File Name Protocol Analyzer for Embedded IP Router Espoo 7.10.2003 Valvoja: Prof. Patric Östergård Ohjaaja: DI Pasi Kinnari Tuomo Sievilä.

Esitys aiheesta: "File Name Protocol Analyzer for Embedded IP Router Espoo 7.10.2003 Valvoja: Prof. Patric Östergård Ohjaaja: DI Pasi Kinnari Tuomo Sievilä."— Esityksen transkriptio:

1 File Name Protocol Analyzer for Embedded IP Router Espoo 7.10.2003 Valvoja: Prof. Patric Östergård Ohjaaja: DI Pasi Kinnari Tuomo Sievilä

2 File Name Sisällysluettelo Johdanto HW ja SW – ympäristö Verkon liikenteen seuranta Ohjelmistojen vertailu Toteutetun protokolla-analysaattorin kuvaus Johtopäätökset

3 File Name Johdanto Työ toteutettiin osana Tellabs Oy:n tuotekehitysprojektia Tavoite: protokolla-analysaattori sulautettuun reitittimeen Käytännön työ: Eri analysaattorityökalujen tutkiminen ja vertailu Tcpdump-ohjelman siirtäminen kohdejärjestelmään Kaapattujen pakettien analysointi

4 File Name Johdanto Internet-liikenne kasvaa huikeaa tahtia Valtaosa IP-liikennettä Reitittimet aiemmin: Perustehtävänä pakettien lähettäminen oikeaan osoitteeseen Reitittimet nykyään Monipuolisia verkkoelementtejä Pystyttävä tulkitsemaan useita protokollia Palvelun laatuun liittyvä liikenteen hallinta

5 File Name HW-ympäristö Access Node: Kontrollikortti ja 0-12 linjakorttia Linjakorteilla eri dataliittymiä, esim. Gigabit Ethernet, STM- 16 Nopein liittymä STM-16: 2,5 Gbit/s Linjakorteilla liikenneprosessorit Monimutkaisempi prosessointi kontrollikortilla Suuri määrä RAM-muistia, vähemmän FLASH-muistia

6 File Name SW-ympäristö Sulautettu järjestelmä: Käyttöjärjestelmä perustuu FreeBSD:hen Rajallinen määrä muistia -> pienetkin muistivuodot kriittisiä Vain yksi ohjelma ajossa, muodostuu aliprosesseista CLI-komentorajapinta: Cisco-tyyppinen yhteysrajapinta asetuksia varten Hyvin rajallinen graafinen tuki (ncurses) Käskyt avainsanoilla, parseri yksinkertainen

7 File Name Verkon liikenteen seuranta Verkosta kulkevista paketeista otetaan kopio omalle koneelle Kaapattuja paketteja voi tutkia protokolla-analysaattorilla Useita käyttötarkoituksia: Ohjelmoijalle Verkon ylläpitäjälle Verkkoa vastaan hyökkääjälle

8 File Name Verkon liikenteen seuranta: ohjelmoija Pystytään helposti tutkimaan, toimiiko protokollatoteutus oikein: Kulkevatko paketit oikeaan osoitteeseen? Onko pakettien sisältö oikean muotoinen? Kulkeeko verkossa ylipäätään paketteja? Ohjelmistojen toiminnan testaus verkon yli helpottuu Toimintaa voidaan tutkia erilaisilla liikennekuormilla ja ruuhkatilanteissa

9 File Name Verkon liikenteen seuranta: ylläpitäjä Pystytään paikantamaan verkossa: Vialliset laitteet Solmukohdat Yhteensopivuusongelmat Mahdolliset tunkeutujat ja hyökkäykset Hyvä protokolla-analysaattori erinomainen työkalu: Ongelmatilanteet havaitaan Ongelmatilanteet voidaan ennakoida

10 File Name Verkon liikenteen seuranta: hyökkääjä Joka kolikolla kaksi puolta: Hyvä ylläpitotyökalu väärissä käsissä vaarallinen Mahdollisia väärinkäytöksiä: Kaiken salaamattoman ja heikosti salatun liikenteen salakuuntelu Käyttäjätunnuksien ja salasanojen selvittäminen Toisten sähköpostin lukeminen Tiedostojen kaappaaminen

11 File Name Ohjelmistojen vertailu Työssä vertailtiin kuuden erilaisen protokolla- analysaattorin ominaisuuksia: 2 freeware-ohjelmaa: Ethereal, Ettercap 2 shareware-ohjelmaa: Network Spy, Sniff’em 2 täysin maksullista: EtherPeek, LanExplorer

12 File Name Ohjelmistojen vertailu: tulokset Kaikki pystyivät: Tavallisimpien IP-pinon protokollien datan tulkinta Pakettien kaappaus lähiverkkoympäristössä Yksinkertainen kaapatun liikenteen suodatus Edistyneempien ohjelmien ominaisuuksia: Tilastollinen analyysi verkon tilasta ja liikennemääristä Etäagentin käyttö liikenteen analyysiin ulkoverkoissa Liikenteen kaappauksen aloittaminen erikoisolosuhteissa Monipuoliset liikenteen suodatusominaisuudet

13 File Name Toteutetun protokolla-analysaattorin kuvaus Tcpdump: Vapaalla lisenssillä levitettävä liikenteen kaappausohjelma Koodi vapaasti saatavissa ja muokattavissa Toimii komentoriviltä Monipuoliset suodatinvaihtoehdot De facto standardi liikenteen kaappaukseen

14 File Name Toteutetun protokolla-analysaattorin kuvaus Tcpdump:in siirto kohdeympäristöön: Muistinhallinta Tulostusfunktiot Komentoriviparseri Pääohjelmasta aliprosessiksi Keskeytysten hallinta

15 File Name Toteutetun protokolla-analysaattorin kuvaus Toteutus ainoastaan kontrollikortille Suurin osa linjakorteille tulevasta datasta ei kulje kontrollikortin kautta Kaikkea liikennettä ei voi kaapata, koska data kulkee reitittimen läpi gigabittiluokan nopeudella Kontrollikortillekin tulee paljon liikennettä

16 File Name Toteutetun protokolla-analysaattorin kuvaus Ethereal tulkitsee kaapatun liikenteen Tcpdump-tiedostot siirretään FTP:llä Etherealille Etherealin ominaisuuksia: Tulkitsee useita satoja eri protokollia Aktiivisesti kehitettävä ohjelma Ilmainen, lähdekoodi avoin

17 File Name Johtopäätökset Tcpdump:in toteutus onnistui kohdeympäristöön Perusominaisuudet hyvät Edistyneemmät analysointiominaisuudet vajavaiset Kaikkea liikennettä ei voi kaapata Liikenteen kaappaus suoraan linjakorteilta vaatisi paljon lisää työtä, koska sallitut prosessointiajat ovat niin pienet

18 File Name Kiitos! Kiitoksia mielenkiinnosta, kysyttävää?