Рейтинг лучших программ для контроля трафика интернета

Structured Properties

Some properties can have extra metadata attached to them.
These are specified in the same way as other metadata with and
, but the will have extra .

The property has some optional structured properties:

• — Identical to .
• — An alternate url to use if the webpage requires
  HTTPS.
• — A MIME type for this image.
• — The number of pixels wide.
• — The number of pixels high.
• — A description of what is in the image (not a caption). If the page specifies an og:image it should specify .

A full image example:

The tag has the identical tags as . Here is an example:

The tag only has the first 3 properties available
(since size doesn’t make sense for sound):

Сравнить два столбца и вывести уникальные значения (Формулы/Formulas)

Фильтры

Выбор интерфейса для захвата

Опция -i позволяет захватывать трафик только для конкретного интерфейса. Просмотреть список доступных сетевых интерфейсов можно с помощью команды:

$ sudo tshark -D

1. eth0
2. any
3. lo (Loopback)
4. nflog
5. nfqueue
6. usbmon1

После опции -i указывается любой из доступных интерфейсов:

$ sudo tshark -i eth0

С помощью дополнительных аргументов можно получать более специализированную информацию. Например, с помощью аргумента host можно осуществить захват пакетов для конкретного IP-адреса:

$ sudo tshark -i eth0 host 192.168.1.100

В вывод будут включены как входящие, так и исходящие пакеты. Чтобы просмотреть информацию только о входящих пакетах или только об исходящих пакетах, используются аргументы dst и src соответственно:

$ sudo tshark -i eth0 src host 192.168.1.100 

Команда выведет на консоль список пакетов, исходящих с адреса 192.168.1.100

$ sudo tshark -i eth0 dst host 192.168.1.100 

На консоль будет выведен список пакетов, поступающих на адрес 192.168.1.100.

Аналогичным образом можно захватывать трафик для целой подсети — для этого используется аргумент net:

$ sudo tshark -i eth0 src net 192.168.1.0/24

Можно также указать порт, на котором будут захватываться пакеты:

$ sudo tshark -i eth0 host 192.168.1.1 and port 80

Tshark позволяет захватывать пакеты в течение определенного промежутка времени:

$ sudo tshark -i eth0 -a duration:10 -w traffic.pcap

В приведенном примере была также использована опция -w. После неё указывается путь к файлу, в который будут записаны полученные данные.

Фильтры захвата

Эти фильтры используются при захвате трафика «на лету». Они перекомпилируются в набор правил для pcap, в соответствии с которыми осуществляется фильтрация пакетов. На консоль выводится лишь та информация, которая соответствует установленным с помощью фильтров критериям.

В общем виде синтаксис команды tshark с фильтрами можно представить так:

$ sudo tshark -i <интерфейс> -f <фильтр>

Фильтры чтения

Tshark может сохранять информацию о захваченных пакетах в файлах. Чтобы извлечь из этих файлов нужную информацию, используются фильтры чтения, называемые так же правилами (опция -R). Они могут быть использованы и при захвате пакетов «на лету». Обработка информации осуществляется не pcap, а средствами самого tshark.

Эти фильтры дают гораздо более широкие возможности для отбора и конкретизации информации.

Следует, однако, учитывать, что при анализе большого количества информации «на лету» они могут не справиться с возлагаемыми на них задачами: не успевают осуществлять фильтрацию и сбрасывают пакеты.

В общем виде синтаксис правил можно представить так:

$ sudo tshark -R "правило" -r "путь к файлу"

Рассмотрим особенности формирования правил на конкретных примерах.
Так, команда

$ sudo tshark -R "ip.addr == 192.168.0.1" -r /tmp/capture.cap

указывает, что из файла /tmp/capture.cap нужно извлечь информацию об исходящих и входящих пакетах для IP-адреса 192.168.0.1.

Следующее правило будет указывать, что из этого файла нужно извлечь информацию о входяших и исходящих пакетов для всех IP- адресов, кроме 192.168.0.1:

$ sudo tshark -R "!(ip.addr == 192.168.0.1)" -r /tmp/capture.cap 

Аналогичным образом можно задавать правила и для других протоколов и портов (фильтры eth.addr, udp.port, tcp.port):

$ sudo tshark -R  "eth.addr == 00:08:15:00:08:15" -r /tmp/capture.cap

$ sudo tshark -R "udp.port == 80" -r /tmp/capture.cap

$ sudo tshark -R "tcp.port == 80" -r /tmp/capture.cap

Правила можно также объединять при помощи логических операторов and, or и not:

$ sudo tshark -R "not arp and not (udp.port == 53)" -r /tmp/capture.cap

Приведенная команда указывает, что нужно извлечь список всех захваченных пакетов, кроме ARP и DNS (53 порт).

Преимущества

Эффективное выявление атак

• Оперативное выявление угроз, не детектируемых СЗИ уровня ОС
• Определение модифицированного или бесфайлового вредоносного ПО
• Выявление угроз в зашифрованном трафике

Помощь в анализе и расследовании

• Возможность найти атаку в прошлом
• Возможность понять контекст атаки
• Значительное расширение возможностей Threat Hunting и ретроспективного анализа по индикаторам компрометации

Экономическая выгода и удобство

• Снижение расходов на закупку лицензий и оборудования, управление платформой и ее настройку
• Бесшовная интеграция с SIEM и другими СЗИ
• Уведомление только о верифицированных с помощью комбинации ручных и автоматизированных методов обнаружения угрозах

Почему Solar JSOC

• Применение опыта крупнейшего SOC в России в противодействии передовым киберугрозам
• Разработка и регулярное пополнение базы сценариев выявления новых атак центром технического расследования инцидентов Solar JSOC CERT
• Привлечение экспертов по реагированию для решения нетиповых инцидентов и оперативное предоставление рекомендаций по блокированию атаки
• Круглосуточный мониторинг благодаря 5 филиалам в разных часовых поясах, где в любое время суток доступен бизнес-аналитик для решения сложных вопросов
• Все необходимые лицензии и сертификаты (ФСТЭК России, PCI DSS, ФСБ России)

Перепродажа сайтов

Как сделать расстояние между границами столбцов равным

Что такое сетевой сниффер

Сетевые анализаторы делают моментальные копии данных, передаваемых по сети, без перенаправления или изменения. Некоторые анализаторы работают только с пакетами TCP/IP, но более сложные инструменты работают со многими другими сетевыми протоколами и на более низких уровнях, включая Ethernet.

Несколько лет назад анализаторы были инструментами, которые использовались исключительно профессиональными сетевыми инженерами. В настоящее время такое программное обеспечение доступно бесплатно в сети, они также популярны среди интернет-хакеров и людей, которые интересуются сетевыми технологиями.

Сетевые анализаторы иногда называют сетевыми датчиками, беспроводными анализаторами, анализаторами Ethernet, анализаторами пакетов, анализаторами пакетов или просто инструментами отслеживания.

Руководство по быстрому выбору (ссылки на скачивание бесплатных программ для анализа сети)

WireShark

Nmap

Angry IP

Рубрики:

• анализатор
• пакет
• порт
• сеть
• сканер

Лучшие бесплатные программы трассировки маршрута

Что делают посетители на сайте

Ответить на этот вопрос помогут следующие отчеты:
 

 
Карта ссылок показывает, по каким ссылкам на сайте чаще переходят (чем насыщеннее цвет, тем больше переходов):
 

 
При наведении курсора появляется сводка по количеству и доле переходов по конкретной ссылке

Например:
 

 
Карта кликов позволяет определить, куда чаще кликают, в том числе по каким рисункам и некликабельным элементам (если для пользователя с виду они кажутся кликабельными):
 

 
Карта скроллинга показывает, на что больше обращают внимание при прокрутке страниц. Чем насыщеннее цвет, тем больше времени просмотров.
 

 
Аналитика форм — это наглядный отчет о том, как взаимодействуют с формами заявки.
 

 
А также есть Вебвизор, который показывает действия каждого посетителя на сайте

В нем можно посмотреть запись каждого посещения и понять, что больше интересует аудиторию, а что препятствует совершению целевого действия. Подробнее – в этой статье.
 

Как работает сервер DeviceLock EtherSensor

Сервер DeviceLock EtherSensor выполняет три задачи:

• пассивный перехват сетевого трафика канального уровня;
• анализ перехваченного (зеркалированного) трафика для извлечения из него полезных объектов уровня приложения (объекты, их контент, события и т.д.);
• сохранение результатов анализа в базе данных сервера DeviceLock Enterprise Server.
  EtherSensor функционирует без использования агентов DeviceLock, устанавливаемых на рабочих станциях для реализации других функций DLP-контроля. Высокая производительность EtherSensor позволяет использовать серийное серверное оборудование или среду виртуализации для анализа больших потоков данных (гигабиты в секунду без потери пакетов) при достаточно низких системных требованиях. EtherSensor работает в пассивном режиме получения сетевого трафика, следовательно, никак не воздействует на сетевую инфраструктуру и не требует ее изменения, кроме необходимости отведения копии сетевого трафика с помощью зеркалирования трафика или сетевого ответвителя на EtherSensor.

Источники данных для EtherSensor:

1. Cетевые интерфейсы физического или виртуального сервера EtherSensor подключаются к Mirror-порту (SPAN, rx и tx пакеты) для прослушивания трафика с критичных устройств или целых сегментов сети. Аналогично настраивается интеграция с решениями класса NGFW, способными расшифровывать SSL/TLS (PaloAlto Networks, FortiGate, и т.д.), когда копия расшифрованного SSL-трафика направляется на сетевой интерфейс EtherSensor для анализа.
2. Прокси-серверы при условии ICAP-интеграции, имеющие возможность расшифровки HTTPS-трафика и передачи результатов по ICAP в EtherSensor (Blue Coat SG, Cisco WSA, SQUID и т.д).
3. PCAP-файлы на файловой системе. EtherSensor периодически опрашивает каталог на предмет появления новых PCAP-файлов с записанным трафиком. При обнаружении такие файлы немедленно обрабатываются и анализируются EtherSensor.
4. Lotus Notes Transaction Log для получения всех сообщений, проходящих через почтовую систему IBM (Lotus) Notes. Также производится обнаружение почтовых сообщений Lotus Notes в обрабатываемом трафике.
5. Плагин для сервера Microsoft Skype for Business (Lync) с ролью Edge, отправляющий копию переписки на сервер EtherSensor.

Сервер EtherSensor реконструирует и анализирует объекты трафика, начиная с уровня 2 модели OSI и до уровня 7 – объекты, специфические для определённого приложения, пользователя и Интернет-сервиса, при этом число поддерживаемых сервисов превышает несколько тысяч. Для решения задачи анализа SSL/TLS трафика EtherSensor интегрируется с любыми сторонними решениями, имеющими функцию расшифровки SSL. Кроме того, встроенный ICAP-сервер позволяет серверу EtherSensor взаимодействовать с ICAP-клиентами, обрабатывающими HTTPS-трафик. Помимо этого, для решения задачи вскрытия SSL/TLS методом MITM может использоваться дополнительный программный продукт SSLSplitter.

Полученные в результате перехвата данные проходят предварительную фильтрацию с целью исключения заведомо неинтересного или мусорного трафика с использованием технологии Berkeley Packet Filter (BPF), которая позволяет предоставлять для дальнейшего анализа данные именно из тех сегментов сети, которые востребованы службой ИБ.

Применение

В начале 1990-х широко применялся хакерами для захвата пользовательских логинов и паролей, которые в ряде сетевых протоколов передаются в незашифрованном или слабозашифрованном виде. Широкое распространение хабов позволяло захватывать трафик без больших усилий в больших сегментах сети практически без риска быть обнаруженным.

Снифферы применяются как в деструктивных, так и в благих целях. Анализ прошедшего через сниффер трафика позволяет:

• Обнаружить паразитный, вирусный и закольцованный трафик, наличие которого увеличивает загрузку сетевого оборудования и каналов связи (снифферы здесь малоэффективны; как правило, для этих целей используют сбор разнообразной статистики серверами и активным сетевым оборудованием и её последующий анализ).
• Выявить в сети вредоносное и несанкционированное ПО, например, сетевые сканеры, флудеры, троянские программы, клиенты пиринговых сетей и другие (это обычно делают при помощи специализированных снифферов — мониторов сетевой активности).
• Перехватить любой незашифрованный (а порой и зашифрованный) пользовательский трафик с целью получения паролей и другой информации.
• Локализовать неисправность сети или ошибку конфигурации сетевых агентов (для этой цели снифферы часто применяются системными администраторами)

Поскольку в «классическом» сниффере анализ трафика происходит вручную, с применением лишь простейших средств автоматизации (анализ протоколов, восстановление TCP-потока), то он подходит для анализа лишь небольших его объёмов.

Использование получаемых данных системой мониторинга (Zabbix)

У tsp нет какого-либо machine-readable API типа SNMP или подобного. Сообщения CC нужно агрегировать хотя бы по 1 секунде (при высоком проценте потери пакетов, их может быть сотни/тысяч/десятки тысяч в секунду, зависит от битрейта).

Таким образом, чтобы сохранять и информацию и нарисовать графики по CC-ошибкам и битрейту и сделать какие-то аварии дальше могут быть следующие варианты:

1. Распарсить и сагрегировать (по CC) вывод tsp, т.е. преобразовать его в нужную форму.
2. Допилить сам tsp и/или процессорные плагины bitrate_monitor и continuity, чтобы результат выдавался в machine-readable форме, пригодной для системы мониторинга.
3. Написать своё приложение поверх библиотеки tsduck.

Очевидно, что с точки трудозатрат вариант 1 самый простой, особенно учитывая то, что сам tsduck написан на низкоуровневом (по современным меркам) языке (C++)

Простенький прототип парсера+агрегатора на bash показал, что на потоке 10Мбит/с и 50% потери пакетов (наихудший вариант), процесс bash потреблял в 3-4 раза больше CPU, чем сам процесс tsp. Такой вариант развития событий неприемлем. Собственно кусок этого прототипа ниже

Запуск обёртки

Чтобы создать экземпляр сервиса нужно выполнить команду systemctl enable tsduck-stat@239.0.0.1:1234, затем запустить с помощью systemctl start tsduck-stat@239.0.0.1:1234.

Фильтры

Выбор интерфейса для захвата

$ sudo tshark -D

1. eth0
2. any
3. lo (Loopback)
4. nflog
5. nfqueue
6. usbmon1

$ sudo tshark -i eth0

$ sudo tshark -i eth0 host 192.168.1.100

$ sudo tshark -i eth0 src host 192.168.1.100 

$ sudo tshark -i eth0 dst host 192.168.1.100 

$ sudo tshark -i eth0 src net 192.168.1.0/24

$ sudo tshark -i eth0 host 192.168.1.1 and port 80

$ sudo tshark -i eth0 -a duration:10 -w traffic.pcap

Фильтры чтения

$ sudo tshark -R "правило" -r "путь к файлу"

$ sudo tshark -R "ip.addr == 192.168.0.1" -r /tmp/capture.cap

$ sudo tshark -R "!(ip.addr == 192.168.0.1)" -r /tmp/capture.cap 

$ sudo tshark -R  "eth.addr == 00:08:15:00:08:15" -r /tmp/capture.cap

$ sudo tshark -R "udp.port == 80" -r /tmp/capture.cap

$ sudo tshark -R "tcp.port == 80" -r /tmp/capture.cap

$ sudo tshark -R "not arp and not (udp.port == 53)" -r /tmp/capture.cap

WirelessNetView (Windows)

WirelessNetView (Windows)

WirelessNetView — это небольшая утилита от веб-ресурса NirSoft, которая работает в фоновом режиме и отслеживает активность беспроводных сетей вокруг вас. Она предлагается бесплатно для личных и коммерческих целей. Это довольно простой WiFi-сканер, доступный как в портативном, так и требующем установки виде. В рамках данной статьи рассмотрена версия 1.75.

Графический интерфейс пользователя решения WirelessNetView не очень замысловатый — это просто окно со списком беспроводных сетей. Для каждой обнаруженной сети доступна следующая информация: SSID, качество сигнала в текущий момент времени, среднее качество сигнала за все время наблюдения, счетчик обнаружений, алгоритм аутентификации, алгоритм шифрования информации, MAC-адрес, RSSI, частота канала, номер канала и т. д.

Таким образом, показатели уровня сигнала данная утилита предоставляет в отрицательных значениях дБм, а также в процентных отношениях для последнего полученного сигнала и среднего показателя за все время наблюдения. Но было бы еще лучше, если бы нам также были доступны средние значения для RSSI конкретной точки доступа за все время наблюдения. Еще одной уникальной деталью доступных аналитических данных, которые предлагает утилита WirelessNetView, является показатель того, насколько часто каждый SSID обнаруживается, что может быть полезно в определенных ситуациях.

Двойной щелчок на любой из обнаруженных беспроводных сетей откроет диалоговое окно со всеми сведениями о конкретной сети, что может оказаться очень удобно, поскольку для просмотра всех деталей в основном списке ширины вашего экрана явно не хватит. Щелчок правой кнопкой мыши по любой сети из списка позволяет сохранить данные для этой конкретной беспроводной сети или всех обнаруженных сетей в текстовый или HTML-файлы. В меню панели инструментов «Параметры» отображаются некоторые параметры и дополнительная функциональность, такие как фильтрация, формат MAC-адресов и другие предпочтения отображения информации.

Учтите, что у данной утилиты отсутствует целый ряд расширенных функций, которые мы ожидаем увидеть в современных WiFi-сканерах. В первую очередь речь идет о графическом представлении информации, полной поддержке стандарта 802.11ac и, соответственно, распознавании всех каналов, занятых точкой доступа, которая может использовать большую ширину канала. Тем не менее, решение WirelessNetView все равно может быть полезно для простого наблюдения за беспроводными сетями или небольшим WiFi-пространством, особенно если вы найдете некоторые из уникальных функциональных возможностей данной утилиты ценными для себя.

Скачать WirelessNetView: http://www.nirsoft.net/utils/wireless_network_view.html

Заключение