Sniffer

Kısaca: Bir ağdaki trafiği okuyan ve kaydeden araç — örneğin Wireshark. Hem meşru tanılama hem de saldırılar için kullanılabilir.

Biraz daha ayrıntılı: Sniffer, ağ kartını “promiscuous moda” alır; bu modda kart yalnızca kendisine yöneltilen paketleri değil, görünen tüm trafiği işler. Anahtarlamalı (switched) bir ağda sniffer normalde yalnızca kendi trafiğini görür — bu yüzden saldırganlar başkalarının trafiğini kendi makinelerinden geçirmek için sniffing’i çoğu kez ARP spoofing ile birleştirir. Meşru kullanımlar: ağ sorun giderme, protokol analizi, güvenlik denetimleri.

Ayrıntılı

Bir sniffer’ın başkalarının trafiğini görüp göremeyeceği büyük ölçüde ağ topolojisine bağlıdır:

Eski hub tabanlı ağ:      hub her paketi TÜM portlara gönderir -> başkalarının
                           trafiğini dinlemek basit, ek hileye gerek yok.

Modern anahtarlamalı ağ:  switch paketleri yalnızca hedef porta gönderir ->
                           sniffer varsayılan olarak sadece kendi trafiğini
                           görür, daha fazlası için ek bir hileye (örn. ARP
                           spoofing, switch'te "port mirroring") ihtiyaç duyar.

Meşru ağ tanılaması için profesyonel switch’lerde bu yüzden çoğu kez, tüm trafiğin bir kopyasını bir analiz makinesine bilerek gönderen özel bir “mirror port” veya “SPAN port” bulunur — bu açık yapılandırma (veya switch yerine hub’a fiziksel erişim) olmadan modern bir ağdaki sniffer kendi ağ kartına yöneltilenden fazlasını görmez.

Şifrelenmemiş trafikte (örn. HTTPS yerine eski HTTP, şifresiz Wi-Fi) sniffer parolaları ve içeriği düz metin olarak okuyabilir — modern web’in neredeyse tamamının HTTPS/TLS’ye geçmesinin başlıca nedeni budur. Şifreli trafikte sniffer yine de üst veriyi görür (hangi IP hangi IP ile konuşuyor, ne kadar veri, ne zaman) ama içeriği görmez — “üst veri görünür” ile “içerik korunur” arasındaki bu ayrım, şifrelemenin gerçekte ne kadar koruma sağladığını değerlendirirken önemli bir noktadır.

Tanılama aracı olarak sniffer

BT yöneticileri için sniffer en önemli sorun giderme araçlarından biridir: bir uygulama “bir türlü çalışmıyorsa” ve günlükler tek başına yanıt vermiyorsa, gerçek ağ trafiğine bakmak sorunu çoğu kez hemen ortaya koyar — örneğin yanıt vermeyen bir DNS sunucusu, yanlış sertifika yüzünden başarısız olan bir TLS el sıkışması veya paketleri sessizce düşüren bir güvenlik duvarı kuralı. Wireshark açık ara en yaygın grafik araçtır, tcpdump ise grafik arayüzü olmayan sunucular için komut satırı karşılığıdır:

# Bir ağ arayüzündeki tüm trafiği kaydet
tcpdump -i eth0
 
# Yalnızca belirli bir IP adresiyle olan trafik, dosyaya kaydet
tcpdump -i eth0 host 192.168.1.10 -w capture.pcap

Ortaya çıkan .pcap dosyası, trafiği paket paket ve tam protokol çözümlemesiyle incelemek için Wireshark’a yüklenebilir — karmaşık istemci-sunucu etkileşimlerinde sorun gidermede çok yararlı olan tüm TCP bağlantılarını yeniden oluşturma (“follow TCP stream”) dahil.

Hukuki sınıflandırma

Açıkça yetkili olmadığınız bir ağda ağ trafiğini kaydetmek çoğu hukuk düzeninde suçtur (verilerin yetkisiz dinlenmesi) — kendi ev ağınızda veya ağ işletmecisinin açık izniyle (örn. yazılı görevli bir sızma testi kapsamında) sniffer kullanmak sorun değildir, başkalarının trafiğini gizlice kaydetmek ise sorundur.

Ayrıca bakınız: Wireshark, Spoofing