Definition Sniffer und Sniffing Was ist ein Sniffer?

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Bei einem Sniffer handelt es sich um ein Werkzeug zur Aufzeichnung und Analyse von Netzwerkdaten. Allerdings werden Sniffer auch gerne von Cyberkriminellen genutzt. So funktioniert ein Sniffer und diese Tools gibt es.

Das Wort Sniffer kommt vom englischen „to sniff“, was auf Deutsch riechen, schnüffeln bedeutet. In der Informationstechnologie sind damit Hard- und Software gemeint, die den Datenverkehr in einem Netzwerk mitlesen, protokollieren und analysieren. Alternative Begriffe für Sniffer sind Netzwerkanalysator, Paket-Sniffer, Packet Analyzer oder Protokollanalysator. Je nach Positionierung des Sniffers oder Installationsort der Software lässt sich der Datenverkehr eines einzelnen Netzwerkteilnehmers oder eines kompletten Netzwerksegments mit mehreren Teilnehmenden mitschneiden. Sniffer-Lösungen besitzen häufig umfassende Darstellungs- und Aufbereitungsmöglichkeiten des mitgeschnittenen Datenverkehrs und der Analyseergebnisse.

Einsatzmöglichkeiten eines Sniffers

Sniffer bieten vielfältige Anwendungsbereiche und Einsatzmöglichkeiten. Zu diesen zählen:

• Überwachung des Datenverkehrs und der IT-Sicherheit

• Aufspüren von Anomalien, Schwachstellen oder verdächtigem beziehungsweise unerwünschtem Datenverkehr

• Erkennen von Angriffen oder Einbruchsversuchen und Aufspüren von Schadprogrammen

• Optimierung von Netzwerken und Netzwerkanwendungen

• Optimierung von Verkehrsflüssen

• Fehlersuche und Problemdiagnose

• Untersuchungen auf Protokollkonformität

• Reverse Engineering

• Erstellen von Netzwerkstatistiken

• Umsetzung von Compliance-Richtlinien

Ist Sniffing legal?

Sniffing ist in der Regel legal, solange es im eigenen Netzwerk zum Einsatz kommt und keine Datenschutzvorgaben verletzt werden. Mit rechtlichen Konsequenzen ist zu rechnen, wenn Sniffing unbefugt eingesetzt wird, um unbefugt Datenverkehr auszuspionieren oder Daten zu stehlen. Unbefugtes Sniffing fällt unter den § 202a des Strafgesetzbuches (StGB) (Ausspähen von Daten). Mittlerweile ist Sniffing eine beliebter Hackermethode.

Cyberkriminelle nutzen Sniffer zum Beispiel, um

• Daten mitzulesen und auszuspähen, zum Beispiel um Benutzerkennungen und Zugangsdaten mitzuschneiden.

• sensible Daten oder geistigen Eigentums zu stehlen und für Betriebsspionage.

• schlecht abgesicherte Angriffsziele aufzuspüren.

Ein vereinfachtes Beispiel für einen Sniffing-Angriff könnte sein, wenn ein Hacker ein schlecht gesichertes oder öffentliches WLAN angreift und unverschlüsselte Datenpakete abfängt. Ist der Angreifer mit demselben Netzwerk verbunden, kann er diese Pakete mitlesen und sensible Informationen extrahieren.

Wie funktioniert ein Sniffer?

Sniffer können nur den Datenverkehr mitlesen und analysieren, der am Netzwerkadapter des Hostsystems oder des Sniffer-Geräts anliegt. Früher war es in Hub-basierten Umgebungen möglich, den kompletten Datenverkehr eines Netzwerksegments mitzulesen, wenn sich der Netzwerkadapter des Sniffers im Promiscuous Mode befand. Der Promiscuous Mode bedeutet, dass sämtliche über den Netzwerkadapter laufenden Daten eines Netzwerksegments mitgeschnitten werden können, auch wenn die Datenpakete gar nicht an den Host des Netzwerkadapters adressiert sind. Im Non-Promiscuous Mode lassen sich nur die an den betreffenden Host adressierten oder von ihm versendeten Daten mitlesen.

Heute kommen in LAN-Umgebungen fast nur noch geswitchte Netzwerkinstallationen zum Einsatz. An einem geswitchten Netzwerkport stehen nur die an den jeweils angeschlossenen Host adressierten Ethernet-Frames oder Broadcast- und Multicast-Frames an alle oder mehrere Hosts zur Verfügung. Nur diese lassen sich mitlesen und analysieren. Über Verfahren wie ARP-Spoofing und ICMP-Redirects oder über sogenannte Spiegel- oder Monitorports ist es aber möglich, auch Verkehr anderer Hosts oder Netzwerksegmente an einem Switchport sichtbar zu machen.

Um den Datenverkehr zu analysieren, lesen die Sniffer entweder den kompletten Inhalt der Datenpakete oder nur die Informationen des Protokoll-Headers mit. Über die Adressen und Protokollinformationen des Headers lässt sich der Verkehr nach bestimmten Kriterien filtern und auswerten. Je nach Sniffer-Lösung finden die Analysen online in nahezu Echtzeit statt oder erfolgen offline zu einem späteren Zeitpunkt auf Basis des mitgeschnittenen und gespeicherten Datenverkehrs.

Welche unterschiedlichen Sniffer gibt es?

Sniffer sind in vielen verschiedenen Hard- und Softwareausführungen verfügbar. Grundsätzlich sind sie abhängig von der Art der Realisierung und den Einsatzmöglichkeiten in unterschiedliche Arten von Sniffern einteilbar. Eine Möglichkeit ist die Unterscheidung in reine softwarebasierte Lösungen und in eigenständige Hardware-Sniffer. Prinzipiell benötigt ein Sniffer zum Mitlesen des Datenverkehrs immer eine Hardwarekomponente wie einen Netzwerkadapter und eine Software, die den Netzwerkadapter entsprechend ansteuert.

• Software-Sniffer: Bei einer softwarebasierten Lösung verwendet das Sniffer-Programm die in einem Rechner vorhandenen Netzwerkadapter. Deshalb ist es ausreichend, nur die Software zu installieren, die auf die Netzwerkadapter des Host-Rechners zugreift und sie für das Sniffing ansteuert.

• Hardware-Sniffer: Eigenständige Hardware-Sniffer sind für den Einsatz unabhängig von einem Host-Rechner vorgesehen. Sie sind mit allen notwendigen Hard- und Softwarekomponenten zum Mitschneiden und Analysieren des Netzwerkdatenverkehrs ausgestattet und lassen sich standalone einsetzen. Beispielsweise werden sie an zentralen Stellen eines Netzwerks angeschlossen, an denen die Daten kompletter Netzsegmente oder Netzbereiche und all ihrer Teilnehmer mitgeschnitten werden können. Professionelle Hardware-Sniffer sind so dimensioniert, dass Netzwerkverkehr mit hohem Datendurchsatz mitgelesen werden kann, ohne dass Daten verworfen werden müssen.

• Verteilte Sniffer: Es existieren auch verteilte hard- oder softwarebasierte Sniffing-Lösungen. Sie bestehen aus mehreren Sniffing-Sonden oder Sniffing-Agenten, die an verschiedenen Stellen des Netzwerks positioniert oder auf verschiedenen Netzwerkgeräten installiert werden. Die Sonden lesen den Datenverkehr mit und senden ihn an eine zentrale Sniffing-Software oder ein zentrales Sniffing-Gerät, das Aufgaben wie das Auswerten, das Protokollieren oder das Aufbereiten der Analyseergebnisse übernimmt.

• Passive Sniffer: Eine weitere Möglichkeit, Sniffer zu kategorisieren, ist die Unterteilung in aktive und passive Sniffer. Passive Sniffer greifen nicht in den Datenverkehr ein. Sie lesen den Verkehr nur passiv mit und sind in einem Netzwerk kaum aufzuspüren.

• Aktive Sniffer: Aktive Sniffer hingegen senden selbst aktiv Daten wie ICMP-Redirects aus oder betreiben ARP-Spoofing. Dadurch lässt sich Datenverkehr zum Mitlesen gezielt umlenken. Aktive Sniffer sind aufgrund ihres aktiven Verhaltens leichter aufzuspüren.

Welche Sniffer-Tools gibt es?

Es existieren zahlreiche kommerzielle, kostenpflichtige oder Open-Source-basierte, kostenlose Sniffing-Lösungen. Auch in vielen Betriebssystemen selbst sind entsprechende Funktionen zum Mitlesen, Protokollieren und Analysieren des

Datenverkehrs integriert. Beispiele für softwarebasierte Sniffing-Lösungen sind Ettercap, tcpdump oder Wireshark (ehemals Ethereal). Wireshark ist eines der bekanntesten und am häufigsten verwendeten freien Sniffer-Tools. Es ist auf den gängigen Betriebssystemen wie Windows, macOS oder Linux nutzbar und bietet einen riesigen Funktionsumfang zum Mitschneiden und Analysieren vieler verschiedener Netzwerkprotokolle.

Es gibt noch weitere Sniffer-Tools, wie:

• SolarWinds Network Performance Monitor

• Paessler PRTG Network Monitor

• ManageEngineNetFlow Analyzer

• Netresec NetworkMiner

• Telerik Fiddler

• WinDump

• Nmap

(ID:50038528)