---
# System prepended metadata

title: Практическая работа №9

---

МИНОБРНАУКИ РОССИИ
Федеральное государственное бюджетное образовательное учреждение
высшего образования
«МИРЭА – Российский технологический университет»

Институт кибербезопасности и цифровых технологий

ОТЧЁТ ПО ПРАКТИЧЕСКОЙ РАБОТЕ №9
по дисциплине
«Методы сбора и обработки данных из открытых источников»
Выполнил:
студент группы ББМО-01-22
Орлянский Владислав Евгеньевич
Проверил:
Литвин И.А.

«Зачтено» «__»_________2023 г. ______________
Москва 2023
# Практическая работа №9
## Установка
Первый шаг, который вам нужно сделать, это загрузить и установить Wireshark на свой компьютер.
После установки был запущен Wireshark

![](https://hackmd.io/_uploads/S1Ffl1HI2.png)
Рисунок 1 - Главное окно Wireshark

После были загружены файлы из практической работы в программу.

![](https://hackmd.io/_uploads/SJN6g1r8h.png)
Рисунок 2 - Первый загруженный файл
## Первый файл

Для начала была просмотрена информация эксперта:

![](https://hackmd.io/_uploads/r1pYve8U2.png)
Рисунок 3 - Информация эксперта

В первом загруженном файле были найдены:

1) Аномальная активность в виде ARP сканирования. При обнаружении был использован фильтр arp.dst.hw_mac==00:00:00:00:00:00.

![](https://hackmd.io/_uploads/SyRASkBI3.png)
Рисунок 4 - ARP 

Во время сканирования ARP злоумышленник обычно отправляет большое количество широковещательных запросов ARP (ff: ff: ff: ff: ff: ff), направленных на MAC-адрес 00: 00: 00: 00: 00: 00, чтобы узнать действующие IP-адреса в локальной сети. 

2) TCP SYN / скрытое сканирование
tcp.flags.syn= =1 and tcp.flags.ack==0 and tcp.window_size <= 1024
![](https://hackmd.io/_uploads/HJTGvkr8h.png)
Рисунок 5 - TCP SYN

По сути, это первый шаг в трехстороннем TCP-согласовании (начало любого TCP-соединения) с очень маленьким размером окна TCP.

Если мы видим слишком много таких пакетов за короткое время, скорее всего, кто-то делает:
* SYN-сканирование в нашей сети (например, путем запуска nmap -sS <target>)
* Порт SYN просматривает сеть (например, запустив nmap -sS -pXX <subnet>)
* SYN-флуд (метод отказа в обслуживании)

3) TCP Connect () сканирование
tcp.flags.syn= =1 and tcp.flags.ack==0 and tcp.window_size > 1024

Единственное отличие от сканирования SYN — это больший размер окна TCP, который указывает на то, что стандартное TCP-соединение фактически ожидает передачи некоторых данных.

![](https://hackmd.io/_uploads/H1m8YJSI3.png)
Рисунок 6 - TCP Connect
    
Если мы видим слишком много таких пакетов за короткий промежуток времени, скорее всего, кто-то делает:

* Сканирование портов в нашей сети (например, путем запуска nmap -sT <target>)
* Порт просматривает сеть (например, запустив nmap -sT -pXX <subnet>)

4) TCP Null

tcp.flags==0

![](https://hackmd.io/_uploads/S19y5kS82.png)
Рисунок 7 - TCP Null

TCP Null сканирование работает путем отправки пакетов без установленных флагов. Это потенциально может проникнуть в некоторые брандмауэры и обнаружить открытые порты.

Если мы видим такие пакеты в нашей сети, вероятно, кто-то выполняет сканирование TCP null (например, запустив nmap -sN <target>).
    
5) ICMP флуд
  
icmp and data.len > 48

![](https://hackmd.io/_uploads/ry20cJrU3.png)
Рисунок 8 - ICMP флуд

Типичный стандартный ICMP ping отправляет пакеты с 32 байтами данных (команда ping в Windows) или 48 байтами (команда ping в Linux).

Когда кто-то выполняет ICMP-флуд, он обычно отправляет гораздо больший объем данных, поэтому здесь мы фильтруем все ICMP-пакеты с данными размером более 48 байт. Это эффективно обнаружит любой ICMP-поток независимо от типа или кода ICMP.

Злоумышленники часто используют такие инструменты, как fping или hping, для выполнения ICMP-лавинной рассылки.
    
6) Надежда на VLAN
    
dtp or vlan.too_many_tags

![](https://hackmd.io/_uploads/BkOYi1HI2.png)
Рисунок 9 - Hope for VLAN
    
Hope for VLAN — это метод обхода контроля доступа к сети (NAC), который часто используется злоумышленниками, пытающимися получить доступ к различным VLAN путем неправильной настройки коммутаторов Cisco.

Верным индикатором надежды VLAN является наличие пакетов DTP или пакетов, отмеченных несколькими тегами VLAN.

Если мы видим такие пакеты в нашей сети, возможно, кто-то пытается выполнить VLAN в надежде использовать, например, утилиты frogger или yersinia.
    
7) Необъяснимая потеря пакетов
    
tcp.analysis.lost_segment or tcp.analysis.retransmission
    
Если мы видим много повторных передач пакетов и разрывы в сетевом соединении (потерянные пакеты), это может указывать на серьезную проблему в сети, возможно, вызванную атакой отказа в обслуживании.

Такая ситуация в Wireshark, безусловно, заслуживает дальнейшего изучения.
    
![](https://hackmd.io/_uploads/r1vp21HU3.png)
Рисунок 10 - Потеря пакетов

tcp.flags.fin && tcp.flags.syn

8) Пакеты с неправильными значениями флагов TCP

tcp.flags.fin && tcp.flags.syn

![](https://hackmd.io/_uploads/SyrHdxI82.png)
Рисунок 11 - обнаружение пакетов с неправильными значениями флагов TCP
    
Этот фильтр позволяет отобразить пакеты с одновременно установленными флагами FIN и SYN, что является необычным.

9) Пакеты с неправильными значениями TTL

ip.ttl == 0 || ip.ttl > 64

![](https://hackmd.io/_uploads/HyKBKxUI2.png)
Рисунок 12 - обнаружение пакетов с неправильными значениями TTL

Этот фильтр отображает пакеты, у которых значение TTL равно нулю или превышает 64. Нестандартные значения TTL могут указывать на аномалии или проблемы с маршрутизацией.
    
10) Фильтр для обнаружения пакетов с множественными соединениями

tcp.flags.syn == 0 && tcp.flags.ack == 1
    
![](https://hackmd.io/_uploads/rkBW9lU8h.png)
Рисунок 13 - обнаружение пакетов с множественными соединениями

Этот фильтр отобразит пакеты, у которых установлен флаг ACK без предшествующего флага SYN. Такая ситуация может указывать на попытку установки соединения без правильного инициирующего пакета SYN

## Второй файл
    
Далее был загружен второй файл

![](https://hackmd.io/_uploads/rJeia1SU3.png)
Рисунок 14 - Второй файл
    
1) ARP сканирование

arp.dst.hw_mac==00:00:00:00:00:00

![](https://hackmd.io/_uploads/rk2HCyBL3.png)
Рисунок 115 - ARP Сканирование
    
2) Проверка связи ICMP

icmp.type= =8 or icmp.type==0

![](https://hackmd.io/_uploads/SyI-v7SL2.png)
Рисунок 16 - Проверка связи ICMP

3) TCP Connect () сканирование

tcp.flags.syn= =1 and tcp.flags.ack==0 and tcp.window_size > 1024

![](https://hackmd.io/_uploads/rk0vPmB83.png)
Рисунок 17 - TCP Connect
    
4) ICMP флуд

icmp and data.len > 48
    
![](https://hackmd.io/_uploads/SJK6yeHI2.png)
Рисунок 18 - ICMP флуд
    
5) Обнаружение пакетов с неправильными значениями флагов TCP

tcp.flags.fin && tcp.flags.syn    

![](https://hackmd.io/_uploads/SJN1ogLU2.png)
Рисунок 19 - Обнаружение пакетов с неправильными значениями флагов TCP
    
6) Пакеты с неправильными значениями TTL

![](https://hackmd.io/_uploads/HkWmsx88h.png)
Рисунок 20 - Обнаружение пакетов с неправильными значениями TTL

7) Фильтр для обнаружения пакетов с множественными соединениями

tcp.flags.syn == 0 && tcp.flags.ack == 1

![](https://hackmd.io/_uploads/S1kvslU83.png)
Рисунок 21 - обнаружение пакетов с множественными соединениями

## Третий файл

1) ARP сканирование

arp.dst.hw_mac==00:00:00:00:00:00

![](https://hackmd.io/_uploads/HJlLhQBLn.png)
Рисунок 22 - ARP сканирование
    
2) Проверка связи ICMP

icmp.type= =8 or icmp.type==0

![](https://hackmd.io/_uploads/ryuGugBLh.png)
Рисунок 23 - Проверка связи ICMP

С помощью этого фильтра мы фильтруем эхо-запросы ICMP (тип 8) или эхо-ответы ICMP (тип 0).

Если мы видим слишком много таких пакетов за короткий промежуток времени, нацеленных на множество разных IP-адресов, то, вероятно, мы видим эхо-запросы ICMP. Кто-то пытается определить все действующие IP-адреса в нашей сети (например, запустив nmap -sn -PE <subnet>).
    
3)  DNS ошибки

dns.flags.rcode != 0 or (dns.flags.response eq 1 and dns.qry.type eq 28 and !dns.aaaa)

![](https://hackmd.io/_uploads/S1aQGNHL2.png)
Рисунок 24 - DNS ошибки
 
Всякий раз, когда сервер отвечает чем-либо, кроме "да", это плохо. В DNS положительный ответ по-прежнему не обязательно является положительным ответом. Это происходит с запросами на IPv6-адрес. Вместо отправки сообщения об ошибке "такого имени нет" сервер отвечает без кода ошибки и без IPv6-адреса. В нашем случае это хорошо видно по строкам с записью NULL

Фильтр состоит из флага какие dns запросы не могут быть правильно разрешены или ответы DNS касаемые записи АААА, другими словами это поиск пустых ответов и запросов с исключением ответа по IPv6.

4) Пакеты с неправильными значениями TTL

ip.ttl == 0 || ip.ttl > 64

![](https://hackmd.io/_uploads/H1NG3eU82.png)
Рисунок 25 - Обнаружение пакетов с неправильными значениями TTL

# Вывод
В данной практической были исследованы возможности Wireshark, а так же выполнен поиск возможных анамалий и угроз сети. Все найденые аномалии были описаны и показаны на скриншотах в работе.  