Netzwerk-Forensik

Dshell – das Open-Source-Tool der U.S. Army

| Autor / Redakteur: Thomas Joos / Stephan Augsten

Das Netzwerk-Forensik-Werkzeug Dshell lässt sich mit ein paar Handgriffen in Kali Linux einbinden.
Das Netzwerk-Forensik-Werkzeug Dshell lässt sich mit ein paar Handgriffen in Kali Linux einbinden. (Bild: Thomas Joos / Archiv)

Mit dem Linux-Tool Dshell können Unternehmen den Netzwerkverkehr überprüfen. Entwickelt wurde das Forensik-Werkzeug von der United States Army, die Dshell auch bei Github veröffentlicht hat. Viele Entwickler sollen die Sicherheitsanwendung nun weiter verbessern.

Dshell wird seit Jahren im Verteidigungsministerium eingesetzt mit dem Zweck, Cyberangriffe aufzudecken oder frühzeitig zu verhindern. Das Python-basierte Werkzeug wurde ursprünglich von U.S. Army Research Laboratory (ARL) entwickelt und unterstützt sowohl IPv4 als auch IPv6.

Dshell kann wesentlich mehr als den Datenverkehr in einem Netzwerk mitzuschneiden oder PCAP-Dateien auszuwerten. Mit dem Tool lassen sich auch forensische Analysen durchführen. Administratoren können HTTP-Streams wieder zusammenfügen um dem Ursprung der Anfrage nachverfolgen zu können die das Netzwerk angegriffen hat.

Das Tool verfügt auch über eine integriert GeoIP-Technologie mit der sich IP-Adressen direkt zu verschiedenen Ländern zurückverfolgen lassen. Für die Analyse ist etwas Einarbeitung notwendig, dafür lässt sich Dshell in die meisten Linux-Distributionen und auch Live-DVD wie Kali anbinden.

Grundlegendes zu Dshell

Dshell steht kostenlos auf Github zur Verfügung. Die Installation muss auf einem Linux-Rechner erfolgen, der auch über Python 2.7 verfügen muss. Die Installationsanleitung ist auf der Downloadseite zu finden. Wir zeigen nachfolgend die Integration in der Linux-Security-Distribution Kali.

Grundsätzlich lässt sich Dshell auch mit Snort verbinden. Snort überwacht dabei den verdächtigen Netzwerkverkehr, indem es die Daten der lokalen Netzwerkkarte des Servers oder Rechners analysiert. Die erstellten Regeln lassen sich dann mit Dshell auswerten. Um diese Zusammenarbeit hinzubekommen, muss allerdings einiges Wissen im Bereich Snort und Dshell aufgebaut werden.

Wer sich etwas mit dem Produkt auseinandersetzt, kann die Ergebnisse ähnlich wie bei Wireshark auch grafisch aufbereiten lassen. Die US Army möchte Dshell als flexibles und skalierbares Tool zur Verfügung stellen. Die Erweiterung soll einfacher sein, als bei anderen Produkten in diesem Bereich.

Dshell in der Praxis nutzen

Nach der Installation wird zunächst Dhsell als Shell gestartet. Dazu geben Administratoren den Befehl ./dshell ein. In der Konsole stehen dann verschiedene Möglichkeiten zur Verfügung den Netzwerkverkehr zu untersuchen:

decode -l – Zeigt eine Liste der zur Verfügung stehenden Befehle an

decode -h – Zeigt verfügbare Flags der Decoder an

decode -d <Decorder> – Zeigt Daten zum Decoder an

decode -d <Decoder> <PCAP-Datei> – Wertet die angegebene Datei mit dem angegebenen Decoder aus

Wollen Administratoren zum Beispiel den DNS-Verkehr in einer gespeicherten PCAP-Datei anzeigen, wird der folgende Befehl verwendet:

„decode -d dns ~/temp/dns.cap”

Weitere Beispiele sind auf der Download-Seite des Dshell-Tools bei Github zu sehen.

Inhalt des Artikels:

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 43489496 / Monitoring und KI)