Netzwerk-Forensik Dshell – das Open-Source-Tool der U.S. Army

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Mimecast Germany GmbH

TXOne Networks

Mit dem Linux-Tool Dshell können Unternehmen den Netzwerkverkehr überprüfen. Entwickelt wurde das Forensik-Werkzeug von der United States Army, die Dshell auch bei Github veröffentlicht hat. Viele Entwickler sollen die Sicherheitsanwendung nun weiter verbessern.

Dshell wird seit Jahren im Verteidigungsministerium eingesetzt mit dem Zweck, Cyberangriffe aufzudecken oder frühzeitig zu verhindern. Das Python-basierte Werkzeug wurde ursprünglich von U.S. Army Research Laboratory (ARL) entwickelt und unterstützt sowohl IPv4 als auch IPv6.

Dshell kann wesentlich mehr als den Datenverkehr in einem Netzwerk mitzuschneiden oder PCAP-Dateien auszuwerten. Mit dem Tool lassen sich auch forensische Analysen durchführen. Administratoren können HTTP-Streams wieder zusammenfügen um dem Ursprung der Anfrage nachverfolgen zu können die das Netzwerk angegriffen hat.

Das Tool verfügt auch über eine integriert GeoIP-Technologie mit der sich IP-Adressen direkt zu verschiedenen Ländern zurückverfolgen lassen. Für die Analyse ist etwas Einarbeitung notwendig, dafür lässt sich Dshell in die meisten Linux-Distributionen und auch Live-DVD wie Kali anbinden.

Grundlegendes zu Dshell

Dshell steht kostenlos auf Github zur Verfügung. Die Installation muss auf einem Linux-Rechner erfolgen, der auch über Python 2.7 verfügen muss. Die Installationsanleitung ist auf der Downloadseite zu finden. Wir zeigen nachfolgend die Integration in der Linux-Security-Distribution Kali.

Grundsätzlich lässt sich Dshell auch mit Snort verbinden. Snort überwacht dabei den verdächtigen Netzwerkverkehr, indem es die Daten der lokalen Netzwerkkarte des Servers oder Rechners analysiert. Die erstellten Regeln lassen sich dann mit Dshell auswerten. Um diese Zusammenarbeit hinzubekommen, muss allerdings einiges Wissen im Bereich Snort und Dshell aufgebaut werden.

Wer sich etwas mit dem Produkt auseinandersetzt, kann die Ergebnisse ähnlich wie bei Wireshark auch grafisch aufbereiten lassen. Die US Army möchte Dshell als flexibles und skalierbares Tool zur Verfügung stellen. Die Erweiterung soll einfacher sein, als bei anderen Produkten in diesem Bereich.

Dshell in der Praxis nutzen

Nach der Installation wird zunächst Dhsell als Shell gestartet. Dazu geben Administratoren den Befehl ./dshell ein. In der Konsole stehen dann verschiedene Möglichkeiten zur Verfügung den Netzwerkverkehr zu untersuchen:

decode -l – Zeigt eine Liste der zur Verfügung stehenden Befehle an

decode -h – Zeigt verfügbare Flags der Decoder an

decode -d <Decorder> – Zeigt Daten zum Decoder an

decode -d <Decoder> <PCAP-Datei> – Wertet die angegebene Datei mit dem angegebenen Decoder aus

Wollen Administratoren zum Beispiel den DNS-Verkehr in einer gespeicherten PCAP-Datei anzeigen, wird der folgende Befehl verwendet:

Weitere Beispiele sind auf der Download-Seite des Dshell-Tools bei Github zu sehen.

Dshell in die Security-Distribution Kali einbinden

Wer bereits Linux-Sicherheitstools im Netzwerk einsetzt, kann Dshell zum Beispiel auch auf Basis der Linux-Live-DVD Kali installieren und das Tool zusammen mit anderen Werkzeugen nutzen. Geht es um Sicherheits-DVDs auf Basis von Linux, kommen Administratoren kaum um Kali Linux herum.

Die Live-Distribution bietet mehrere hundert Sicherheits- und Penetrations-Tools für Netzwerke. Da das System direkt gestartet werden kann, lässt es sich ohne großen Aufwand betreiben. Kali ist als ISO-Datei im Internet erhältlich. Hier stehen verschiedene Editionen zur Verfügung, auch für 32-Bit, 64-Bit und ARM.

Die Installation in Kali erfolgt genauso wie auf der Download-Webseite von Dshell zu sehen. Dazu kann in einem Terminal-Fenster von Kali zunächst Dhsell von Github als Repository angebunden werden: git clone https://github.com/Functionanalysis/Dshell

Danach werden notwendige Komponenten aktualisiert:

Python muss auf Kali-Linux ebenfalls installiert werden:

Im Anschluss muss noch Pygeoip installiert werden:

Wurden die notwendigen Erweiterungen installiert, können Administratoren direkt in das DShell-Verzeichnis auf dem Rechner wechseln und das Tool „make“ verwenden:

Danach lässt sich Dshell mit dem Befehl „./Dshell“ starten und als Konsole nutzen.

Wer sich in das Tool einarbeiten will, kann Beispieldateien von Wireshark für die Analyse nutzen.

Bildergalerie

Fazit

Administratoren, die sich mit der Netzwerk-Sicherheit auseinandersetzen, sollten sich Dshell ansehen. Vor allem bei der Analyse von PCAP-Dateien kann das Tool wertvolle Hilfe leisten. Wer auf Kali-Linux setzt, kann das Tool schnell und einfach direkt in Kali einbinden und zusammen mit anderen Tools nutzen.

Durch die mögliche gemeinsame Verwendung mit Snort ist der Einsatz von Dshell auch dann sinnvoll, wenn Administratoren auf Snort zur Überwachung und Analyse des Netzwerks setzen. Allerdings darf von Dshell auch kein Wunder erwartet werden. Das Tool ist derzeit noch wenig verbreitet.

Durch die schnelle Installation kann es sich aber durchaus lohnen, dem Tool eine Chance zu geben. Bei der Analyse von PCAP-Dateien und dem Zusammenfügen von HTTP-Streams kann Dshell nämlich wertvolle Dienste leisten. Vor allem beim Überprüfen von Netzwerkangriffen besteht die Möglichkeit, mit Dshell schnell Ergebnisse zu erhalten.

(ID:43489496)