اسنیف (شنود شبکه) چیست؟

یک کامپیوتر متصل به شبکه محلی، دارای دو آدرس است. یکی آدرس MAC یا )کنترل دسترسی رسانه) که بطور منحصربه فرد، هر گره از شبکه را شناسایی کرده و روی کارت شبکه ذخیره می شود. این آدرس توسط پروتکل اترنت، هنگام ساخت فریم هایی برای انتقال داده بین دستگاه ها استفاده می شود. آدرس دیگر، آدرس IP است که توسط برنامه ها استفاده می گردد. لایه ارتباط داده از هدر اترنت با آدرس MAC دستگاه مقصد، به جای آدرس IP آن استفاده می کند. لایه شبکه نیز مسئول نگاشت آدرس های IP در شبکه به آدرس های MAC موردنیاز پروتکل ارتباط داده است.این لایه، ابتدا آدرس MAC دستگاه مقصد را در یک جدول که معمولا حافظه کش ARP )پروتکل تفکیک آدرس ها) نامیده می شود، جستجو می کند. اگر ورودی ای برای IP مورد نظر یافت نشد، پروتکل تفکیک آدرس، یک بسته درخواست (درخواست ARP) را به تمام دستگاه های موجود در شبکه ارسال می کند. سپس دستگاه با آن IP مورد نظر، آدرس MAC خود را به عنوان پاسخ به دستگاه منبع می فرستد و این آدرس MAC به جدول کش ARP دستگاه منبع اضافه می شود. پس از آن دستگاه منبع در تمام ارتباطاتش با دستگاه مقصد موردنظر، از این آدرس MAC استفاده می کند.

تشخیص اسنیفرها

یک اسنیفر معمولاً غیرفعال است و فقط داده ها را جمع آوری می کند. از این رو شناسایی اسنیفرها به ویژه هنگامی که در حال اجرا در یک اترنت اشتراکی باشند، بسیار دشوار است. اما هنگامی که اسنیفر در بخشی از شبکه اترنت سوئیچ کار می کند، تشخیص اش کمی ساده تر است.

هنگامی که یک اسنیفر بر روی کامپیوتر نصب می شود، مقدار کمی ترافیک تولید می کند. در ادامه به مرور کلیِ روش های تشخیص می پردازیم:

• روش پینگ

ترفند مورد استفاده در این روش، ارسال یک درخواست پینگ با آدرس IP دستگاه مشکوک و آدرس مک دیگری است. اما اگر دستگاه مشکوک در حال اجرای یک اسنیفر باشد، آن را پاسخ می دهد؛ زیرا اسنیفر بسته هایی با آدرس MAC متفاوت را رد نمی کند. البته این یک روش قدیمی ست و دیگر قابل اعتماد نیست.

• روش ARP

یک دستگاه، ARPها را ذخیره می کند. بنابراین کاری که باید انجام دهیم، ارسال یک ARP بدون پخش است. یک ماشین در حالت بی قاعده، آدرس ARPشما را ذخیره می کند. سپس یک بسته پینگ با آدرس IP خود و آدرس MAC متفاوت می فرستیم. فقط دستگاهی که آدرس MAC صحیح ما را از فریم ARP شنود شده دارد، می تواند به درخواست پینگ پخش شده، پاسخ دهد.

• روش تاخیر

این روش براساس این فرض است که اکثر اسنیفرها برخی عملیات تجزیه و تحلیل را نیز انجام می دهند. در این روش، به سادگی، مقدار زیادی از داده ها در شبکه فرستاده می شود و دستگاه مشکوک قبل و در حین جریان داده ها پینگ می شود. اگر دستگاه در حالت بی قاعده باشد، داده ها را تجزیه و تحلیل می کند و بار پردازش بر روی آن افزایش می یابد. بنابراین پاسخ دادن به بسته پینگ زمان بیشتری می برد. این تفاوت در زمان پاسخ را می توان به عنوان شاخصی برای نشان دادن اینکه یک ماشین در حالت بی قاعده است یا نه، استفاده کرد. نکته قابل توجه این است که گاهی به دلیل بار روی سیم، ممکن است بسته ها به تعویق بیافتند و نتایج مثبت کاذب (دستگاه های سالم، به عنوان دستگاهی که در حال اجرای اسنیفر است، تشخیص داده شوند) را منجر شوند.

• نظارت ARP

همانطور که قبلاً توضیح داده شد، یک روش برای شنود در شبکه سوئیچ شده، فریب ARP دروازه است. ابزاری به نام arpwatch می تواند برای نظارت بر حافظه کش ARP یک ماشین استفاده شود تا ببینید آیا نسخه دیگری برای ماشین وجود دارد یا نه. اگر وجود داشته باشد، میتواند آلارم ها را منجرشده و موجب تشخیص اسنیفرها شود. متاسفانه در شبکه در حال اجرایDHCP ، این روش می تواند بسیاری از آلارم های نادرست را موجب شود. یک تغییر ساده افزایش زمان اجاره DHCP است. به این ترتیب حتی پس از اینکه کاربران شما بعد از تعطیلات آخر هفته برگردند، همان آدرس IP قبلی خود را دریافت خواهند کرد و احتمال آلارم جعلی بسیار کاهش می یابد.

• استفاده از IDS

سیستم های تشخیص نفوذ خاص، شبکه را برای ARP Spoofingنظارت می کنند. بعنوان مثال، سیستم متن باز Snort ، دارای یک پیش پردازنده arp-spoof است که اجازه می دهد تا بسته های شبکه با آدرس ARP های جعلی را ثبت کند. به طور معمول، این ابزار هر زوج آدرس Mac/IP در فایل snort.conf را با جفت های موجود در بسته هایی که در شبکه جریان دارند، مقایسه می کند و هرگاه ناسازگاری وجود داشت، هشدار ایجاد می شود.

جلوگیری از شنود شبکه

بهترین روش برای محافظت از خود در برابر شنود، استفاده از رمزگذاری است. با وجود اینکه این کار از عملکرد اسنیفر جلوگیری نخواهد کرد، اما اطمینان حاصل می شود که چیزی که اسنیفر خوانده است، کاملاً به دردنخور است.
اگر شما در یک شبکه سوئیچ شده قرار دارید، احتمال این وجود دارد که فریب پروتکل ARP برای اهداف خرابکارانه انجام شده باشد. دستگاهی که کاربر مخرب به احتمال زیاد سعی در ARP-spoof آن دارد، دروازه است. برای جلوگیری از این رخداد، می توانید آدرس مک دروازه را به طور دائمی به حافظه ARP خود اضافه کنید. این کار با قرار دادن آدرس مک دروازه شما و دیگر دستگاه های مهم در فایل / etc/ethers می تواند انجام شود.