尽管无线网络中的数据传输是加密的,但是管理和控制帧一般是不加密的
交换机中含有一张CAM表(contentaddressable memory),其中存储的各个物理端口与各张网卡mac地址的对应关系
物理侦听:
同轴电缆(COAX):信息传输的传媒是单根铜芯,所以网络上的所有站点都必须通过竞争协议传输数据,并解析所有信号。同轴电缆的优点是铜芯能免遭电磁干扰
双绞线(twisted pair,tp)双绞线中含有多对铜线。将每一对铜线绞在一起,使得他们各自产生的电磁干扰相互抵消。一般部署在星型拓扑上。
用于截取光纤中的流量的工具有:内接式网络分路器(inline network tap)、刺穿式搭接器(vampire tap),感应线圈(inductuion coil)、光纤分光器(fiber optic tap)
Hub是将本地子网中所有站点连接到一起的第一层设备。在物理上,连接在Hub上的每台设备都能收到发往连在这个Hub上的其他各台设备的所有流量
交换机的每个端口都是她自己的冲突域(collision domain).CAM表的作用是使交换机能在端口对端口的基础上实行流量隔绝
要从交换机嗅探流量,可以对交换机实行泛洪攻击(flooding)--发送大量MAC地址不同的以太网包向CAM表注入虚假的信息,称为mac泛洪(mac flooding),一旦CAM表被填满,许多交换机在默认情况下进入应急模式,把目标地址不在CAM表里的所有流量转发到每一个端口上,另一种方法是ARP欺骗
伯克利包过滤(berkeley packet filter,BPF)语言(过滤语言)内置了一些基元(primitive)来指代一些常用的协议字段。可以检查位于指定偏移量上的字段(甚至可以是一个位bit)的值,BPF过滤器也可以由详尽的条件链和嵌套的逻辑“与”“或”操作组成
调查人员可以用来访问运行中的基于网络的设备的各种方法,包括:
Console接口,SSH(安全shell)、安全复制(scp)、和SFTP、telnet、snmp(常被用作传播和会聚网络管理信息,snmp用在两个方面:基于事件的查询和配置查询、snmp允许通过定义“管理信息库(MIB)对其进行扩展”),MIB是对管理信息数据库的基本描述
Snmp的基本操作有:
轮询 :GET GETNEXT GETBULK
中断:TRAP INFDRM
控制:SET
TFTP(udp69端口)
策略:避免重启或关闭设备。尽量通过console接口而不是网络链接设备、记录系统时间、根据易失灭程度依次收集证据,记录你的调查过程
数据包详细标记语言(PDML)定义为使用XML格式表示2~7层内协议数据包详情的标准。数据包摘要标记语言(PSML)用于表示协议中最重要的细节
DNS是一个查询-响应协议。DNS协议定义了查询及响应数据包的结构,其中的一些字段能够保存任意数据,因此可以用来作为双向隐蔽通道的基础
Tcp流量封装在一个ip包中,然后穿过基于UDP协议的dns隧道传输
通过tcp协议路由传输dns数据也是可行的,这通常发生在服务器回复的数据太大不适用单独一个Udp数据包传输的时候,超大dns回复数据包通常是对axfr记录请求的回复,同时也被称作“zone transfer”请求
流记录:
关于流的一个信息子集一条流记录通常包括源和目的ip、源和目的端口(如果有的话)、协议、日期、时间、以及每个流传输的数据大小
流记录处理系统:
传感器:用于监听指定网段的数据流,从中提取的关键的流信息保存为流记录
收集器:一个或多个被配置成监听流记录数据并将器保存至硬盘的服务器
聚集器:当使用了多个收集器时,通常将收集到的数据汇总到一个中心节点服务器进行分析
分析
802.11定义了不同的数据帧类型:
管理帧:控制基础间的通信
控制帧:支持不同有效传输介质(如射频)之上的流量控制
数据帧:对无线网络设备之间通讯的三层协议以上的数据进行封装
管理帧(类型0)旨在协调无线局域网上的任意通信,从网络基础设施到单个设备发生的探测请求等。管理帧与类型中包括关联请求(Association requests)、关联应答(associationresponse)、探测帧(probes)、信标帧(becons)等