Обнаружение открытых учетных данных для входа

Введение

В этом задании вы выступите в роли специалиста по сетевой безопасности, расследующего потенциальную утечку данных в вашей компании. Ваша задача — проанализировать сетевой трафик с помощью Wireshark, чтобы определить, были ли какие-либо учетные данные пользователей переданы в открытом виде (clear text), что могло бы объяснить, как была скомпрометирована конфиденциальная информация.

Задача требует от вас изучения файлов захвата пакетов (PCAP) недавних сетевых коммуникаций для поиска раскрытых учетных данных для входа в систему. Применяя методы анализа пакетов, вы определите случаи, когда имена пользователей и пароли могли быть переданы без надлежащего шифрования, подчеркивая критическую важность безопасных протоколов для обработки данных аутентификации.

Skills Graph

Поиск раскрытых учетных данных для входа в систему

Ваша компания обнаружила потенциальную утечку данных. Как специалисту по сетевой безопасности, вам необходимо проанализировать недавний сетевой трафик, чтобы определить, были ли какие-либо учетные данные пользователей переданы в открытом виде (clear text), что могло бы объяснить утечку.

Задачи

• Создайте фильтр отображения (display filter) для поиска HTTP-пакетов, содержащих слова 'user', 'pass' или 'login'
• Определите и извлеките любые раскрытые учетные данные
• Задокументируйте обнаруженные учетные данные в требуемом формате

Требования

• Откройте файл захвата пакетов (packet capture file), расположенный по адресу /home/labex/project/network_analysis/company_traffic.pcap, используя Wireshark

• Создайте фильтр отображения, который будет показывать только HTTP-пакеты, содержащие возможную информацию об учетных данных

• Ваш фильтр должен искать слова 'user', 'pass' или 'login' в HTTP-пакетах

• Сохраните свой фильтр для проверки, нажав кнопку "+" на панели фильтров после проверки его работоспособности

• Как только вы найдете учетные данные, сохраните их в файл с именем /home/labex/project/network_analysis/found_credentials.txt в следующем формате:

  username: [найденное имя пользователя]
  password: [найденный пароль]

Примеры

Когда вы примените правильный фильтр, Wireshark должен отображать только пакеты, содержащие информацию об учетных данных. Вы можете увидеть что-то вроде этого:

No.  Time     Source        Destination   Protocol  Length  Info
1    0.000000 192.168.0.2   192.168.0.1   HTTP      193     GET /login.php HTTP/1.1

При изучении деталей пакета вы должны увидеть информацию об учетных данных в открытом виде:

Frame > Ethernet > Internet Protocol > Transmission Control Protocol > Hypertext Transfer Protocol
    content: username=labby&password=hacker

Ваш файл found_credentials.txt должен выглядеть так:

username: labby
password: hacker

Подсказки

• Запустите Wireshark из терминала, используя команду wireshark
• Чтобы открыть файл захвата пакетов, используйте File > Open и перейдите к местоположению файла
• Панель фильтра отображения находится в верхней части окна Wireshark
• Чтобы искать несколько терминов, используя логику ИЛИ (OR logic), используйте символ вертикальной черты (|)
• Помните, что HTTP-данные могут отображаться в разных частях пакета, поэтому ищите по всему содержимому пакета
• Фильтры Wireshark по умолчанию чувствительны к регистру (case-sensitive)
• Вы можете создать файл учетных данных, используя любой текстовый редактор, например nano или gedit

Итог

В этом задании я научился использовать Wireshark для анализа сетевого трафика и выявления потенциальных уязвимостей безопасности, связанных с раскрытием учетных данных. Задача включала в себя изучение PCAP-файла сетевого трафика компании для обнаружения случаев, когда учетные данные пользователей передавались в открытом виде (clear text), что могло бы объяснить обнаруженную утечку данных.

Благодаря тщательному анализу пакетов я обнаружил HTTP-трафик, содержащий незашифрованную информацию для входа в систему, в частности, POST-запрос, который включал значения имени пользователя и пароля в виде обычного текста (plaintext). Это упражнение подчеркнуло критическую важность использования зашифрованных протоколов (таких как HTTPS) для передачи конфиденциальной информации, поскольку незашифрованные учетные данные могут быть легко перехвачены и использованы злоумышленниками, отслеживающими сетевой трафик.