Network Security - Wired Sniffing 실습 ICNS Lab. Kyung Hee University

Network Security - Wired Sniffing 실습 ICNS Lab. Kyung Hee University

Outline Network Network 구조 Source-to-Destination 간 packet 전달과정 Packet Capturing Packet Capture 의원리 Data Link Layer 의동작 Wired LAN Environment Dummy HUB Switch Sniffing Tool 소개 Sniffing Tool 실습

End-to-End delivery(1/2)

End-to-End delivery (2/2) Source Destination Applications Applications Applications TCP TCP TCP IP LAN Technologies: Ethernet, FDDI, etc IP LAN Technologies: Ethernet, FDDI, etc IP LAN Technologies: Ethernet, FDDI, etc

Packet Capture Source Destination Applications Applications Applications TCP TCP TCP IP LAN Technologies: Ethernet, FDDI, etc IP LAN Technologies: Ethernet, FDDI, etc IP LAN Technologies: Ethernet, FDDI, etc

Data Link Layer Procedure Promiscuous mode 와 Non-promiscuous mode Upper Layer MAC address 일치 Data Link Layer MAC address 불일치 Physical Layer Data Link Layer 에서의동작

Wired LAN Environment (1/2) Gateway Router Internet Dummy HUB PC A PC D PC B PC C

Wired LAN Environment (2/2) Gateway Router Internet Switch PC A PC D PC B PC C

Sniffer Tools Introduction

Tools Introduction(1/2) WinPCAP(Windows Packet CAPture library) Win32 platform용 packet capture tool Network analyzing library 오픈소스 libpcap(unix library) 의 windows 버전 http://www.winpcap.org

Tools Introduction(2/2) Wireshark(Ethereal) 가장대표적인 Network Analyzer 오픈소스 강력한필터기능이특징 WinPCAP library 와 driver 이용 http://www.ethereal.com https://download.cnet.com/ethereal-network-protocol- Analyzer/3000-2085_4-10492160.html SuperScan 간단한포트스캐너 SYN attack 으로포트검색 http://www.snapfiles.com/get/superscan.html (4.1) https://superscan.kr.uptodown.com/windows/download (3.0)

Super Scan 3.0 자신의 interface Scan 할 port 설정 Scan 대상 Scan 시작 / 중지 결과창

Super Scan 3.0 Scan 할 Port 설정

Super Scan 3.0 1. Scan할범위를지정 2. Start 버튼으로 scan을시작

Super Scan 3.0 Scan 된 port 를보여준다

Ethereal Install

Ethereal 둘러보기 Capture 된 Packet 의 list Packet 의분석내용 Packet 의실제데이터

Ethereal 둘러보기 - Menu(1/2) File Capture 파일들을 open/merge, Capture 파일들의전체나일부를 save/print/export, Ethereal 종료하는아이템들을포함 Edit Find packet 하고 Time Reference, 한개나그이상의 packet 에대한 Mark Reference, 당신의선택을 Set preference 하는아이템들을포함 View Packets 의 capture 된데이터의표시를제어한다. 이것은색깔과폰트크기조절, 개별윈도우에서 packet 을보여주는것, packet 상세정보상에서트리들이늘어나고줄어드는것을포함

Ethereal 둘러보기 - Menu(2/2) Go 이메뉴는특정 packet 으로이동하는아이템들을포함. Capture 당신이 capture 를시작 / 종료하는것과 capture filter 를수정하는것을허락 Analyze 표시필터들을다루고, 프로토콜들의정밀한분석을가능하게하거나불가능하게하고, 사용자정의디코드를설정하고, TCP 흐름을따르는아이템을포함 Statistics 이메뉴는다양한통계윈도우들을표시하기위한메뉴아이템들을포함한다. 이것은 captured packets 에대한요약, 프로토콜계층통계를표시등을포함

Ethereal 둘러보기 - Tool bar : Capture 관련 icons : 환경설정 : Capture 가능한 interface list 를보여준다 : Capture option : Capture 시작 / 중지 / 재시도 Packet filter

Ethereal 둘러보기 Edit -> Preferences

Packet Capture(1/3) Tool bar 에서 Capture list icon( ) 을클릭 NIC 을고르고 Prepare 로 capture 에관한설정후 Capture 로 Packet Capture 를시도

Packet Capture(2/3) Interface 관련설정 Capture 시적용 filter Capture 를저장할파일 Capture 종료컨디션 <Capture 동작화면 > <Capture Options 설정화면 >

Packet Capture(3/3) <Capture 된화면 >

Filter(1/2) 적용할 filter condition 을직접쓰거나 Expression 에서골라 Apply 한다

Filter(2/2) <Filter 적용예시 Source IP Address 가 163.180.16.53 인 Packet>

Analyze(1/3)

Analyze(2/3)

Analyze(3/3)

Statistics(1/5)

Statistics(2/5)

Statistics(3/5)

Statistics(4/5)

Statistics(5/5)

실습 옆자리에앉은사람이 ' 보안접속 ' 을통하지않은로그인을추적하여 ID/Password 를찾아내보자 1. 보안접속 을통한로그인을추적하여 ID/Password 가어떻게보호되어있는지추론해보자 2. 옆자리에앉은사람과서로 port scan 을행하여이에대한이상 traffic 을탐지해보자 3. 5 분여정도 subnetwork 의 packet 을 capture 해보고 protocol 별로 traffic 양을통계내보자