Identificando Atividades de Rede Suspeitas
Indicadores Comuns de Atividades de Rede Suspeitas
Ao analisar o tráfego de rede para fins de segurança, certos padrões e comportamentos podem indicar atividades suspeitas ou maliciosas:
- Uso Incomum de Portas: Tráfego em portas incomuns ou portas de malware conhecidas
- Consultas DNS Excessivas: Pode indicar tunelamento DNS ou exfiltração de dados
- Credenciais Não Criptografadas: Senhas enviadas em texto simples
- Varredura de Portas (Port Scanning): Múltiplas tentativas de conexão em diferentes portas
- Padrões de Dados Incomuns: Cargas úteis codificadas em Base64 ou tráfego criptografado onde não esperado
- Tentativas de Conexão a IPs Maliciosos Conhecidos: Tráfego de/para endereços na lista negra
Simulando Atividades Suspeitas
Para fins de aprendizado, vamos simular algumas atividades de rede suspeitas que podemos detectar com o Wireshark:
## Create a directory for our security analysis
mkdir -p ~/wireshark_lab/security_analysis
## Simulate a port scan (limited to a few ports for demonstration)
nmap -p 80,443,22,21,25 scanme.nmap.org > ~/wireshark_lab/security_analysis/scan_results.txt 2>&1
Observação: O comando nmap acima executa uma varredura nas portas comuns do servidor scanme.nmap.org, que é configurado especificamente para testar o nmap.
Capturando e Analisando Tráfego Suspeito
- Inicie uma nova captura do Wireshark em sua interface de rede principal:
wireshark &
-
No Wireshark, clique duas vezes na sua interface de rede primária para começar a capturar.
-
Em um terminal separado, execute o comando de simulação:
## Simulate another port scan while capturing
nmap -p 80,443,22,21,25 scanme.nmap.org > /dev/null 2>&1
-
Após a conclusão do comando, pare a captura do Wireshark clicando no botão quadrado vermelho.
-
Salve esta captura como suspicious_traffic.pcapng no diretório ~/wireshark_lab/security_analysis/.
Detectando Varredura de Portas (Port Scanning)
A varredura de portas é uma técnica de reconhecimento comum usada por invasores para descobrir serviços em execução em um sistema. Vamos identificar a atividade de varredura de portas em nossa captura:
- Aplique um filtro para ver as tentativas de conexão em diferentes portas:
tcp.flags.syn == 1 && tcp.flags.ack == 0
Este filtro mostra pacotes TCP SYN, que são usados para iniciar conexões. Um grande número desses pacotes para diferentes portas no mesmo host é indicativo de varredura de portas.
- Para focar no tráfego relacionado à nossa varredura nmap, você pode adicionar um filtro para o domínio de destino:
tcp.flags.syn == 1 && tcp.flags.ack == 0 && ip.addr contains scanme.nmap.org
Criando um Relatório de Análise de Segurança
Vamos documentar nossas descobertas em um relatório de análise de segurança simples:
## Create a report file
nano ~/wireshark_lab/security_analysis/security_report.txt
Adicione o seguinte conteúdo ao arquivo:
Security Analysis Report
=======================
Date: [Current Date]
Findings:
1. Port Scanning Activity Detected
- Source: [Your IP address]
- Target: scanme.nmap.org
- Targeted Ports: 80, 443, 22, 21, 25
- Evidence: TCP SYN packets to multiple ports
2. Analysis Method:
- Used Wireshark to capture network traffic
- Applied filter: tcp.flags.syn == 1 && tcp.flags.ack == 0
- Identified pattern of systematic connection attempts
3. Recommended Actions:
- Monitor for unauthorized scanning activities
- Implement firewall rules to limit outbound scanning
- Consider implementing network intrusion detection systems
Salve o arquivo pressionando Ctrl+O, depois Enter e saia do nano com Ctrl+X.
Criando um Filtro Personalizado para Atividades Suspeitas
Vamos criar um filtro personalizado para detectar possíveis problemas de segurança:
- No Wireshark, digite o seguinte filtro:
(tcp.flags.syn == 1 && tcp.flags.ack == 0) || (dns.qry.type == 1 && dns.qry.name contains "suspicious") || (http.request && ip.addr == 192.168.0.1)
Este filtro complexo procura:
- Atividade de varredura de portas (pacotes SYN sem ACK)
- Consultas DNS para domínios contendo "suspicious"
- Requisições HTTP de/para o IP 192.168.0.1
-
Salve este filtro:
- Clique no botão "+" na extremidade direita da barra de filtro
- Nome:
Security Monitoring (Monitoramento de Segurança)
- Filter string: (cole o filtro acima)
- Clique em "Save" (Salvar)
-
Exporte esta configuração de filtro para uso futuro:
## First, open your Wireshark profile directory to find the saved filters
ls -la ~/.config/wireshark/
Resumindo sua Análise de Segurança
Vamos verificar nossos artefatos de análise de segurança:
## List all the files we've created
ls -la ~/wireshark_lab/security_analysis/
Você deve ver:
scan_results.txt - Saída da nossa varredura nmapsuspicious_traffic.pcapng - Captura do Wireshark de atividades suspeitassecurity_report.txt - Nosso relatório de análise
Esses arquivos representam um fluxo de trabalho básico de análise de segurança cibernética:
- Capture tráfego suspeito
- Analise o tráfego usando filtros apropriados
- Documente as descobertas e recomendações
Em um ambiente de segurança real, você continuaria a refinar suas técnicas de detecção, criar filtros mais sofisticados e integrar a análise do Wireshark com outras ferramentas de segurança para detecção e resposta abrangentes a ameaças.
