RT

Sieci komputerowe

CYB-02 — Analiza anomalii w Wiresharku

Cyberbezpieczeństwo

Przechwycenie i interpretacja ruchu z kontrolowanego testu Nmap w LAB-CYBER, z naciskiem na kontekst, ograniczenia i ochronę danych.

100–120 minVirtualBoxWiresharkNmapPCAPNG

Cele ćwiczenia

Od obserwacji do udokumentowanego wniosku

  • Wybranie interfejsu LAB-CYBER i przechwycenie wyłącznie własnego ruchu laboratoryjnego.
  • Odczytanie śladów ARP, ICMP i TCP powstałych podczas kontrolowanego testu Nmap.
  • Porównanie zwykłego połączenia TCP z odpowiedzią portu zamkniętego i ruchem filtrowanym.
  • Rozpoznanie serii SYN kierowanych do kilku portów bez uznawania pojedynczego pakietu za atak.
  • Ocena retransmisji i Duplicate ACK z uwzględnieniem punktu obserwacji.
  • Minimalizacja, ochrona i udokumentowanie retencji pliku PCAPNG.

Własny ruch i własne maszyny

Autoryzacja, prywatność i granice analizy

Przechwytuj wyłącznie ruch VM-ANALITYK i VM-SERWER w LAB-CYBER. Nie używaj Bridged Adapter, nie przechwytuj sieci uczelni ani innych obcych sieci.

PCAPNG może zawierać identyfikatory, nazwy, tokeny i treść nieszyfrowanych protokołów. Sam filtr wyświetlania ukrywa pakiety w widoku, ale nie usuwa ich z pliku.

Znajomość adresu, dostęp do interfejsu lub możliwość włączenia trybu promiscuous nie stanowią zgody na analizę cudzej komunikacji. Przerwij przechwytywanie natychmiast, jeśli widzisz ruch spoza zatwierdzonego zakresu.

Kontynuacja CYB-01

Topologia, czas i wymagania

Adresacja CYB-02 w sieci LAB-CYBER
ElementAdresRolaSiećPunkt pracy
VM-SERWER192.168.77.10/24kontrolowany cel; SSH i HTTPLAB-CYBERkonsola VirtualBox
VM-ANALITYK192.168.77.20/24Wireshark i NmapLAB-CYBERmiejsce przechwycenia

Przewidywany czas: 100–120 minut. Adapter NAT może służyć wyłącznie do instalacji, a przed przechwyceniem musi być odłączony. W izolowanej sieci nie ustawiaj bramy domyślnej.

Wymagania wstępne

  • Ukończony CYB-01 — Rozpoznanie sieci z Nmap.
  • Podstawy Ethernetu i ARP z NET-02; tutaj nie są powtarzane.
  • Działające Wireshark i Nmap na VM-ANALITYK oraz SSH/nginx/UFW na VM-SERWER.
  • Dostęp do konsoli VM-SERWER, aby zmiany usługi i firewalla nie zależały od badanego połączenia SSH.

Minimalny zakres

Wybór interfejsu oraz rozpoczęcie i zakończenie capture

  1. Na VM-ANALITYK wykonaj ip -br address i znajdź interfejs z adresem 192.168.77.20.
  2. W Wiresharku wybierz ten interfejs; nie wybieraj adaptera NAT, loopback ani interfejsu bez ruchu LAB-CYBER.
  3. Opcjonalnie ustaw capture filter host 192.168.77.10. To składnia pcap/BPF, nie display filter.
  4. Rozpocznij przechwytywanie przed testem łączności i zanotuj dokładny czas startu.
  5. Po zakończeniu ostatniego skanu natychmiast zatrzymaj przechwytywanie.
  6. Zapisz plik jako lab05-NAZWISKO.pcapng w katalogu dostępnym tylko dla właściciela.
# Potwierdzenie interfejsu i zakresu przed uruchomieniem Wiresharka ip -br address ip route ip neigh show 192.168.77.10 # Capture filter — wpisywany przed przechwytywaniem host 192.168.77.10

Znany generator i czas

Kontrolowane generowanie ruchu

Wszystkie polecenia uruchamiaj na VM-ANALITYK, a zmiany nginx i UFW wykonuj z konsoli VM-SERWER. Zanotuj godzinę każdego etapu, aby skorelować ją z kolumną Time.

1. Łączność i stan open/closed

# VM-ANALITYK ping -c 3 192.168.77.10 nmap -sT --reason -p 22,80,443,65000 192.168.77.10 # VM-SERWER — z konsoli sudo systemctl stop nginx # VM-ANALITYK nmap -sT --reason -p 80 192.168.77.10 # VM-SERWER — przywrócenie sudo systemctl start nginx

2. Stan filtrowany

# VM-SERWER — tylko gdy UFW był początkowo inactive sudo ufw allow proto tcp from 192.168.77.20 to any port 22 sudo ufw deny proto tcp from 192.168.77.20 to any port 80 sudo ufw --force enable # VM-ANALITYK nmap -sT --reason -p 22,80 192.168.77.10 # VM-SERWER — przywrócenie sudo ufw disable sudo ufw delete deny proto tcp from 192.168.77.20 to any port 80 sudo ufw delete allow proto tcp from 192.168.77.20 to any port 22

Nie skanuj wszystkich portów. Cztery wskazane porty wystarczają do porównania wzorców i utrzymują mały, czytelny plik przechwycenia.

Display filters

Ograniczenie widoku do badanego ruchu

Filtry wyświetlania Wireshark używane w CYB-02
FiltrCo pokazujeZastosowanie
arptylko komunikaty ARPpotwierdzenie mapowania adresu VM-SERWER
icmpICMP, w tym Echo Request/Replykontrolny ping przed skanem
tcpcały ruch TCPhandshake, RST, zakończenie i ponowienia
dnskomunikaty DNSw LAB-CYBER mogą nie wystąpić przy adresach liczbowych
tlsrozpoznane rekordy TLSwystąpią tylko przy skonfigurowanej usłudze TLS
ip.addr == 192.168.77.10ruch do lub z VM-SERWERgłówny zakres analizy
tcp.flags.syn == 1 && tcp.flags.ack == 0początkowe SYN bez ACKporównanie liczby celów i odstępów czasu
tcp.analysis.retransmissionpodejrzewane retransmisjehipoteza analizatora, nie samodzielny dowód straty
tcp.analysis.duplicate_ackpakiety oznaczone jako Duplicate ACKsygnał do zbadania sekwencji i punktu obserwacji

Każdy wiersz tabeli jest osobnym filtrem wyświetlania. Można je łączyć, np. ip.addr == 192.168.77.10 && tcp. Filtr zmienia widok, ale nie modyfikuje PCAPNG.

arp icmp tcp dns tls ip.addr == 192.168.77.10 tcp.flags.syn == 1 && tcp.flags.ack == 0 tcp.analysis.retransmission tcp.analysis.duplicate_ack

Sekwencja, nie pojedynczy pakiet

Ślady portów i kontrolowanego skanowania

Porównanie wzorców TCP w kontrolowanym skanie
PrzypadekTypowy wzorzecOstrożny wniosekOgraniczenie
Zwykłe połączenie do openSYN → SYN/ACK → ACKpołączenie zostało zestawioneNmap może je szybko zamknąć; przeanalizuj dalsze FIN/RST
Połączenie do closedSYN → RST/ACKhost osiągalny, brak procesu nasłuchującegopolityka stosu i firewalla może zmienić odpowiedź
Ruch do filteredSYN bez odpowiedzi lub komunikat ICMPfiltr utrudnia rozstrzygnięcie stanubrak odpowiedzi może też wynikać ze straty
Seria kontrolowanego skanuSYN do kilku wskazanych portów w krótkim czasiezgodna z wykonanym poleceniem Nmappoza laboratorium wymaga korelacji z autoryzacją i baseline

Pojedynczy SYN jest zwykłym początkiem połączenia. Oceniając anomalię, sprawdź liczbę prób, liczbę portów i celów, odstępy czasu, adres źródłowy, zatwierdzony zakres oraz normalny ruch. Dopiero korelacja tych danych pozwala sformułować hipotezę.

ARP, ICMP, DNS, TLS i analiza TCP

  • ARP może poprzedzać pierwszy ruch, ale może być nieobecny, gdy mapowanie znajduje się w cache.
  • ICMP powinien odpowiadać wykonanemu pingowi; brak Reply może wynikać z polityki hosta.
  • DNS zwykle nie wystąpi, ponieważ polecenia używają adresów liczbowych i sieć nie ma resolvera.
  • TLS pojawi się tylko wtedy, gdy prowadzący skonfigurował własną usługę TLS w LAB-CYBER. Analizuj metadane i handshake, nie próbuj obchodzić szyfrowania.
  • tcp.analysis.retransmission i tcp.analysis.duplicate_ack mogą zwrócić zero pakietów w sprawnej sieci. Nie generuj sztucznej straty tylko po to, by uzyskać wpis.

Dane i kontekst

TLS, retransmisje oraz ochrona i anonimizacja PCAP

Szyfrowanie TLS zwykle pozostawia widoczne adresy, porty, czasy, kierunki, rozmiary i część handshake, ale ukrywa treść aplikacyjną. Nie przypisuj aplikacji ani danych użytkownika wyłącznie na podstawie portu.

Oznaczenia retransmisji i Duplicate ACK są wynikiem analizy kolejności widzianej w tym punkcie przechwycenia. Początek capture w połowie sesji, offloading albo brak części ruchu może prowadzić do mylących oznaczeń.

Ochrona danych PCAPNG CYB-02
EtapWymagane działanieCzego nie robić
Minimalizacjakrótki czas i host 192.168.77.10nie zapisuj adaptera NAT ani ruchu innych sieci
Przechowywaniekatalog właściciela, ograniczone uprawnienia, termin usunięcianie wysyłaj do publicznych analizatorów
Raportzastąp MAC i nazwy maszyn etykietami VM-SERWER/VM-ANALITYKnie wpisuj nazw kont, tokenów ani danych osobowych
Udostępnienie PCAPtylko gdy prowadzący wymaga; eksportuj wyłącznie wskazane pakietydisplay filter sam nie anonimizuje pliku
Anonimizacjastosuj zatwierdzone narzędzie i dokumentuj zmienione polanie modyfikuj materiału dowodowego bez zachowania oryginału i metody
Retencjausuń kopie po zaliczeniu zgodnie z zasadami zajęćnie zachowuj pliku bez określonego celu

Obserwacja, hipoteza, potwierdzenie

Wyniki, pytania i zadanie samodzielne

Miejsca na wyniki studenta CYB-02
ZjawiskoNumery ramekAdresy i portyObserwacjaWniosek z ograniczeniem
ARP
ICMP
TCP port open
TCP port closed
TCP port filtered
Seria SYN
Retransmission / Duplicate ACK
DNS / TLS

Pytania kontrolne

  1. Dlaczego pojedynczy SYN nie jest dowodem skanowania ani ataku?
  2. Jak wygląda typowa odpowiedź TCP portu zamkniętego?
  3. Dlaczego brak odpowiedzi nie pozwala odróżnić filtra od utraty pakietu?
  4. Jak liczba portów, odstępy czasowe i adres źródłowy zmieniają ocenę serii SYN?
  5. Dlaczego tcp.analysis.retransmission jest wskazówką analizatora, a nie pewnym dowodem problemu sieci?
  6. Jakie informacje pozostają widoczne, gdy treść aplikacyjna jest chroniona TLS?
  7. Dlaczego display filter nie usuwa danych z zapisanego PCAPNG?
  8. Jakie informacje trzeba usunąć lub zastąpić w raporcie przed jego udostępnieniem?

Zadanie samodzielne

Wykonaj nowy, krótki capture tylko dla 192.168.77.10. Uruchom zwykłe połączenie HTTP oraz kontrolowany -sT do portów 22, 80 i jednego uzgodnionego portu zamkniętego. Porównaj liczbę SYN, kompletność handshake i sposób zakończenia. W raporcie podaj co najmniej dwie alternatywne interpretacje serii SYN, zanim powiążesz ją z własnym poleceniem Nmap.

Od objawu do testu

Najczęstsze problemy

Nie zwiększaj zakresu capture ani skanu, dopóki nie potwierdzisz interfejsu, czasu i adresów.

Najczęstsze problemy CYB-02
ObjawMożliwa przyczynaPierwszy bezpieczny krok
Brak pakietówwybrano adapter NAT, loopback lub nieaktywny interfejsporównaj adres interfejsu z 192.168.77.20
Widać tylko część skanuprzechwytywanie rozpoczęto za późnouruchom przechwycenie przed poleceniem Nmap
Filtr jest czerwonyużyto składni capture filter w polu display filter albo literówkiwklej jeden zatwierdzony filtr wyświetlania
Brak ARPmapowanie jest już w cachesprawdź ip neigh i opisz ograniczenie; nie czyść cache poza laboratorium
Brak DNS lub TLSużyto adresu liczbowego i nie uruchomiono usługi TLSzapisz poprawnie zero wyników zamiast generować ruch publiczny
Brak retransmisjiizolowana sieć działa bez stratnie wymuszaj awarii; wynik zerowy jest prawidłową obserwacją
Wiele retransmisjiutrata, przeciążenie, start przechwycenia w połowie lub artefakt punktu obserwacjiporównaj czasy, numery sekwencyjne i logi hosta
Nie można rozpocząć capturebrak uprawnień dumpcapsprawdź instalację i grupę wireshark zgodnie z instrukcją prowadzącego

Dokumentacja studenta

Szablon raportu i kryteria zaliczenia

Szablon raportu — CYB-02

Kryteria techniczne i raport

  • Przechwycenie wykonano na interfejsie 192.168.77.20 w LAB-CYBER.
  • Zakres obejmował wyłącznie ruch własnych maszyn 192.168.77.10 i 192.168.77.20.
  • Student wskazał pełne sekwencje dla portu open, closed i filtered albo udokumentował odstępstwo.
  • Serię SYN skorelowano z własnym poleceniem, czasem i listą portów.
  • Brak DNS, TLS, retransmisji lub Duplicate ACK został dopuszczony jako poprawny wynik.
  • Obserwacje oddzielono od hipotez i potwierdzonych wniosków.
  • Raport opisuje właściciela, miejsce, dostęp i termin usunięcia PCAPNG.

Kontrola bezpieczeństwa

  • Nie użyto Bridged Adapter ani interfejsu prowadzącego do obcej sieci.
  • Capture rozpoczęto i zatrzymano świadomie, a zakres opisano w raporcie.
  • Pojedynczych SYN, retransmisji i odpowiedzi DNS nie uznano automatycznie za atak.
  • PCAPNG nie został opublikowany i ma określonego właściciela oraz termin usunięcia.
Lista: Sieci komputerowe
CYB-01 — Rozpoznanie sieci z NmapCYB-03 — Ochrona warstwy drugiej