Ricardo Kléber
Disciplina: Redes sem Fio
Redes sem Fio Redes sem Fio
Ricardo Kléber
Curso Superior de Tecnologia em Sistemas para Internet Turma: TEC.SIS.5M
Ferramenta para Análise de Tráfego de Rede Ferramenta para Análise de Tráfego de Rede
2016.1 2016.1
PCAP2XML/SQLite
PCAP2XML/SQLite
Ricardo Kléber
Disciplina: Redes sem Fio
●
Análise detalhada e rápida de tráfego de redes 802.11:
●
Auxílio na detecção de ataques a redes Wi-Fi;
●
Auxílio na Identificação de anomalias/mal funcionamento;
●
Análise Forense em Redes sem Fio
●
Filtros com maior nível de detalhamento;
●
Cruzamento de informações.
Pcap2XML/SQLite Pcap2XML/SQLite
Motivação
Motivação
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Limitações das Soluções “Padrão”
Limitações das Soluções “Padrão”
Análise de Tráfego 802.11: Wireshark não faz isso?
●
Análise de pacotes 802.11 com Wireshark
●
Principal Limitação Filtros → (mas é uma solução razoável)
●
Porém...
Manipular diretamente grandes arquivos PCAP com Wireshark pode ser impraticável!!!
Arquivo de 982MB = 3 minutos só pra carregar!!!
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Por que não Wireshark?
Por que não Wireshark?
Experimento real
●
Intel
(R)Core
(TM)i5 (3.20GHz) || 8GB Memória RAM
●
Arquivo de teste =
sigcomm01.pcap● http://sysnet.ucsd.edu/pawn/sigcomm-trace/code/sigcomm01.pcap.gz
● 982MB (16.321.537 frames)
●
Resultados (simples) com Wireshark:
●
Mais de 3 minutos só pra carregar
●
Mais de 20 minutos para executar
um filtro simples!!!
Ricardo Kléber
Disciplina: Redes sem Fio
Wireshark Wireshark
Serve (pelo menos) pra capturar tráfego 802.11 Serve (pelo menos) pra capturar tráfego 802.11
Sim (porém também deixa a desejar com grandes arquivos)
●
Nem todas as versões têm modo “monitor”
●
Necessário para capturar pacotes de múltiplos canais
(Frequências)
(Canais)
Ricardo Kléber
Disciplina: Redes sem Fio
Wireshark Wireshark
Captura de tráfego 802.11 Captura de tráfego 802.11
?
Ricardo Kléber
Disciplina: Redes sem Fio
Wireshark Wireshark
Captura de tráfego 802.11
Captura de tráfego 802.11
Ricardo Kléber
Disciplina: Redes sem Fio
Sugestão (melhor custo/benefício) Sugestão (melhor custo/benefício)
Captura de tráfego 802.11 Captura de tráfego 802.11
Arquivo.pcap
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Voltando ao tema da Apresentação...
Voltando ao tema da Apresentação...
Ricardo Kléber
Disciplina: Redes sem Fio
Vivek Ramachandran
●
Pentester Academy
● http://www.pentesteracademy.com/course?id=17
●
SecurityTube.net
● http://hackoftheday.securitytube.net/2015/03/pcap2xmlsqlite- convert-80211-packets-to.html
●
Apresentação na DEFCON'23 (2015)
● https://www.defcon.org/html/defcon-23/dc-23-village-talks.html
●
Repositório do Projeto (GitHub):
● https://github.com/securitytube/pcap2xml
Pcap2XML/SQLite Pcap2XML/SQLite
Autor/Mantenedor do Projeto
Autor/Mantenedor do Projeto
Ricardo Kléber
Disciplina: Redes sem Fio
●
Converte arquivos de captura (PCAP) de Redes sem Fio (IEEE 802.11) em arquivos XML ou SQLite.
Pcap2XML/SQLite Pcap2XML/SQLite
O que a ferramenta (já) faz...
O que a ferramenta (já) faz...
●
Visualização/consultas simples com SQLite Browsers:
●
http://sqlitebrowser.org
Arquivo.pcap
Arquivo.xml
Arquivo.db
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Principais Características / Limitações Principais Características / Limitações
●
Versões 32 e 64 bits;
●
Execução Simples (Arquivo Executável + DLL)
●
Pcap2XML.exe
●
Pcap2XML_Lib.dll
●
Opção de execução em tempo real (modo “live”);
●
Opção de execução detalhada (modo “debug”);
●
Somente disponível para plataformas Microsoft Windows;
●
Ferramenta gratuita mas (ainda) não é Open Source
●
Promessa do autor = abrir em breve...
●
(Ainda) não converte para outros formatos (CSV, JSON, MySQL, …)
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Exemplos de Consultas Possíveis (após conversão) Exemplos de Consultas Possíveis (após conversão)
●
Liste todos os endereços MAC do tráfego capturado;
●
Liste os endereços MAC (distintos) de todos os hosts;
●
Liste todas as redes sem fio (AD-HOC ou Infra-estruturadas);
●
Liste em detalhes os Beacon Frames capturados;
●
… Consultas a todos os dados dos cabeçalhos 802.11
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Screenshots
Screenshots
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Screenshots Screenshots
Ricardo Kléber
Análise de Tráfego de Rede com Pcap2XML/SQLite :: GTS'27
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Screenshots Screenshots
Ricardo Kléber
Análise de Tráfego de Rede com Pcap2XML/SQLite :: GTS'27
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Screenshots Screenshots
Ricardo Kléber
Análise de Tráfego de Rede com Pcap2XML/SQLite :: GTS'27
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Screenshots Screenshots
Ricardo Kléber
Análise de Tráfego de Rede com Pcap2XML/SQLite :: GTS'27
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Screenshots Screenshots
Ricardo Kléber
Análise de Tráfego de Rede com Pcap2XML/SQLite :: GTS'27
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Screenshots
Screenshots
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Screenshots
Screenshots
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Screenshots
Screenshots
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Arquivo XML (Estrutura)
Arquivo XML (Estrutura)
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Arquivo SQLite (Estrutura)
Arquivo SQLite (Estrutura)
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Ferramentas Semelhantes/Complementares Ferramentas Semelhantes/Complementares
●
PCAP Converter
●
https://github.com/hbhzwj/pcap-converter
●
Converte arquivos PCAP para arquivos .TXT ou FLOW (NetFlow)
●
Código Fonte aberto (scripts Python)
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Ferramentas Semelhantes/Complementares Ferramentas Semelhantes/Complementares
●
The Bro Network Security Monitor
●
https://www.bro.org
●
https://github.com/aboutsecurity/Bro-samples
Ricardo Kléber
Disciplina: Redes sem Fio
Pcap2XML/SQLite Pcap2XML/SQLite
Ferramentas Semelhantes/Complementares Ferramentas Semelhantes/Complementares
●
Converter arquivos PCAP para CSV com Tshark
●
https://ask.wireshark.org/questions/10173/covert-the-pcap-file-to-a- csv-file-using-tshark
●
Converter .CSV para SQLite/SQL
Ricardo Kléber
Disciplina: Redes sem Fio
2 2 a a Avaliação do 2 Avaliação do 2 o o Bimestre Bimestre
Desenvolvimento de Ferramenta de Análise Desenvolvimento de Ferramenta de Análise
●
Grupos de ATÉ 03 (tres) componentes
●
Converter arquivos PCAP para SQL
●
Interface (linguagem à escolha do grupo) que:
●
Receba arquivo PCAP (Rede sem Fio padrão 802.11) →
●
Converte para Banco SQL (à escolha do grupo)
●
