Strumenti di analisi del traffico di rete

Transcript

1 Capitolo 1 Strumenti di analisi del traffico di rete Il traffico internet è, per sua natura, di molteplici tipi, per cui può essere necessario analizzarlo: in questo modo, infatti, è possibile capire quale sia quello effettivamente utile e quale no, attuando, nei confronti del secondo, politiche di blocco e simili. L analisi del traffico viene effettuata tramite appositi tool detti sniffers, o analizzatori di protocollo, progettati appositamente per catturare, registrare, visualizzare e decodificare i frames che viaggiano sulla rete. Questi strumenti una volta catturati i pacchetti, li analizzano in profondità, decodificandoli e dissezionandoli; compiuto questo passo, i tool sono in grado di mostrare il traffico della rete in una configurazione leggibile e comprensibile agli esseri umani, permettendo di capire, quindi, cosa sta effettivamente accadendo. Un analizzatore di protocollo può essere sia un apparecchiatura hardware standalone con software specializzato, o più semplicemente un software che si installa su un computer desktop o su un notebook: in questo caso, l installazione avviene su un sistema operativo standard. Questi due tipi hanno evidenti differenze di costo: 5

2 6 Analisi del traffico di rete Figura 1.1. Livello a cui lavorano gli sniffer i primi, infatti, hanno prezzi molto alti in quanto si tratta di macchine dedicate, mentre i secondi sono più economici e convenienti. L analizzatore software può essere inoltre rilasciato sotto licenza open-source, come, ad esempio, la licenza GPL permettendo, a chiunque lo desideri, di analizzare una rete. La cattura dei pacchetti avviene come segue: lo sniffer utilizza le schede di interfaccia di rete configurate in modalità promiscua, un modo di funzionamento particolare che permette di leggere tutto il traffico che transita in un punto della rete e non solo quello diretto ad uno specifico indirizzo; di fatto è opposto alla

3 Analisi del traffico di rete 7 modalità non promiscua, che è il comportamento normale delle schede. Come già accennato, il traffico sulla rete è composto di frame, i quali contengono una serie di informazioni che esulano dai dati veri e propri: queste sono indicate con il nome di header, e contengono indicazioni aggiuntive, comprendenti gli indirizzi di mittente e destinatario e la formattazione del pacchetto stesso. Normalmente, quando i pacchetti così formati vengono trasmessi a tutti coloro che sono in attesa di un segmento da una rete, si parla di modalità broadcast: in questo caso, le schede di rete determinano se l indirizzo MAC a cui è diretto il pacchetto è effettivamente il loro; se è effettivamente così, il pacchetto dati viene quindi passato al Kernel del sistema operativo e da qui in su sulla pila del protocollo, fino ad arrivare a livello applicativo. Nel caso contrario, il ricevente non è autorizzato a riceverlo e il pacchetto deve essere scartato. In modo promiscuo non vengono rifiutati i pacchetti diretti ad altre macchine: così facendo, un analizzatore di protocollo è in grado di controllare il traffico. Un analizzatore di protocollo è uno strumento indispensabile per tutte coloro che abbiano bisogno di capire come funzioni una rete perché è in grado di fornire una visione esatta di quello che sta realmente accadendo: è necessario, innanzitutto, quando si implementano protocolli, si fanno funzionare applicazioni di rete e durante il testing delle stesse, quando si fanno diagnosi e si devono risolvere problemi e ancora quando si vuole semplicemente effettuare il monitoraggio durante il normale funzionamento di tutti gli apparati. A tutte queste motivazioni di carattere lavorativo se ne aggiungono altre di tipo prettamente pedagogico: un analizzatore di protocollo permette di avere un interazione visiva, mostrando i picchi di utilizzo della banda e migliorando la conoscenza del funzionamento della rete stessa. Tramite

4 8 Analisi del traffico di rete un analizzatore, è possibile vedere come funziona un protocollo nella pratica, esplorando il modo in cui opera effettivamente sui dati, distinguendo quindi quelle che sono applicazioni insicure o che appesantiscono inutilmente la rete e identificando gli attacchi; contemporaneamente, è uno strumento molto utilizzato dai pirati informatici per ottenere informazioni non autorizzate o con intenti dannosi. Le reti di computer con gli applicativi che vi lavorano sopra sono sistemi complessi, ricchi di parametri e di variabili. Un analizzatore di protocollo permette di osservare i comportamenti complessi Che queste possono avere, capirne il significato, l importanza, i motivi, riconoscerne i sintomi e risalire alle cause ultime che provocano i problemi che possono sorgere su una rete, poiché permette di diagnosticare con certezza scientifica quello che sta realmente avvenendo su una rete. Solo da una diagnosi precisa delle cause è possibile mettere in atto contromisure capaci di debellare i problemi. 1.1 Il funzionamento dell analizzatore Il processo di lavoro di un analizzatore di protocollo può essere suddiviso in tre fasi: raccolta, conversione, analisi. Analizziamole brevemente: Raccolta - La prima fase comprende la selezione e il corretto posizionamento sulla rete dell interfaccia di cattura in promiscuous mode; Conversione - In questo stadio, i dati binari grezzi catturati sono convertiti in un formato comprensibile; i dati catturati sono comunque in una forma che consente di interpretarli solo ad un livello molto basso; Analisi - L analizzatore di protocollo prende i dati catturati sulla rete, verifica i protocolli basandosi sulle informazioni estratte e in base alle loro caratteristiche specifiche li esamina.

5 Analisi del traffico di rete 9 Questa premessa sul funzionamento degli analizzatori di protocollo serve per introdurre tre tool che servono proprio a questo scopo, ossia Ntop, Wireshark e IPTraf. 1.2 Analizzatore di protocollo Ntop Ntop è un applicazione open-source scritta in C, rilasciata sotto la licenza GNU. Gli obiettivi di questo tool sono i seguenti: Portabilità su piattaforme Unix e non (Windows); Applicazione semplice a livello di kernel con basso utilizzo di memoria e risorse; La capacità di controllare e monitorare reti da remoto, senza necessità di installazione di applicazioni di tipo client specifiche per l analisi del traffico; Requisiti minimi a livello di sistema operativo, ma comunque in grado di sfruttare capacità maggiori se presenti; Abilità di mostrare i dati sia su un terminale che su una pagina web; Output dell analisi del traffico ricco e facilmente comprensibile; possibilità di scaricare estensioni per il programma. La cattura dei pacchetti è sicuramente la caratteristica maggiormente portabile di Ntop: diversamente da altre semplificazioni(come, ad esempio, i thread), non esiste una libreria portabile sui diversi sistemi operativi per tale compito. Sotto i sistemi UNIX esiste la libreria libpcap, che fornisce un interfaccia unica per la cattura dei pacchetti, mentre altri sistemi operativi procurano tool proprietari. Gli autori del programma decisero di utilizzare proprio la libpcap e di portarla anche

6 Analisi del traffico di rete 17 il problema all amministratore di rete, capire l origine dell attacco usando le informazioni sul traffico immagazzinate in un database SQL o ancora attuare azioni specifiche in modo da bloccare l attacco o, almeno, limitarne l estensione all interno della rete Ottimizzazione della rete e progettazione Molto spesso le performance della rete sono influenzate da una configurazione non ottimale di alcuni host e da un utilizzo non efficiente della banda disponibile. In particolare, Ntop permette agli amministratori di: Identificare protocolli non necessari; Identificare routing non ottimale; Capire la caratterizzazione e la distribuzione del traffico; Ridurre il numero di protocolli usati; Rendere più oculato l uso della banda. In generale, Ntop combina caratteristiche presenti in altri tool che non sono sempre facili da integrare. La sua interfaccia unica permette agli amministratori di utilizzarlo immediatamente senza bisogno di configurare applicazioni client necessarie per altri tool. 1.3 Analizzatore di protocollo Wireshark Wireshark (precedentemente chiamato Ethereal) è un software per analisi di protocollo, o packet sniffer, utilizzato per la soluzione di problemi di rete, per l analisi e lo sviluppo di protocolli o di software di comunicazione e per la didattica.

7 18 Analisi del traffico di rete Wireshark possiede tutte le caratteristiche di un analizzatore di protocollo standard: le sue funzionalità sono molto simili a quelle di tcpdump, ma con l aggiunta di un interfaccia grafica, e maggiori funzionalità di ordinamento e filtraggio. Permette all utente di osservare tutto il traffico presente sulla rete utilizzando la modalità promiscua dell adattatore di rete; si riferisce tipicamente alle reti Ethernet, ma è possibile utilizzarlo anche su altri tipi di rete fisica. L analizzatore è rilasciato sotto una licenza Open Source; gira sulla maggior parte dei sistemi Unix e compatibili (inclusi GNU/Linux, Sun Solaris, FreeBSD, NetBSD, OpenBSD e Mac OS X) e sui sistemi Microsoft Windows appoggiandosi al toolkit di grafica multipiattaforma GTK+. Wireshark riesce a comprendere la struttura di diversi protocolli di rete, è in grado di individuare eventuali incapsulamenti, riconosce i singoli campi e permette di interpretarne il significato; per la cattura dei pacchetti Wireshark non dispone di proprio codice, ma utilizza libpcap/winpcap: per questo motivo, Wireshark può essere utilizzato esclusivamente su reti supportate da queste librerie 1. Analogamente a Ntop, Wireshark può essere usato nei casi seguenti: Gli amministratori di rete possono usarlo per risolvere i problemi di rete; Gli amministratori della sicurezza di rete possono sfruttarlo per esaminare eventuali problemi di sicurezza; Gli sviluppatori utilizzano lo sniffer per effettuare un debug delle implementazioni dei protocolli; 1 Le reti supportate da libpcap/winpcap sono le seguenti: BSD loopback encpsulation, Ethernet, Token Ring, ARCNET, SLIP, PPP, FDDI, ATM, raw IP, PPP in HDLC framing, PPPoE, Cisco PPP con HDLC framing, wireless LAN, OpenBSD loopback encapsulation, Linux cooked capture encapsulation, Apple LocalTalk

8 Analisi del traffico di rete 19 Infine le persone possono usarlo per imparare la struttura interna dei protocolli stessi. Figura 1.5. Screenshot di Wireshark Caratteristiche principali Le seguenti caratteristiche sono alcune di quelle che Wireshark fornisce. Come già detto, Wireshark è disponibile sia per Windows che per la piattaforma UNIX; è in grado di effettuare una cattura live dei pacchetti di dati e di aprirli e salvarli,

9 20 Analisi del traffico di rete Figura 1.6. Screenshot di Wireshark importare ed esportare dati da e verso molti altri programmi di cattura del traffico. Un altra caratteristica importante riguarda il filtraggio dei pacchetti, che può essere fatto in maniera analoga a quanto avviene su tcpdump (di fatto, viene utilizzata la stessa sintassi); oltre a questo, è possibile realizzare ricerche sui pacchetti seguendo vari criteri, colorare i pacchetti sulla base dei filtri e creare vari tipi di statistiche. È possibile analizzare dati acquisiti in tempo reale su una rete attiva (from the wire), come pure analizzare dati salvati precedentemente su file di cattura, e ancora: I dati possono essere acquisiti dal vivo su reti di vario tipo, come Ethernet,

10 Analisi del traffico di rete 21 Figura 1.7. Screenshot di Wireshark FDDI, PPP, Token Ring, IEEE , IP classico su ATM, e interfacce di loopback (non tutti i tipi sono supportati su tutte le piattaforme); È possibile analizzare i dati sia tramite interfaccia grafica che da linea di comando, con il programma tshark; I dati catturati su file possono essere facilmente modificati, convertiti o filtrati, tramite opzioni su riga di comando del programma editcap; È possibile scomporre e analizzare centinaia di protocolli di comunicazione.

11 22 Analisi del traffico di rete Wireshark è stato inserito nella lista degli strumenti di sicurezza di la celebre Top 100 Network Security Tools: questo strumento compariva al secondo posto assoluto, e al primo posto per la categoria dei packet sniffers. Grazie alle sue prestazioni e alla sua versatilità, Wireshark è considerato di qualità decisamente superiore rispetto a molti prodotti commerciali. Come dice l intestazione del sito è il più popolare analizzatore di protocollo del mondo e viene attualmente considerato uno standard nel suo genere. 1.4 IPTraf IPTraf è una utility di monitoraggio per reti basate su IP. Il suo compito è quello di intercettare pacchetti dalla rete e fornire vari tipi di informazioni sul traffico corrente presente sulla rete. IPTraf è stato sviluppato utilizzando le librerie ncurses e può essere lanciato sia da console che da interfaccia grafica. Il pacchetto può essere utilizzato soltanto dall amministratore di rete; una volta lanciato, partirà l interfaccia ncurses da cui è possibile impostare tutte le varie opzioni. La configurazione è abbastanza intuitiva e si possono scegliere numerose opzioni. Ad esempio si può scegliere di visualizzare le statistiche ogni cinque minuti cambiando l intervallo di logging. Molto utili risultano inoltre le funzionalità di filtering. I filtri possono essere di grande aiuto se si vuole conoscere solamente il traffico verso certe porte e protocolli. Tutto ciò può essere definito attraverso delle regole. Ovviamente è anche possibile salvare, modificare e cancellare i vari filtri impostati. Tra le informazioni sotto forma di statistiche che IPTraf ci aiuta ad analizzare approfonditamente, certamente enumeriamo: