#STHM-Wireshark: Trafik Analizi

• TCP bağlantı taramaları
• SYN taramaları
• UDP taramaları

• Üç yönlü el sıkışmaya dayanır (bağlantı kurma sürecinin tamamlanması gerekir).
• Genellikle nmap -sT komutu ile gerçekleştirilir.
• Ayrıcalıksız kullanıcılar tarafından kullanılır (root olmayan kullanıcı için tek seçenektir).
• Protokolün doğası gereği isteğin veri beklemesi nedeniyle, genellikle 1024 bayttan büyük bir pencere boyutuna sahiptir.

Aşağıdaki görseller, açık ve kapalı TCP portlarının üç yönlü el sıkışma sürecini göstermektedir. Görseller ve pcap örnekleri, incelemeyi kolaylaştırmak ve her bir duruma ait ayrıntıları daha iyi anlamanız için bölünmüştür dostlarım.
AçıkTCP port :


Kapalı TCP port :

Yukarıdaki görseller, izole edilmiş trafikteki desenleri göstermektedir. Ancak büyük yakalama dosyalarında bu desenleri fark etmek her zaman kolay değildir. Bu nedenle analistler, başlangıçtaki anomali desenlerini görmek için genel bir filtre kullanmalıdır; böylece belirli bir trafik noktasına odaklanmak daha kolay hale gelir. Verilen filtre, bir yakalama dosyasında TCP Connect tarama desenlerini göstermektedir dostlarım.

Kod:

tcp.flags.syn==1 and tcp.flags.ack==0 and tcp.window_size > 1024

SYN Taramaları
TCP SYN Scan özetle:

• Üç yönlü el sıkışmaya dayanmaz (bağlantı kurma sürecinin tamamlanmasına gerek yoktur).
• Genellikle nmap -sS komutu ile gerçekleştirilir.
• Ayrıcalıklı kullanıcılar tarafından kullanılır.
• İstek tamamlanmadığı ve veri almayı beklemediği için, genellikle 1024 bayt veya daha küçük bir boyuta sahiptir.

Açık TCP port (SYN):


Kapalı TCP port (SYN):

Kod:

tcp.flags.syn==1 and tcp.flags.ack==0 and tcp.window_size <= 1024

UDP taramaları
UDP taramalarının özeti:

• El sıkışma süreci gerekmez
• Açık portlar için uyarı yok
• Bağlantı noktlarını kapatmaya yönelik ICMP hata mesajı
• Genellikle şu şekilde gerçekleşir nmap -sU

Kapalı (69 numaralı port) ve açık (68 numaralı port) UDP portları:


Yukarıdaki görsel, kapalı bir portun ICMP hata paketi döndürdüğünü göstermektedir. İlk bakışta bu hata hakkında ayrıntılı bilgi edinmek kolay değildir. Peki bir analist bu hata mesajının hangi isteğe ait olduğunu nasıl belirleyebilir? ICMP hata mesajı, paketin kaynağını ve nedenini gösterebilmek için orijinal isteği kapsüllenmiş veri olarak içerir. Paket ayrıntıları bölümünde ICMP kısmını genişlettiğinizde, kapsüllenmiş veriyi ve orijinal isteği açıkça görebilirsiniz. Bu durum, aşağıdaki görselde örneklenmiştir dostlarım.

Kod:

icmp.type==3 and icmp.code==3

ARP Zehirlenmesi Ve Ortadaki Adam

ARP Zehirleme/Aldatma (Diğer adıyla Ortadaki Adam Saldırısı)​

• Yerel ağ üzerinde çalışır.
• MAC adresleri arasında iletişimi sağlar.
• Güvenli bir protokol değildir.
• Yönlendirilebilir bir protokol değildir.
• Kimlik doğrulama işlevi yoktur.
• Yaygın desenler: istek & yanıt, duyuru ve gereksiz (gratuitous) paketlerdir.

ARP isteği

ARP cevabı


Şüpheli bir durum, belirli bir IP adresi için iki farklı ARP yanıtının (çakışma) bulunması anlamına gelir. Bu durumda Wireshark’ın “expert info” sekmesi analisti uyarır. Ancak çakışmayı vurgulamak için yalnızca yinelenen değerin ikinci oluşumunu gösterir. Dolayısıyla, kötü amaçlı paketi meşru olandan ayırt etmek analistin sorumluluğundadır. Aşağıdaki görselde olası bir IP sahtekarlığı (spoofing) vakası gösterilmektedir.


Burada, ağ mimarisini bilmek ve belirli bir zaman aralığındaki trafiği incelemek anomaliyi tespit etmeye yardımcı olabilir. Bir analist olarak, ilerlemeden önce bulgularınızı not etmelisiniz. Bu, düzenli kalmanıza yardımcı olur ve sonraki bulguları ilişkilendirmeyi kolaylaştırır. Verilen görsele bakıldığında bir çakışma görülmektedir; “b4” ile biten MAC adresi, “192.168.1.25” IP adresiyle bir ARP isteği oluşturmuş, ardından “192.168.1.1” IP adresine sahip olduğunu iddia etmiştir.

Başka anormallikler olup olmadığını tespit etmek için trafiği incelemeye devam edelim dostlarım.

Bu noktada bir anomali olduğu açıktır. Bir güvenlik analisti, yoğun ARP isteklerini görmezden gelemez. Bu durum kötü amaçlı bir faaliyet, tarama ya da ağ sorunları olabilir. Yeni bir anomali daha vardır; “b4” ile biten MAC adresi, “192.168.1.25” IP adresiyle birden fazla ARP isteği oluşturmuştur. Şimdi bu anomalinin kaynağına odaklanalım ve alınan notları genişletelim.

Bu noktada, “b4” ile biten MAC adresinin “192.168.1.25” IP adresine sahip olduğu ve bir IP adresi aralığına karşı şüpheli ARP istekleri oluşturduğu açıktır. Ayrıca olası ağ geçidi adresine sahip olduğunu da iddia etmiştir. Şimdi bu anomalinin kaynağına odaklanalım ve zaman aralığının sonraki bölümlerinde diğer protokollerdeki yansımalarını inceleyelim.

HTTP trafiği mevcut ve IP düzeyinde her şey normal görünüyor, bu nedenle önceki bulgularımızla bağlantılı bir bilgi yok. IP adreslerinin arkasındaki iletişimi ortaya çıkarmak için paket listesi bölümüne MAC adreslerini sütun olarak ekleyelim.

Büyük bir kayıt dosyasında bu küçük bilgi parçacıklarını tespit etmek zordur. Ancak gerçek hayattaki durumlarda, inceleme için hazır “özel hazırlanmış veriler” elinizde olmayacaktır. Bu nedenle anomalileri filtreleyip tespit edebilmek için analist bakış açısına, bilgiye ve araç kullanım becerilerine sahip olmanız gerekir.

Not: Trafik analizinde her zaman alternatif çözümler mevcuttur. Çözümün türü ve yaklaşım, analistin bilgi ve beceri seviyesine ve mevcut veri kaynaklarına bağlıdır genel olarak doslarım.

Tünel Trafiği: ICMP ve DNS
Trafik tünelleme (aynı zamanda “port forwarding” olarak da bilinir), veri/kaynakların güvenli bir yöntemle ağ segmentlerine ve zonlarına aktarılmasıdır. “İnternetten özel ağlara” veya “özel ağlardan internete” doğru akış için kullanılabilir. Veriyi gizlemek için bir kapsülleme süreci vardır; bu sayede aktarılan veri normal görünür, ancak aslında özel veri paketlerini içerir ve bunları güvenli bir şekilde nihai hedefe ulaştırır.
Tünelleme anonimlik ve trafik güvenliği sağlar. Bu nedenle kurumsal ağlarda yoğun şekilde kullanılır. Ancak yüksek düzeyde veri şifrelemesi sağladığı için saldırganlar da tünellemeyi, ICMP ve DNS gibi günlük trafikte kullanılan standart ve güvenilir protokolleri kullanarak güvenlik sınırlarını aşmak için kullanır. Bu nedenle bir güvenlik analisti için ICMP ve DNS anomalilerini tespit edebilme yeteneği kritik öneme sahiptir.

ICMP Analizi​

• Genellikle ICMP tünelleme saldırıları, kötü amaçlı yazılım çalıştırılması veya bir güvenlik açığının istismarı sonrasında ortaya çıkan anomalilerdir.
• ICMP paketleri ek veri yükü taşıyabildiği için saldırganlar bu bölümü veri sızdırmak ve C2 bağlantısı kurmak için kullanır. Bu TCP, HTTP veya SSH verisi olabilir.
• ICMP protokolleri ek veri taşımak için büyük bir fırsat sunar, ancak dezavantajları da vardır. Çoğu kurumsal ağ özel paketleri engeller veya özel ICMP paketleri oluşturmak için yönetici ayrıcalıkları gerektirir.
• Büyük hacimli ICMP trafiği veya anormal paket boyutları, ICMP tünellemenin göstergeleridir. Ancak saldırganlar, normal ICMP paket boyutuna (64 bayt) uyan özel paketler de oluşturabilir, bu yüzden bu tünelleme faaliyetlerini tespit etmek yine de zordur.
• Bir güvenlik analisti, olası anomalileri fark edebilmek ve daha ileri analiz için yükseltebilmek adına normal ile anormal arasındaki farkı bilmelidir.

DNS Analizi
Domain Name System (DNS), IP alan adlarını IP adreslerine çevirmek için tasarlanmıştır. İnternetin telefon rehberi olarak da bilinir. Web hizmetlerinin temel parçası olduğundan yaygın şekilde kullanılır ve güvenilir kabul edilir, bu nedenle çoğu zaman göz ardı edilir. Bu sebeple saldırganlar, veri sızdırma ve C2 (komuta-kontrol) faaliyetlerinde DNS’i kullanır.
DNS analizinin özeti:

• ICMP tünellerine benzer şekilde, DNS saldırıları genellikle kötü amaçlı yazılım çalıştırılması veya bir güvenlik açığının istismarı sonrasında ortaya çıkan anomalilerdir.
• Saldırgan bir alan adı oluşturur (veya önceden sahip olur) ve bunu C2 kanalı olarak yapılandırır.
• Kötü amaçlı yazılım veya istismardan sonra çalıştırılan komutlar, C2 sunucusuna DNS sorguları gönderir. Ancak bu sorgular varsayılan DNS sorgularından daha uzundur ve alt alan adları için hazırlanmıştır.
• Ne yazık ki bu alt alan adları gerçek adresler değildir; aşağıda gösterildiği gibi kodlanmış komutlardır:
  "encoded-commands.maliciousdomain.com"
• Bu sorgu C2 sunucusuna yönlendirildiğinde, sunucu gerçek kötü amaçlı komutları host’a gönderir.
• DNS sorguları ağ faaliyetlerinin doğal bir parçası olduğundan, bu paketlerin ağ güvenlik sınırları tarafından tespit edilmeme ihtimali vardır.
• Bir güvenlik analisti, bu anomalileri fark edebilmek için DNS paket uzunluklarını ve hedef adreslerini nasıl inceleyeceğini bilmelidir.

Açık Metin Protokol Analizi: FTP
Açık metin protokol izlerini incelemek kolay görünebilir, ancak olay analizi ve müdahalesi için büyük bir ağ kaydını inceleme zamanı geldiğinde işler değişir. Doğru analiz, yalnızca akışı takip etmek ve açık metin verilerini okumaktan daha fazlasıdır. Bir güvenlik analisti için, inceleme sürecinden istatistikler ve temel sonuçlar çıkarmak önemlidir. Wireshark serisinin başında da belirtildiği gibi, analistin bunu başarabilmesi için gerekli ağ bilgisine ve araç becerilerine sahip olması gerekir. Hadi Wireshark ile bir açık metin protokol incelemesini simüle edelim!

FTP Analizi​

• MITM saldırıları
• Kimlik bilgisi hırsızlığı ve yetkisiz erişim
• Kimlik avı (phishing)
• Kötü amaçlı yazılım yerleştirme
• Veri

Açık Metin Protokol Analizi: HTTP
Hypertext Transfer Protocol (HTTP), açık metin tabanlı, istemci-sunucu yapısında bir istek-yanıt protokolüdür. Web sayfalarının talep edilmesi ve sunulması için standart ağ etkinliği türüdür ve varsayılan olarak hiçbir ağ güvenlik sınırı tarafından engellenmez. Şifrelenmemiş olması ve web trafiğinin omurgasını oluşturması nedeniyle HTTP, trafik analizinde mutlaka bilinmesi gereken protokollerden biridir. HTTP analizi sayesinde şu saldırılar tespit edilebilir:

• Kimlik avı (phishing) sayfaları
• Web saldırıları
• Veri sızdırma
• Komuta ve kontrol (C2) trafiği

Log4j Analizi​

Şifrelenmiş Protokol Analizi: HTTPS Şifresinin Çözümlenmesi
HTTPS Trafiğini Çözümleme (Decrypting HTTPS Traffic)
Web trafiğini incelerken analistler sık sık şifrelenmiş trafikle karşılaşır. Bu durum, sahtekarlık (spoofing), dinleme (sniffing) ve araya girme (intercepting) saldırılarına karşı güvenliği artırmak için Hypertext Transfer Protocol Secure (HTTPS) protokolünün kullanılmasından kaynaklanır. HTTPS, iletişimi şifrelemek için TLS protokolünü kullanır, bu nedenle şifreleme/çözme anahtar çiftleri olmadan trafiği çözmek ve aktarılan veriyi görmek imkânsızdır. Hassas verilerin güvenli şekilde iletilmesi için iyi bir güvenlik seviyesi sağladığından, saldırganlar ve kötü amaçlı web siteleri de HTTPS kullanır. Bu nedenle bir güvenlik analisti, şifrelenmiş trafiği çözmek ve trafik etkinliğini incelemek için anahtar dosyalarını nasıl kullanacağını bilmelidir.
HTTP trafiği şifrelendiğinde paketler farklı renklerde görünecektir. Ayrıca protokol ve bilgi detayları (gerçek URL adresi ve sunucudan dönen veriler) tam olarak görünmez. Aşağıdaki ilk görsel, TLS protokolü ile şifrelenmiş HTTP paketlerini göstermektedir.

HTTPS ile ilgili ek bilgiler:

TCP üçlü el sıkışma (three-way handshake) sürecine benzer şekilde, TLS protokolünün de kendi el sıkışma süreci vardır. İlk iki adım “Client Hello” ve “Server Hello” mesajlarını içerir. Verilen filtreler, bir kayıt dosyasındaki ilk “hello” paketlerini gösterir. Bu filtreler, TLS el sıkışmasına hangi IP adreslerinin dahil olduğunu tespit etmek için faydalıdır.

• Client Hello: (http.request or tls.handshake.type == 1) and !(ssdp)
• Server Hello: (http.request or tls.handshake.type == 2) and !(ssdp)

Şifreleme Anahtar Günlük Dosyası (Encryption Key Log File)
Bir şifreleme anahtar günlük dosyası, şifrelenmiş trafik oturumunu çözmek için kullanılan benzersiz anahtar çiftlerini içeren bir metin dosyasıdır. Bu anahtar çiftleri, SSL/TLS etkin bir web sayfası ile bağlantı kurulduğunda (oturum başına) otomatik olarak oluşturulur. Tüm bu işlemler tarayıcıda gerçekleştiği için, sisteminizi yapılandırmanız ve uygun bir tarayıcı (Chrome ve Firefox bunu destekler) kullanmanız gerekir. Bu değerleri bir anahtar günlük dosyası olarak kaydetmek için bir ortam değişkeni ayarlamanız ve SSLKEYLOGFILE oluşturmanız gerekir; tarayıcı, web’de gezinirken anahtarları bu dosyaya kaydedecektir.
SSL/TLS anahtar çiftleri bağlantı sırasında oturum başına oluşturulduğundan, trafik yakalama sırasında anahtarların kaydedilmesi önemlidir. Aksi takdirde, yakalanan trafiği çözmek için uygun bir anahtar günlük dosyası oluşturmak mümkün değildir.
Anahtar günlük dosyalarını eklemek veya kaldırmak için “sağ tık” menüsünü ya da Edit → Preferences → Protocols → TLS menüsünü kullanabilirsiniz.

Sağ tıklama menüsünü kullanarak önemli günlük dosyaları ekleme:

"Edit --> Preferences --> Protocols --> " seçeneğiyle önemli günlük dosyaları ekleyin:

Trafik verilerini anahtar log dosyalarıyla/dosyalar olmadan görüntüleme:

Yukarıdaki görsel, anahtar günlük dosyası kullanıldıktan sonra trafik detaylarının görünür hale geldiğini göstermektedir. Paket detayları ve baytlar bölmesi, inceleme için verileri farklı formatlarda sunar. Trafik çözüldükten sonra sıkıştırılmış başlık bilgisi ve HTTP2 paket detayları da erişilebilir olur. Paket detaylarına bağlı olarak aşağıdaki veri formatlarına da ulaşabilirsiniz:

• Çerçeve (Frame)
• Çözülmüş TLS (Decrypted TLS)
• Sıkıştırması açılmış başlık (Decompressed Header)
• Yeniden birleştirilmiş TCP (Reassembled TCP)
• Yeniden birleştirilmiş SSL (Reassembled SSL)

Bonus: Açık Metin Kimlik Bilgilerini Avla!
Buraya kadar, paketleri belirli koşullar için nasıl inceleyeceğimizi ve anomalileri nasıl fark edeceğimizi tartıştık. İlk bölümde de belirtildiği gibi, Wireshark bir IDS değildir, ancak bazı durumlarda uzman bilgi kısmında öneriler sunar. Bununla birlikte, bazen anomaliler meşru trafiği taklit eder ve tespit zorlaşır. Örneğin, açık metin kimlik bilgisi avlama durumunda, birden fazla kimlik bilgisi girişini fark etmek ve bunun bir brute-force saldırısı mı yoksa kimlik bilgilerini yanlış yazan normal bir kullanıcı mı olduğunu anlamak kolay değildir.
Her şey paket düzeyinde sunulduğundan, birden fazla kullanıcı adı/parola girişini ilk bakışta fark etmek zordur. Analist kimlik bilgisi girişlerini liste halinde görebildiğinde tespit süresi azalır. Wireshark, açık metin kimlik bilgisi girişlerini avlamak isteyen analistlere yardımcı olacak böyle bir özelliğe sahiptir.
Bazı Wireshark ayrıştırıcıları (FTP, HTTP, IMAP, POP ve SMTP), yakalama dosyasından açık metin parolaları çıkarmak için programlanmıştır. Tespit edilen kimlik bilgilerini “Tools → Credentials” menüsünden görüntüleyebilirsiniz. Bu özellik yalnızca belirli Wireshark sürümlerinde (v3.1 ve sonrası) çalışır. Özellik yalnızca belirli protokollerle çalıştığından, manuel kontrollerin yapılması ve bu özelliğe tamamen güvenilmemesi önerilir.
Bu özelliği kullandığınızda yeni bir pencere açılır ve tespit edilen kimlik bilgilerini gösterir. Paket numarası, protokol, kullanıcı adı ve ek bilgiler listelenir. Pencere tıklanabilir durumdadır; paket numarasına tıklamak, parolayı içeren paketi seçer, kullanıcı adına tıklamak ise kullanıcı adı bilgisini içeren paketi seçer. Ek bilgi kısmı, kullanıcı adını içeren paket numarasını gösterir.


Ekstra: Kendi güvenlik kurallarımızı eklemek:
Trafiği incelediniz, anomalileri tespit ettiniz ve ileri analiz için notlar oluşturdunuz. Peki sırada ne var? Her vaka incelemesi kalabalık bir ekip tarafından yürütülmez. Bir güvenlik analisti olarak, bazı durumlarda anomalileri fark etmeniz, kaynağı belirlemeniz ve harekete geçmeniz gerekir. Wireshark yalnızca paket detaylarıyla ilgili değildir; birkaç tıklama ile uygulanmaya hazır güvenlik duvarı kuralları oluşturmanıza da yardımcı olabilir. “Tools → Firewall ACL Rules” menüsünü kullanarak güvenlik duvarı kuralları oluşturabilirsiniz. Bu özelliği kullandığınızda yeni bir pencere açılır ve farklı amaçlar için IP, port ve MAC adresine dayalı kural kombinasyonları sağlar. Bu kuralların harici güvenlik duvarı arayüzünde uygulanmak üzere üretildiğini unutmayın.
Şu anda Wireshark aşağıdaki sistemler için kurallar oluşturabilir:

• Netfilter (iptables)
• Cisco IOS (standart/uzatılmış)
• IP Filter (ipfilter)
• IPFirewall (ipfw)
• Packet filter (pf)
• Windows Firewall (netsh yeni/eski format)

Okuduğunuz için teşekkür ederim

CW-Ommah
Bug Researchers Tim Sundu...
​

YARBAY' Alıntı:

Aleykümselam , Eline koluna sağlık hocam, Konuların artık daha uzun ve detaylı tebrik ediyorum hocam , ilerde kitapta yazarsan bir o kadar daha tebrik ederiz Dijital PDF kitapta olur, 100 200 500 ne olursa artık en azından ek bir gelir kaynağın olur hocam vesselam

Genişletmek için tıkla ...

ZahirCoder' Alıntı:

Aleyküm selam wireshark ile ilgili harika bi rehber daha tebrik ederim

Genişletmek için tıkla ...

Graves' Alıntı:

Aleykum selam kardeşim seni takdir ediyorum ellerine sağlık.

Genişletmek için tıkla ...