Sniffing dei pacchetti

Come funziona lo sniffing dei pacchetti?

Una rete è un insieme di nodi, come personal computer, server e hardware di rete, collegati tra loro. La connessione di rete consente il trasferimento di dati tra questi dispositivi. Le connessioni possono essere fisiche con cavi o wireless con segnali radio. Le reti possono anche essere una combinazione di entrambi i tipi.

Quando i nodi inviano dati attraverso la rete, ogni trasmissione viene suddivisa in parti più piccole, chiamate pacchetti. La lunghezza e la forma definite consentono di verificare la completezza e la fruibilità dei pacchetti di dati. Poiché l'infrastruttura di una rete è comune a molti nodi, i pacchetti destinati a nodi diversi passano attraverso numerosi altri nodi lungo il percorso verso la loro destinazione. Per garantire che i dati non vengano confusi, a ogni pacchetto viene assegnato un indirizzo che rappresenta la destinazione prevista del pacchetto stesso.

L'indirizzo di un pacchetto viene esaminato da ogni adattatore di rete e dispositivo collegato per determinare a quale nodo è destinato il pacchetto. In condizioni operative normali, se un nodo vede un pacchetto non indirizzato a lui, ignora il pacchetto e i suoi dati.

Lo sniffing dei pacchetti ignora questa prassi standard e raccoglie tutti o alcuni dei pacchetti, indipendentemente dal loro indirizzo.

Esistono due tipi principali di sniffer di pacchetti:

• Sniffer di pacchetti hardware
  Uno sniffer di pacchetti hardware è progettato per essere collegato a una rete ed esaminarla. Uno sniffer di pacchetti hardware è particolarmente utile quando si cerca di vedere il traffico di uno specifico segmento di rete. Collegandosi direttamente alla rete fisica nella posizione appropriata, un packet sniffer hardware può garantire che non vengano persi pacchetti a causa di filtraggio, instradamento o altre cause intenzionali o involontarie. Un packet sniffer hardware memorizza i pacchetti raccolti o li inoltra a un collettore che logga i dati raccolti dal packet sniffer hardware per ulteriori analisi.
• Sniffer di pacchetti software
  Oggigiorno la maggior parte degli sniffer di pacchetti è di tipo software. Sebbene qualsiasi interfaccia di rete collegata alla rete possa ricevere ogni singolo bit di traffico di rete, la maggior parte di essi non è configurata per farlo. Un packet sniffer software modifica questa configurazione in modo che l'interfaccia di rete passi tutto il traffico di rete allo stack. Questa configurazione è nota come modalità promiscua per la maggior parte degli adattatori di rete. Una volta in modalità promiscua, la funzionalità di uno sniffer di pacchetti si riduce alla separazione, al riassemblaggio e al log di tutti i pacchetti software che passano dall'interfaccia, indipendentemente dal loro indirizzo di destinazione. Gli sniffer di pacchetti software raccolgono tutto il traffico che passa attraverso l'interfaccia di rete fisica. Il traffico viene quindi registrato e utilizzato in base ai requisiti di packet sniffing del software.

Per catturare i dati di un'intera rete possono essere necessari più packet sniffer. Poiché ogni raccoglitore può raccogliere solo il traffico di rete ricevuto dall'adattatore di rete, potrebbe non essere in grado di vedere il traffico presente dall'altra parte di router o switch. Nelle reti wireless, la maggior parte degli adattatori è in grado di connettersi a un solo canale alla volta. Per catturare i dati su più segmenti di rete o su più canali wireless, è necessario un packet sniffer su ogni segmento della rete. La maggior parte delle soluzioni di monitoraggio della rete prevede lo sniffing dei pacchetti come una delle funzionalità dei propri agenti di monitoraggio.

Che tipo di informazioni raccoglie lo sniffing dei pacchetti?

Lo sniffing dei pacchetti raccoglie l'intero pacchetto di ogni trasmissione di rete. I pacchetti non criptati possono essere riassemblati e letti nella loro interezza. Ad esempio, i pacchetti intercettati di un utente che accede a un sito web includono l'HTML e il CSS delle pagine web. La cosa più nota è che gli utenti che effettuano il logs alle risorse di rete attraverso trasmissioni non crittografate espongono il loro nome utente e la loro password come testo in chiaro che può essere visto nei pacchetti catturati.

Quando dovrei considerare l'uso del packet sniffing?

Lo sniffing dei pacchetti ha molti usi pratici. In genere, lo sniffing dei pacchetti viene utilizzato per la risoluzione dei problemi di rete. I pacchetti rilevati su una rete in cui non dovrebbero trovarsi possono suggerire un routing o uno switching improprio. Anche i pacchetti contrassegnati per porte che non corrispondono al loro protocollo possono suggerire una configurazione errata di uno o più nodi. È inoltre possibile analizzare il traffico e le risposte ricevute per le richieste. Il nodo interroga il server DHCP corretto? La richiesta DNS corretta viene indirizzata alla posizione corretta? Il traffico è criptato con SSL o HTTPS quando dovrebbe esserlo, oppure vengono inviate risposte non criptate? Il percorso di instradamento seguito dal pacchetto è il più efficiente per raggiungere la destinazione finale?

I pacchetti possono anche essere analizzati per vedere se una specifica applicazione sta utilizzando troppa larghezza di banda o se l'autenticazione richiede numerose chiamate avanti e indietro. Sulla base dei dati forniti, è possibile aggiornare le comunicazioni o risolvere i problemi delle applicazioni per migliorare le prestazioni del software.

È possibile utilizzare lo sniffing dei pacchetti per monitorare le tendenze di consumo di una rete. L'analisi dei pacchetti raccolti può mostrare che una grande quantità di traffico è utilizzata da una certa applicazione interna o da trasmissioni video. Inoltre, un calo del traffico può suggerire che determinate risorse vengono utilizzate meno.

Lo sniffing dei pacchetti può essere utile per aumentare la sicurezza della rete. Monitorando il traffico alla ricerca di nomi utente e password in chiaro, ad esempio, è possibile notare eventuali problemi di sicurezza prima di qualsiasi hacker. Inoltre, il monitoraggio del traffico remoto può aiutare a garantire che tutto il traffico sia correttamente crittografato e non venga inviato su Internet senza crittografia.