подробности файла захвата wireshark, как найти используемый инструмент - PullRequest
0 голосов
/ 09 марта 2011

У меня есть файл захвата, о котором я хочу узнать некоторые подробности, я использовал wireshark, чтобы открыть этот файл захвата, и я пытаюсь выяснить, как найти название инструмента, использованного атакующим .Есть ли какие-либо признаки или вещи, которые я мог бы найти из этого файла захвата, который дает мне знать.

Ответы [ 2 ]

0 голосов
/ 09 марта 2011

Возможно, вам повезет больше, если использовать Snort для анализа файла захвата пакета. В дополнение к инструменту сниффинга, он обеспечивает обнаружение вторжений и анализ сигнатур и более ориентирован на тот тип анализа, который вы ищете, тогда как Wireshark - это (очень хороший) чистый сетевой анализатор.

Я не использовал его в этом качестве (только в качестве сниффера), но я знаю, что он позволяет анализировать прошлые записи, и, если пересмотреть документы только сейчас, похоже, что они, скорее всего, будут делать то, что вы хотите делать.

Может ли он идентифицировать реальные 0-дневные эксплойты, это другой вопрос, который зависит от того, насколько быстро они обновляют / выпускают свои подписи, но большинство сценаристов не используют 0-дневный режим.


ETA : Похоже, что они требуют учетную запись в настоящее время, но также кажется, что, по крайней мере для обычных учетных записей, они бесплатны. Похоже, что они также предлагают услугу подписки, но, как мы надеемся, файлы сигнатур зарегистрированных пользователей достаточно актуальны, чтобы идентифицировать атаку.

0 голосов
/ 09 марта 2011

С помощью wireshark вы узнаете больше о методе, которым они вас атаковали (например, ping-флуд или атака через связующее дерево) по сравнению с использованием такой программы, как cain или некоторой Security Suite.Если вы хотите найти инструмент, я предлагаю найти инструмент и протестировать атаку, которую, по вашему мнению, они использовали, и сравнить трафик пакетов.

...