Laboratorio de Redes 1

Transcripción

1 INSTITUTO TECNOLÓGICO Y DE ESTUDIOS SUPERIORES DE MONTERREY Laboratorio de Redes 1 Práctica 9 Monitoreo y análisis de paquetes en GNU/Linux Parte 2 Autor: Ing. Raúl Fuentes Samaniego. Para esta segunda parte de las prácticas relacionadas al manejo de análisis de paquete se utilizara un sniffer de línea de comando denominado TCPDUMP. Dicho sniffer es considerado una de las herramientas claves para el monitoreo en redes y de mayor utilización, a tal punto otros sniffers mantienen compatibilidad con el o toman sus ficheros como base inicial. TCPDUMP TCPDUMP y WIRESHARK son parecidos en que ambos trabajan paquetes de red y ambos pueden evaluar filtros. De hecho, Wireshark es capaz de leer el formato de capturas de TCPDump y guardar las suyas en dicho formato.. Algunos se refieren a Wireshark como la GUI de TCPDump debido a que históricamente Wireshark estuvo en un principio basado en TCPDump. Argumentos La siguiente es una lista de argumentos disponibles para el manejo de TCPDUMP Tabla 1 Captura de pantalla del help de TCPDUMP tcpdump [ -AbdDefIKlLnNOpqRStuUvxX ] [ -B buffer_size ] [ -c count ] [ -C file_size ] [ -G rotate_seconds ] [ -F file ] [ -i interface ] [ -m module ] [ -M secret ] [ -r file ] [ -s snaplen ] [ -T type ] [ -w file ] [ -W filecount ] [ -E spi@ipaddr algo:secret,... ] [ -y datalinktype ] [ -z postrotate-command ] [ -Z user ] [ expression ] -i any : Listen on all interfaces just to see if you're seeing any traffic. -n : Don't resolve hostnames. -nn : Don't resolve hostnames or port names. -X : Show the packet's contents in both hex and ASCII. -XX : Same as -X, but also shows the ethernet header. -v, -vv, -vvv : Increase the amount of packet information you get back. -c : Only get x number of packets and then stop. -s : Define the size of the capture (use -s0 unless you are intentionally capturing less.) Última modificación: marzo de 2012 Pag. 1

2 -S : Print absolute sequence numbers. -e : Get the ethernet header as well. -q : Show less protocol information. -E : Decrypt IPSEC traffic by providing an encryption key. -s : Set the snaplength, i.e. the amount of data that is being captured in bytes -c : Only capture x number of packets, e.g. 'tcpdump -c 3' A : print each packet (minus its link level header) in ASCII. Handy for capturing web-pages Si se comparan estos comandos desde consola con los comandos de Wireshark la diferencia puede parecer fuerte pero en realidad trata de lo mismo: Selección de interfaces, definir el tiempo de vida capturando paquetes (por tiempo o por cantidad) y el filtro para seleccionar los paquetes a capturar. La diferencia radica que mientras en Wireshark cargamos distintas configuraciones en ventanas gráficas para las capturas, en TCPDump se hace por medio de los argumentos desde el mismo programa y los paquetes son enviados a la salida estándar de toda terminal de consola en Linux. Por cierto, de los argumentos de la Tabla 1 tomen en cuenta los siguientes para la realización de la práctica: -nn : Para la práctica es preferible no hacer traducciones de dominio. -X : Para ser fácil colaborar que fue lo que capturo. -S: Este es particularmente útil a la hora de analizar el evento de los paquetes al ser enumerados tal como aparecen en pantalla y no como lleguen a la interfaz. -s 0: TCPDUMP por defecto solo captura los primeros 96 bytes de un paquete. Con este argumento forzamos a TCPDUMP de recibir toda la información. Escribiendo a archivo Utilizando el argumento -w <OutputFile> nos permite guardar el resultado de las capturas en un archivo. El archivo tendrá el formato tcpdump. Como ya se había dicho anteriormente, dicho formato también es leíble con Wireshark. El siguiente ejemplo es una muestra de captura del puerto 80 a un archivo. # tcpdump -s 1514 port 80 -w capture_file Si se desea leer una captura previamente guardada utilice el argumento -r <output File> Este es un medio preferible a desviar la salida estándar de la terminal de consola. Interfaces Puede utilizar el argumento tcpdump D para obtener el listado de las interfaces y el comando -i <interfaz para capturar solo de ella Última modificación: marzo de 2012 Pag. 2

3 Filtros Al igual que en Wireshark, a la hora de analizar paquetes y obtener los que son de nuestro interés se pueden aplicar filtros con funciones lógicas. Las 3 funciones típicas son las siguientes: AND ( y lógico): Representado por los caracteres and y && OR ( o lógico): Representado por los carecteres or y EXCETP (negación lógica): Representado por los caracteres: not y! Groupin El uso de paréntesis para darle preferencia a las búsquedas lógicas El siguiente es un ejemplo de captura de un nodo origen que envía paquetes a un puerto destino en particular: tcpdump nnvvs and src and dst port 3389 Observe, que se pide no hacer traducciones de nombres (-nn), además de capturar u nodo y hacia un Puerto en particular (En este caso,fuera del rango de puertos bien conocidos, pero si se usara por ejemplo el puerto 23 capturaría todo los paquetes que ese usuario enviara vía Telnet). El siguiente ejemplo es parecido, pero utiliza como posibles puestos destinos 3389 y 22 (OBSERVE las comillas) tcpdump 'src and (dst port 3389 or 22)' El siguiente ejemplo es similar al primero, pero en este caso el objetivo es capturar todo paquete destinado o proveniente de una sub-red en particular # tcpdump net /24 Por ultimo, el siguiente es para detectar todo el trafico destinado o proveniente de un host en particular: # tcpdump host Los filtros de TCPDUMP pueden superar por mucho el manejo habitual en wireshark ya que permite incluso filtrar por detalles específicos del os encabezados de los protocolos pero para motivos de la práctica quedaran excluidos. Filtros básicos Los siguientes son ejemplos proveídos por (Miessler) de cómo utilizar TCPDUMP para funciones sencillas de monitoreo y análisis de trafico Última modificación: marzo de 2012 Pag. 3

4 Tabla 2 Ejemplos de uso de TCPDUmp (Miessler) Host Busca trafico basado en una dirección IP (fuente o destino) # tcpdump host Src, dst Encuentra tráfico de solo una fuente o destino de un host. # tcpdump src # tcpdump dst Net Captura todo el trafico que involucre hosts de una subred en particular. (Notación CIDR) # tcpdump net /24 Proto Permite capturar trafico que haga uso de los protocolos: TCP.UDP y/o ICMP (Observación: No es requerido escribir proto ) # tcpdump icmp Port Captura trafico que utilice un puerto en determinado (origen o destino)- # tcpdump port 3389 Src port, dst port Equivalante a los ya visto, pero estos funcionan para Capa transporte. # tcpdump src port 1025 # tcpdump dst port 389 src/dst, port, protocol Identificacion completa de Capa transporte (Solo TCP, UDP). Observación: No olvidar que ICMP no corresponde a dicha capa. # tcpdump src port 1025 and tcp # tcpdump udp and src port 53 Port Ranges Se capturan paquetes utilziando cierto rango de puertos tcpdump portrange Packet Size Filter Se capturan paquetes de ciertos tamaños. tcpdump less 32 tcpdump greater 128 tcpdump > 32 tcpdump <= 128 Práctica Al igual que la sesión pasada, en esta ocasión estaremos capturando los paquetes desde un cnal IRC que le lleguen a todo los alumnos del laboratorio. Se hará primero de forma manual y después se intentara personalizar y automatizar por medio de Shell scripting. Entendiendo el Escenario Como ya se dijo, el objetivo de es obtener captura de un elemento en la red, pero es necesario primero entender exactamente cuál es nuestra situación. El instructor deberá de proveer una topología gráfica que represente como tienen acceso al servidor Web donde se encuentre el chat. Con la topología de la red, responda las siguientes preguntas: Existen dispositivos separadores de dominio de colisión entre usted y sus compañeros? De ser así, Cómo impactaría que sus compañeros y usted estuviesen en diferentes dominios de colisión si intentara capturar paquetes específicamente para ellos? Última modificación: marzo de 2012 Pag. 4

5 Existen dispositivos que controlen dominios de Broadcast entre sus compañeros? De ser así sería posible capturar paquetes que fuesen dirigidos hacia ellos? Por qué? NOTA: Estas preguntas son claves para tener una idea de cómo configurar la captura de TCPDUMP. En este caso en particular, es fácil conocer todas las direcciones de las máquinas de sus compañeros? Esta pregunta es clave para entender que más que vigilar paquetes hacia o desde los compañeros es preferible vigilar algo que permanezca estático, en este caso el servidor donde está alojado el chat. Además, por la naturaleza del chat ofrece algo adicional: Cualquier cosa que ponga cualquier compañero es reenviado hacia los demás. Por lo tanto, tu captura ofrecerá la misma información que obtendrías de poder analizar el trafico entrante y saliente de tus compañeros sin dispositivos que controlen dominios de colisiones. Realización de capturas manuales Utilice TCPDUMP para ir afinando las búsquedas de captura y lograr algo parecido a la práctica pasada. No olvide utilizar los argumentos -nn, -X, -s y -S para una mejor captura. Se puede ayudar con Wireshark, al leer lo que TCPDUM capturo aprovechando el argumento w Capturas únicas del chat Intente obtener la siguiente información. Si la información tiene origen aleatorio indíquelo: Puerto en el que espera recibir respuesta del chat: Puerto destino con el contenido del chat: Dirección del servidor: Última modificación: marzo de 2012 Pag. 5

6 Para la dirección del servidor, puede utilizar un traductor de nombres (un simple ping al servidor generalmente despliega la traducción del nombre). En última instancia se pueden ayudar de capturas independientes de Wireshark para corroborar dichas respuestas. Con esta información realice capturas utilizando TCPDUMP que lo involucre a si mismo y el puerto destino al que envía la información. Evite utilizar una dirección loopback (Ej de Loopback: ), ya que se trata de mensajes a dispositivos físicos y no llamadas internas de si mismo, NOTA: TCPDUMP se mantendrá en ejecución hasta que lo detenga con ctrl+c Verifique el funcionamiento de tal forma aparezcan los mensajes enviados desde el chat (de ser posibles). Capturas hacia el servidor Perfeccione la captura para enfocarse solamente en el servidor donde esta el chat (puede omitir los puertos) Verifique el funcionamiento de tal forma aparezcan los mensajes enviados desde el chat (de ser posibles). Especializar capturas (Opcional) Intente restringir a capturar solamente mensajes que contengan mensajes del chat, es decir, no la carga web, si no actualizaciones del mismo chat. Puede utilizar wireshark para afinar la búsqueda (en el sentido que puede utilizar ese sniffer para verificar direcciones orígenes, destino tanto de capa red como transporte además de otros datos) Automatización del proceso A continuación iniciaremos los preparativos para automatizar el proceso, aquí entran dos factores que seguramente ya habrá notado: El sistema se debe de cerrar por si mismo, esto se logra capturando un tamaño finito de paquetes o bien por duración. Para la práctica bastara utilizando un conteo de paquetes utilizando el Última modificación: marzo de 2012 Pag. 6

7 argumento c. Puede empezar a realizar las pruebas con tamaños de 50 e ir incrementándola según sea necesario. Como ejemplo viene la siguiente función la cual puede ser utilizada para detectar a los nodos que más utilicen el medio: tcpdump -tnn -c i eth0 awk -F "." '{print $1"."$2"."$3"."$4}' sort uniq -c sort -nr awk ' $1 > 100 ' Este en particular, captura los primeros 20 mil paquetes y la información la pasa a AWK. El cual busca direcciones IP (identificadas porque dentro de un archivo de captura, lo único que contiene puntos es una dirección IP). Hasta aquí, lista todo los que usan el medio. Los siguientes comandos (Sort, uniq) son usados para limpiar y eliminar repetidos. Finalmente el ultimo AWK busca un campo en particular del TCPDUMP para detectar el grupo principal (previamente ordenado) Observe con cuidado, esa entrada solo funciona con tales arguments, -t elimina el timestamp sin ese argumento el ultimo AWK no funcionaria. nn juegau n papel importante ya que si se tradujeran los nombres no sería posible imprimir el listado de nodos y perderíamos información. En palabras sencillas, la captura inteligente depende de controlar la sintaxis de salida o bien saber específicamente que se desea capturar. El objetivo, será algo similar, pero con intención de utilizar AWK para detectar patrones. Aplicando AWK o GREP Cree un comando similar al ejemplo, que reciba el filtrado de TCPDUMPB y busque un patrón en particular dado por el usuario. Shell Cree un Shell, el cual mande a llamar el comando que creó en el paso anterior (Este Shell deberá de recibir el patrón que se desea buscar y que pasara a AWK o GREP) Además, el resultado de la búsqueda lo debe de guardar en el archivo resultados.txt Puede referirse a prácticas pasadas para consultar la forma de crear guiones de Shell. AVANZADO (OPCIONAL) Utilice una función para automatizar el proceso y que dispare el comando cada cierto tiempo. Trabajos citados Miessler, D. (s.f.). A tcpdump Tutorial and primer. Recuperado el 2011, de GRep understanding: Última modificación: marzo de 2012 Pag. 7