Hacking ético - Sniffing

Sniffing é o processo de monitorar e capturar todos os pacotes que passam por uma determinada rede usando ferramentas de sniffing. É uma forma de “grampear fios telefônicos” e ficar sabendo da conversa. Também é chamadowiretapping aplicadas às redes de computadores.

Há muitas possibilidades de que, se um conjunto de portas de switch corporativo estiver aberto, um de seus funcionários possa farejar todo o tráfego da rede. Qualquer pessoa no mesmo local físico pode se conectar à rede usando um cabo Ethernet ou conectar-se sem fio a essa rede e farejar o tráfego total.

Em outras palavras, o Sniffing permite que você veja todos os tipos de tráfego, protegidos e desprotegidos. Nas condições certas e com os protocolos certos em vigor, uma parte atacante pode ser capaz de coletar informações que podem ser usadas para outros ataques ou para causar outros problemas para o proprietário da rede ou do sistema.

O que pode ser cheirado?

Pode-se farejar as seguintes informações confidenciais de uma rede -

  • Tráfego de email
  • Senhas de FTP
  • Tráfegos da web
  • Senhas telnet
  • Configuração do roteador
  • Sessões de chat
  • Tráfego DNS

Como funciona

Um farejador normalmente transforma o NIC do sistema para o promiscuous mode para que ele ouça todos os dados transmitidos em seu segmento.

O modo promíscuo se refere à forma única de hardware Ethernet, em particular, placas de interface de rede (NICs), que permite que uma NIC receba todo o tráfego da rede, mesmo que não seja endereçado a esta NIC. Por padrão, uma NIC ignora todo o tráfego que não é endereçado a ela, o que é feito comparando o endereço de destino do pacote Ethernet com o endereço de hardware (também conhecido como MAC) do dispositivo. Embora isso faça sentido para redes, o modo não promíscuo torna difícil usar o software de monitoramento e análise de rede para diagnosticar problemas de conectividade ou contabilidade de tráfego.

Um sniffer pode monitorar continuamente todo o tráfego para um computador por meio da NIC, decodificando as informações encapsuladas nos pacotes de dados.

Tipos de cheirar

Farejar pode ser de natureza ativa ou passiva.

Sniffing Passivo

Na detecção passiva, o tráfego é bloqueado, mas não é alterado de forma alguma. Farejar passivo permite apenas ouvir. Funciona com dispositivos Hub. Em um dispositivo de hub, o tráfego é enviado a todas as portas. Em uma rede que usa hubs para conectar sistemas, todos os hosts da rede podem ver o tráfego. Portanto, um invasor pode capturar facilmente o tráfego que passa.

A boa notícia é que os hubs estão quase obsoletos hoje em dia. A maioria das redes modernas usa switches. Conseqüentemente, cheirar passivamente não é mais eficaz.

Sniffing ativo

Na detecção ativa, o tráfego não é apenas bloqueado e monitorado, mas também pode ser alterado de alguma forma, conforme determinado pelo ataque. A detecção ativa é usada para detectar uma rede baseada em switch. Envolve injetaraddress resolution packets (ARP) em uma rede alvo para inundar o switch content addressable memory(CAM) tabela. O CAM mantém registro de qual host está conectado a qual porta.

A seguir estão as técnicas ativas de cheirar -

  • MAC Flooding
  • Ataques DHCP
  • Envenenamento DNS
  • Ataques falsificados
  • Envenenamento ARP

Protocolos que são afetados

Protocolos como o comprovado e verdadeiro TCP / IP nunca foram projetados com a segurança em mente e, portanto, não oferecem muita resistência a invasores em potencial. Várias regras são fáceis de farejar -

  • HTTP - É usado para enviar informações em texto não criptografado sem qualquer criptografia e, portanto, um alvo real.

  • SMTP(Simple Mail Transfer Protocol) - O SMTP é basicamente utilizado na transferência de emails. Este protocolo é eficiente, mas não inclui nenhuma proteção contra farejamento.

  • NNTP (Network News Transfer Protocol) - É usado para todos os tipos de comunicações, mas sua principal desvantagem é que os dados e até mesmo as senhas são enviados pela rede como texto não criptografado.

  • POP(Post Office Protocol) - POP é estritamente usado para receber e-mails dos servidores. Este protocolo não inclui proteção contra farejamento porque pode ser interceptado.

  • FTP(File Transfer Protocol) - FTP é usado para enviar e receber arquivos, mas não oferece nenhum recurso de segurança. Todos os dados são enviados como texto não criptografado que pode ser facilmente detectado.

  • IMAP (Internet Message Access Protocol) - IMAP é igual ao SMTP em suas funções, mas é altamente vulnerável a farejamentos.

  • Telnet - O Telnet envia tudo (nomes de usuário, senhas, pressionamentos de tecla) pela rede como texto não criptografado e, portanto, pode ser facilmente detectado.

Sniffers não são utilitários idiotas que permitem que você visualize apenas o tráfego ao vivo. Se você realmente deseja analisar cada pacote, salve a captura e revise-a sempre que o tempo permitir.

Analisadores de protocolo de hardware

Antes de entrarmos em mais detalhes sobre os sniffers, é importante discutirmos sobre hardware protocol analyzers. Esses dispositivos se conectam à rede no nível do hardware e podem monitorar o tráfego sem manipulá-lo.

  • Analisadores de protocolo de hardware são usados ​​para monitorar e identificar tráfego de rede malicioso gerado por software de hacking instalado no sistema.

  • Eles capturam um pacote de dados, o decodificam e analisam seu conteúdo de acordo com certas regras.

  • Os analisadores de protocolo de hardware permitem que os invasores vejam os bytes de dados individuais de cada pacote que passa pelo cabo.

Esses dispositivos de hardware não estão prontamente disponíveis para a maioria dos hackers éticos devido ao seu enorme custo em muitos casos.

Interceptação legal

Interceptação legal (LI) é definida como acesso sancionado legalmente aos dados da rede de comunicações, como chamadas telefônicas ou mensagens de e-mail. A LI deve sempre estar em busca de uma autoridade legal para fins de análise ou evidência. Portanto, LI é um processo de segurança no qual uma operadora de rede ou provedor de serviços concede aos policiais permissão para acessar comunicações privadas de indivíduos ou organizações.

Quase todos os países elaboraram e promulgaram legislação para regular os procedimentos de interceptação legais; grupos de padronização estão criando especificações de tecnologia LI. Normalmente, as atividades de LI são realizadas com o objetivo de proteção de infraestrutura e segurança cibernética. No entanto, os operadores de infraestruturas de rede privada podem manter os recursos de LI dentro de suas próprias redes como um direito inerente, a menos que seja proibido de outra forma.

LI era anteriormente conhecido como wiretapping e existe desde o início das comunicações eletrônicas.