Снифферы под win
Xakep, номер #030, стр. 030-056-2
Еще одной особенностью Ириски (и собственно того, что она реализована под Win32 с использованием графической оболочки GUI) является возможность динамического наблюдения за сетью. Ириска строит всевозможные графики на основе той информации, которая поступает на сетевую карточку. Наблюдая за этими графиками, можно вполне отследить попытки других атаковать какой-либо компьютер внутри сети либо наблюдать, как реагирует сеть на собственные атаки. Весьма захватывающее зрелище, надо сказать. Особенно ярко демонстрируются SYN-flood'ы. На графике они отмечаются как необычайный рост IP-столбца при остальных недвижимых сервисах. Отличить подобные атаки от простого сбоя в маршрутизаторе можно по специально выделенным столбикам роутеров.
Можно быстро посмотреть диаграмму самых активных компьютеров в сети. Затем, не убирая с экрана это окошко, моментально ознакомиться с пропорцией протоколов в сети. Именно так, например, можно узнать, что ты сидишь "на одной ветке" с WEB-сервером Apache. Количество HTTP запросов в этом случае будет чрезвычайно высоким. Да-да-да! Ириска кушает не только IP/TCP/UDP уровни протоколов, она вполне корректно отрабатывает и протоколы высокого уровня.
Кроме всего этого, Ириска умеет работать не только с TCP/IP, но и IPX/SPX протоколами. Что наглядно доказывает диаграммка наверху. Также имеется иллюстрация размерностей пакетов:
С ее помощью можно аккуратно отслеживать активность определенных сервисов, что называется "на глазок". Как? Да очень просто! Нужно только знать пару-тройку особенностей. Например, размеры пакетов меньше 512 байт имеют большинство сообщений ICQ. До 128 байт размер имеют широковещательные сообщения Нетбиос. И так далее. Конечно, не всякий протокол можно отделить от других, но для быстрой оценки "а че вы тут делаете?" этой диаграммы хватит.
Одной из весьма приятных дополнительных особенностей инструментов в Ириске стали фильтры. Весь поток приходящих пакетов обычно быстро заполняет буфер, а декодировщик пакетов, даже на пне-III 650, не успевал их все обрабатывать достаточно быстро. Причем большинство пакетов были явно неинтересны. Их запросто можно отбросить с помощью удобной функции фильтра всего входящего трафика. Пакеты можно раскидывать не только по заголовкам (IP-адреса, номера портов и так далее), но даже и по содержанию некоторого слова в области данных пакета!
Классной фичей является возможность пересобрать пойманный пакет заново и повторить его посылку.
Напоследок я увидел еще одну интересную тулзу у Ириски. Называется она Guard и предназначается для быстрого (как говорят товарищи военные - "тревожного") реагирования на "незаконные" подключения. Так что Iris пригодится и в качестве сторожа для компа домашнего пользователя: настроил, чтобы орала, когда кто-то на нетбиос лезет, и все OK. А звук сирены у Ириски действительно создает отвратное впечатление, что называется, охраны по периметру...
