Netzwerk-Forensik Dshell – das Open-Source-Tool der U.S. Army

Anbieter zum Thema

Mimecast Germany GmbH

TXOne Networks

Mit dem Linux-Tool Dshell können Unternehmen den Netzwerkverkehr überprüfen. Entwickelt wurde das Forensik-Werkzeug von der United States Army, die Dshell auch bei Github veröffentlicht hat. Viele Entwickler sollen die Sicherheitsanwendung nun weiter verbessern.

Dshell wird seit Jahren im Verteidigungsministerium eingesetzt mit dem Zweck, Cyberangriffe aufzudecken oder frühzeitig zu verhindern. Das Python-basierte Werkzeug wurde ursprünglich von U.S. Army Research Laboratory (ARL) entwickelt und unterstützt sowohl IPv4 als auch IPv6.

Dshell kann wesentlich mehr als den Datenverkehr in einem Netzwerk mitzuschneiden oder PCAP-Dateien auszuwerten. Mit dem Tool lassen sich auch forensische Analysen durchführen. Administratoren können HTTP-Streams wieder zusammenfügen um dem Ursprung der Anfrage nachverfolgen zu können die das Netzwerk angegriffen hat.

Bildergalerie

Das Tool verfügt auch über eine integriert GeoIP-Technologie mit der sich IP-Adressen direkt zu verschiedenen Ländern zurückverfolgen lassen. Für die Analyse ist etwas Einarbeitung notwendig, dafür lässt sich Dshell in die meisten Linux-Distributionen und auch Live-DVD wie Kali anbinden.

Grundlegendes zu Dshell

Dshell steht kostenlos auf Github zur Verfügung. Die Installation muss auf einem Linux-Rechner erfolgen, der auch über Python 2.7 verfügen muss. Die Installationsanleitung ist auf der Downloadseite zu finden. Wir zeigen nachfolgend die Integration in der Linux-Security-Distribution Kali.

Grundsätzlich lässt sich Dshell auch mit Snort verbinden. Snort überwacht dabei den verdächtigen Netzwerkverkehr, indem es die Daten der lokalen Netzwerkkarte des Servers oder Rechners analysiert. Die erstellten Regeln lassen sich dann mit Dshell auswerten. Um diese Zusammenarbeit hinzubekommen, muss allerdings einiges Wissen im Bereich Snort und Dshell aufgebaut werden.

Wer sich etwas mit dem Produkt auseinandersetzt, kann die Ergebnisse ähnlich wie bei Wireshark auch grafisch aufbereiten lassen. Die US Army möchte Dshell als flexibles und skalierbares Tool zur Verfügung stellen. Die Erweiterung soll einfacher sein, als bei anderen Produkten in diesem Bereich.

Dshell in der Praxis nutzen

Nach der Installation wird zunächst Dhsell als Shell gestartet. Dazu geben Administratoren den Befehl ./dshell ein. In der Konsole stehen dann verschiedene Möglichkeiten zur Verfügung den Netzwerkverkehr zu untersuchen:

decode -l – Zeigt eine Liste der zur Verfügung stehenden Befehle an

decode -h – Zeigt verfügbare Flags der Decoder an

decode -d <Decorder> – Zeigt Daten zum Decoder an

decode -d <Decoder> <PCAP-Datei> – Wertet die angegebene Datei mit dem angegebenen Decoder aus

Wollen Administratoren zum Beispiel den DNS-Verkehr in einer gespeicherten PCAP-Datei anzeigen, wird der folgende Befehl verwendet:

Weitere Beispiele sind auf der Download-Seite des Dshell-Tools bei Github zu sehen.

(ID:43489496)