## Отчёт по практической работе №9
## По дисциплине «Методы сбора и обработки данных из открытых источников»

### Цель работы
Необходимо разобраться в дампах Wireshark, которые нам даны, определить какая аномалия происходит в сети.
### Ход работы
Загружаем и устанавливаем Wireshark.

Выгружаем файлы ддля практической работы.
### Первый файл
Аномальная активность в виде ARP сканирования. Используем фильтр arp.dst.hw_mac==00:00:00:00:00:00.
Первый файл
Аномальная активность в виде ARP сканирования. Используем фильтр arp.dst.hw_mac==00:00:00:00:00:00.
Это первый шаг в трехстороннем TCP-согласовании (начало любого TCP-соединения) с очень маленьким размером окна TCP.

Если есть слишком много таких пакетов за короткое время, скорее всего, кто-то делает:

SYN-сканирование в нашей сети (например, путем запуска nmap -sS <target>).
Порт SYN просматривает сеть (например, запустив nmap -sS -pXX <subnet>).
SYN-флуд (метод отказа в обслуживании).

TCP Connect () сканирование. Используем фильтр tcp.flags.syn= =1 and tcp.flags.ack==0 and tcp.window_size > 1024.
![Uploading file..._8gs3mhv8w]()
Отличие от сканирования SYN: больший размер окна TCP, который указывает на то, что стандартное TCP-соединение фактически ожидает передачи некоторых данных.

Если слишком много таких пакетов за короткий промежуток времени, скорее всего, кто-то делает:

Сканирование портов в нашей сети (например, путем запуска nmap -sT <target>).

Порт просматривает сеть (например, запустив nmap -sT -pXX <subnet>).
TCP Null. Используем фильтрр tcp.flags==0.
TCP Null сканирование работает путем отправки пакетов без установленных флагов. Это потенциально может проникнуть в некоторые брандмауэры и обнаружить открытые порты.

Если есть такие пакеты в нашей сети, вероятно, кто-то выполняет сканирование TCP null (например, запустив nmap -sN <target>).
ICMP флуд. Используем фильтр icmp and data.len > 48.
Стандартный ICMP ping отправляет пакеты с 32 байтами данных (команда ping в Windows) или 48 байтами (команда ping в Linux).

Когда кто-то выполняет ICMP-флуд, он обычно отправляет гораздо больший объем данных, поэтому здесь мы фильтруем все ICMP-пакеты с данными размером более 48 байт. Это эффективно обнаружит любой ICMP-поток независимо от типа или кода ICMP.

Злоумышленники часто используют такие инструменты, как fping или hping, для выполнения ICMP-лавинной рассылки.

Надежда на VLAN. Используем фильтр dtp or vlan.too_many_tags.

Hope for VLAN — это метод обхода контроля доступа к сети (NAC), который часто используется злоумышленниками, пытающимися получить доступ к различным VLAN путем неправильной настройки коммутаторов Cisco.

Верным индикатором надежды VLAN является наличие пакетов DTP или пакетов, отмеченных несколькими тегами VLAN.

Если мы видим такие пакеты в нашей сети, возможно, кто-то пытается выполнить VLAN в надежде использовать, например, утилиты frogger или yersinia.

Необъяснимая потеря пакетов. Используем фильтр tcp.analysis.lost_segment or tcp.analysis.retransmission.
Если есть много повторных передач пакетов и разрывы в сетевом соединении (потерянные пакеты), это может указывать на серьезную проблему в сети, возможно, вызванную атакой отказа в обслуживании.

Такая ситуация в Wireshark, безусловно, заслуживает дальнейшего изучения.

### Второй файл

Теперь рассмотрим второй файл.
Обнаружение пакетов с неправильными значениями флагов TCP. Используем фильтр tcp.flags.fin && tcp.flags.syn.
Фильтр для обнаружения пакетов с множественными соединениями. Используем фильтр tcp.flags.syn == 0 && tcp.flags.ack == 1.
ARP сканирование. Используем флаг arp.dst.hw_mac==00:00:00:00:00:00.
Проверка связи ICMP. Используем флаг icmp.type= =8 or icmp.type==0.![Uploading file..._70uhsmow3]()
ICMP флуд. Используем фильтр icmp and data.len > 48.

TCP Connect () сканирование. Используем фильтр tcp.flags.syn= =1 and tcp.flags.ack==0 and tcp.window_size > 1024.
### Третий файл
Загружаем третий файл

Пакеты с неправильными значениями TTL. Используем фильтр ip.ttl == 0 || ip.ttl > 64.
ARP сканирование. Используем фильтр arp.dst.hw_mac==00:00:00:00:00:00.
Используем фильтр icmp.type= =8 or icmp.type==0.
С помощью этого фильтра мы фильтруем эхо-запросы ICMP (тип 8) или эхо-ответы ICMP (тип 0).

Если есть слишком много таких пакетов за короткий промежуток времени, нацеленных на множество разных IP-адресов, то, вероятно, мы видим эхо-запросы ICMP. Кто-то пытается определить все действующие IP-адреса в нашей сети (например, запустив nmap -sn -PE <subnet>).

DNS ошибки. Используем фильтр dns.flags.rcode != 0 or (dns.flags.response eq 1 and dns.qry.type eq 28 and !dns.aaaa).
Всякий раз, когда сервер отвечает чем-либо, кроме “да”, это плохо. В DNS положительный ответ по-прежнему не обязательно является положительным ответом. Это происходит с запросами на IPv6-адрес. Вместо отправки сообщения об ошибке “такого имени нет” сервер отвечает без кода ошибки и без IPv6-адреса. В нашем случае это хорошо видно по строкам с записью NULL.
## Вывод

Разобрались в дампах Wireshark, которые нам даны, определили какая аномалия происходит в сети.