 동작 Sniffing Tool 소개 Sniffing Tool 실습

End-to-End delivery

End-to-End delivery Source Destination Applications TCP IP LAN Technologies: Ethernet, FDDI, etc Applications TCP IP LAN Technologies: Ethernet, FDDI, etc Applications TCP IP LAN Technologies: Ethernet, FDDI, etc

Packet Capture Source Destination Applications TCP IP LAN Technologies: Ethernet, FDDI, etc Applications TCP IP LAN Technologies: Ethernet, FDDI, etc Applications TCP IP LAN Technologies: Ethernet, FDDI, etc

Data Link Layer Procedure Promiscuous mode와 Non-promiscuous mode Upper Layer MAC address 일치 Data Link Layer MAC address 불일치 Physical Layer Data Link Layer에서의 동작

Sniffing Tool WinPCAP(Windows Packet CAPture library) Win32 platform용 packet capture tool Network analyzing library 오픈 소스 libPCAP(UNIX library)의 windows 버전 http://www.winpcap.org

Sniffing Tool Wireshark(Ethereal) SuperScan 가장 대표적인 Network Analyzer 오픈 소스 강력한 필터 기능이 특징 WinPCAP library와 driver 이용 http://www.wireshark.org/ SuperScan 간단한 포트 스캐너 SYN attack으로 포트 검색 http://www.snapfiles.com/get/superscan.html

WhireShark <실행화면>

WhireShark – Main View Capture된 Packet의 list Packet의 분석 내용 Packet의 실제 데이터

WhireShark - Menu File Edit View Capture 파일들을 open/merge, Capture 파일들의 전체나 일부를 save/print/export, Ethereal 종료하는 아이템들을 포함한다 Edit Find packet하고 Time Reference, 한 개나 그 이상의 packet에 대한 Mark Reference, 당신의 선택을 Set preference하는 아이템들을 포함한다 View Packets의 capture된 데이터의 표시를 제어한다. 이것은 색깔과 폰트 크기 조절, 개별 윈도우에서 packet을 보여주는 것, packet 상세정보상에서 트리들이 늘어나고 줄어드는 것을 포함한다

WhireShark - Menu Go Capture Analyze Statistics 이 메뉴는 특정 packet으로 이동하는 아이템들을 포함한다. Capture capture를 시작/종료하는 것과 capture filter를 수정하는 것을 허락한다 Analyze 표시 필터들을 다루고, 프로토콜들의 정밀한 분석을 가능하게 하거나 불가능하게 하고, 사용자 정의 디코드를 설정하고, TCP 흐름을 따르는 아이템을 포함한다 Statistics 이 메뉴는 다양한 통계 윈도우들을 표시하기 위한 메뉴 아이템들을 포함한다. 이것은 captured packets에 대한 요약, 프로토콜 계층 통계를 표시 등을 포함한다

WhireShark – Tool bar : Capture관련 icons : 환경 설정 : Capture가능한 interface list를 보여준다 : Capture option : Capture 시작/중지/재시도 Packet filter

WhireShark – Packet Capture Interface List Capture시 적용 filter Capture를 저장할 파일 Capture 종료 컨디션

WhireShark – Packet Capture

WhireShark – Filter 적용할 filter condition을 직접 쓰거나 Expression에서 골라 Apply한다

WhireShark – Filter

WhireShark – Analyze

WhireShark – Analyze

WhireShark – Statistics

WhireShark – Statistics

WhireShark – Statistics

WhireShark – Statistics

WhireShark – Statistics